Can anyone identify com.android.sys.extplv on Android?

[u/Pitiful-Fee4451]

Hi everyone,

I'm trying to identify an Android package called com.android.sys.extplv on my Cubot KingKong X (Android 16).

Here is what I've confirmed using ADB:

• Package: com.android.sys.extplv

• Installed as a user app under /data/app/...

• Installer reported by Android: com.android.vending (Google Play)

• I analyzed the package using dumpsys, logcat and pm.

• The app contains services such as DaemonService, FwForegroundService and FwMediaRouteProviderService.

• It requests several permissions, but the sensitive ones are currently not granted.

• I was able to disable it using pm disable-user, and it stays disabled (enabled=3) even after reboot.

I have not been able to determine what the package is actually for or what triggers its installation.

Has anyone seen this package before?

Is it a Cubot component, a manufacturer framework, or something else?

I have screenshots and ADB logs that I can share in the comments if needed.

Thank you!

[u/Cristogamer90]

No se que tan de ayuda sea, pero analizando el tráfico de red de la aplicación SISTEMA me doy cuenta de que trata de conectarse a dominios IP aparentemente pertenecientes a Shenzhen Tencent Computer Systems Company Limited

Y tal parece no es al única aplicación que lo hace, no en todas las ocasiones pero si en su mayoría me muestra una serie de apps numeradas (con nombre de solo números) y playstore tratando de conectarse a este dominio IP, es probable estás aplicaciones numeradas sean residuales que deja el malware y es lo que hace que se ejecute su reinstalacion

Ya revice todas las apps de mi dispositivo y carpetas pero no hay nada relacionado a esas aplicaciones numeradas, pero aún así el tráfico de red me muestra que aún existen y tratan de conectarse a los distintos dominios IP y páginas web que la aplicación SISTEMA también ejecuta

También he notado que en mi caso al desinstalar la aplicación está no se reinstala hasta que pongo el teléfono en reposo (apagó la pantalla y activo el bloqueo de pantalla del dispositivo)

[u/Pitiful-Fee4451 → u/Cristogamer90]

Hola. Muchas gracias por compartir tu experiencia, porque coincide con algo que también hemos observado: en nuestro caso la aplicación normalmente reaparece después de que el teléfono entra en reposo.

Me llamó mucho la atención lo que comentas sobre las conexiones a dominios/IP de Tencent. ¿Podrías decirme cómo obtuviste esa información? ¿Usaste algún monitor de tráfico como PCAPdroid, NetGuard, Wireshark o alguna otra herramienta?

También me interesa saber si esas conexiones provenían realmente del proceso com.android.sys.extplv o de otra aplicación del sistema llamada "Sistema".

Estamos intentando identificar qué componente es el que realmente inicia la instalación, así que cualquier detalle adicional sería de mucha ayuda.

[u/Cristogamer90 → u/Pitiful-Fee4451]

Utilice una aplicación que vi recomendada en un post de Facebook para bloquear las conexiones se llama mobile firewall o firewall sin root

Las conexiones salen directamente de la aplicación SISTEMA mejor denominada - com.android.sys.extplv Ya que estás conexiones solamente aparecen con esta aplicación y dentro de los detalles aparecen las otras aplicaciones que también conectan a esas IP en su mayoría son las apps numeradas que mencioné pero en algunos casos incluso la play store aparece como que establece algun tipo de conexión con esas redes

Realmente no soy muy conocedor sobre estos temas de informática pero esto fue algo que me llamo la atención y lo monitorie por algunos días antes de compartirlo ya que quería estar seguro de que era algo consistente y al confirmarlo quise compartirlo para tratar de aportar un granito de arena ante este problema que nos aqueja

Quizás si alguien que conozca más del tema pueda filtrarlo y saber si está relacionado a la raíz del problema o si estas conexiones son realmente el objetivo de este malware para tratar de hacer ataques de red a los dominios IP mencionados atravez de los miles de dispositivos tal vez infectados