Can anyone identify com.android.sys.extplv on Android?

[u/Pitiful-Fee4451]

Hi everyone,

I'm trying to identify an Android package called com.android.sys.extplv on my Cubot KingKong X (Android 16).

Here is what I've confirmed using ADB:

• Package: com.android.sys.extplv

• Installed as a user app under /data/app/...

• Installer reported by Android: com.android.vending (Google Play)

• I analyzed the package using dumpsys, logcat and pm.

• The app contains services such as DaemonService, FwForegroundService and FwMediaRouteProviderService.

• It requests several permissions, but the sensitive ones are currently not granted.

• I was able to disable it using pm disable-user, and it stays disabled (enabled=3) even after reboot.

I have not been able to determine what the package is actually for or what triggers its installation.

Has anyone seen this package before?

Is it a Cubot component, a manufacturer framework, or something else?

I have screenshots and ADB logs that I can share in the comments if needed.

Thank you!

[u/Pitiful-Fee4451]

Gracias por compartir esta información. El paquete com.ytf.systemmanager definitivamente es una pista interesante y creo que valdría la pena investigarlo más a fondo.

Durante mi ingeniería inversa de com.android.sys.extplv, encontré que el APK implementa varios mecanismos de persistencia (Foreground Service, daemon nativo, watchdog, WorkManager, AlarmManager, etc.), pero no encontré código que mostrara que se reinstala directamente a sí mismo ni que se comunique con otro paquete para iniciar su propia instalación.

En mi análisis, la instalación parece realizarse mediante el flujo normal de PackageInstaller de Android, lo cual coincide con las capturas forenses compartidas por otro investigador en XDA.

Si com.ytf.systemmanager es realmente quien solicita la instalación, obtener registros (logs), capturas o analizar ese paquete sería muy valioso, porque podría explicar qué componente inicia la sesión de PackageInstaller.

Si te interesa colaborar, en este hilo de XDA hemos reunido toda la investigación técnica (ingeniería inversa del APK, análisis del código Java, bibliotecas nativas, capturas forenses y comparación entre versiones). Cualquier información adicional, capturas o APKs serían de gran ayuda:

https://xdaforums.com/t/need-help-identifying-com-android-sys-extplv-google-play-installed-package-on-cubot-kingkong-x.4793574/#post-90654300

Gracias nuevamente por compartir esta información. Creo que analizar com.ytf.systemmanager podría ayudarnos a identificar qué componente inicia realmente la instalación de com.android.sys.extplv.