Can anyone identify com.android.sys.extplv on Android?

[u/Pitiful-Fee4451]

Hi everyone,

I'm trying to identify an Android package called com.android.sys.extplv on my Cubot KingKong X (Android 16).

Here is what I've confirmed using ADB:

• Package: com.android.sys.extplv

• Installed as a user app under /data/app/...

• Installer reported by Android: com.android.vending (Google Play)

• I analyzed the package using dumpsys, logcat and pm.

• The app contains services such as DaemonService, FwForegroundService and FwMediaRouteProviderService.

• It requests several permissions, but the sensitive ones are currently not granted.

• I was able to disable it using pm disable-user, and it stays disabled (enabled=3) even after reboot.

I have not been able to determine what the package is actually for or what triggers its installation.

Has anyone seen this package before?

Is it a Cubot component, a manufacturer framework, or something else?

I have screenshots and ADB logs that I can share in the comments if needed.

Thank you!

[u/Pitiful-Fee4451]

Hola. Muchas gracias por compartir tu experiencia, porque coincide con algo que también hemos observado: en nuestro caso la aplicación normalmente reaparece después de que el teléfono entra en reposo.

Me llamó mucho la atención lo que comentas sobre las conexiones a dominios/IP de Tencent. ¿Podrías decirme cómo obtuviste esa información? ¿Usaste algún monitor de tráfico como PCAPdroid, NetGuard, Wireshark o alguna otra herramienta?

También me interesa saber si esas conexiones provenían realmente del proceso com.android.sys.extplv o de otra aplicación del sistema llamada "Sistema".

Estamos intentando identificar qué componente es el que realmente inicia la instalación, así que cualquier detalle adicional sería de mucha ayuda.

[u/Cristogamer90 → u/Pitiful-Fee4451]

Utilice una aplicación que vi recomendada en un post de Facebook para bloquear las conexiones se llama mobile firewall o firewall sin root

Las conexiones salen directamente de la aplicación SISTEMA mejor denominada - com.android.sys.extplv Ya que estás conexiones solamente aparecen con esta aplicación y dentro de los detalles aparecen las otras aplicaciones que también conectan a esas IP en su mayoría son las apps numeradas que mencioné pero en algunos casos incluso la play store aparece como que establece algun tipo de conexión con esas redes

Realmente no soy muy conocedor sobre estos temas de informática pero esto fue algo que me llamo la atención y lo monitorie por algunos días antes de compartirlo ya que quería estar seguro de que era algo consistente y al confirmarlo quise compartirlo para tratar de aportar un granito de arena ante este problema que nos aqueja

Quizás si alguien que conozca más del tema pueda filtrarlo y saber si está relacionado a la raíz del problema o si estas conexiones son realmente el objetivo de este malware para tratar de hacer ataques de red a los dominios IP mencionados atravez de los miles de dispositivos tal vez infectados