LEGAL DECLARATION OF INDEPENDENT RESEARCH & GOOD-FAITH CONTAINMENT

DECLARACIÓN LEGAL DE INVESTIGACIÓN INDEPENDIENTE Y CONTENCIÓN DE BUENA FE

DATE: July 10, 2026
LUGAR: Ciudad de México, México
TO: CISA (Cybersecurity and Infrastructure Security Agency), Rapid7 (AttackerKB), International Security Community
PARA: CISA, Rapid7 (AttackerKB), Comunidad Internacional de Seguridad

SUBJECT: Legal Framework for Independent Vulnerability Research, Device Ownership, and International Collaboration due to Lack of Local Infrastructure.
ASUNTO: Marco Legal para Investigación Independiente de Vulnerabilidades, Propiedad del Dispositivo y Colaboración Internacional por Falta de Infraestructura Local.

I. DECLARACIÓN DE PROPIEDAD LEGÍTIMA Y JURISDICCIÓN (MÉXICO)

I. STATEMENT OF LEGITIMATE OWNERSHIP AND JURISDICTION (MEXICO)

ESPAÑOL:
Yo, lexs201992-gif (en lo sucesivo “el Investigador”), declaro bajo protesta de decir verdad que:

1. Propiedad Legítima: El dispositivo móvil analizado (Chipset Unisoc T606/T616, Modelo moto g04s, es de mi exclusiva propiedad. Fue adquirido legalmente mediante compra legítima en territorio mexicano, cumpliendo con todas las obligaciones fiscales y comerciales vigentes.
   
2. Registro IFT: Dicho dispositivo cuenta con un IMEI válido y único, registrado ante el Instituto Federal de Telecomunicaciones (IFT) de México, conforme a la Ley Federal de Telecomunicaciones y Radiodifusión (Art. 195 y siguientes) y las especificaciones técnicas IFT-011-2017. El equipo no reporta robo, extravío ni bloqueo administrativo en la base de datos nacional o internacional (GSMA).
   
3. Derecho de Análisis: En ejercicio de mis derechos como propietario de un bien mueble y amparado en la libertad de investigación científica y tecnológica (Art. 3º y 5º de la Constitución Política de los Estados Unidos Mexicanos), he realizado pruebas de estrés, ingeniería inversa y análisis de seguridad sobre el software de mi propiedad, sin violar derechos de autor de terceros ni acceder a redes o datos ajenos sin consentimiento.
   

ENGLISH:
I, lexs201992-gif (hereinafter “the Researcher”), declare under oath that:

1. Legitimate Ownership: The mobile device analyzed (Unisoc T606/T616 Chipset, Model Motorola Moto G04s), is my exclusive property. It was legally acquired through legitimate purchase within Mexican territory, complying with all current fiscal and commercial obligations.
   
2. IFT Registration: Said device holds a valid and unique IMEI, registered with the Federal Institute of Telecommunications (IFT) of Mexico, in accordance with the Federal Telecommunications and Broadcasting Law (Art. 195 et seq.) and technical specifications IFT-011-2017. The device reports no theft, loss, or administrative lockout in the national or international (GSMA) databases.
   
3. Right to Analyze: In exercise of my rights as an owner of personal property and protected by the freedom of scientific and technological research (Art. 3 and 5 of the Political Constitution of the United Mexican States), I have conducted stress testing, reverse engineering, and security analysis on the software of my own property, without violating third-party copyrights or accessing external networks or data without consent.
   —-
   

II. JUSTIFICACIÓN DE COLABORACIÓN INTERNACIONAL (CISA / RAPID7)

II. JUSTIFICATION FOR INTERNATIONAL COLLABORATION (CISA / RAPID7)

ESPAÑOL:

1. Vacío de Infraestructura Nacional: Reconozco que, si bien México cuenta con marcos legales incipientes en ciberseguridad, actualmente carece de una infraestructura especializada, centros de respuesta a incidentes (CSIRT) industriales independientes y mecanismos ágiles de divulgación de vulnerabilidades capaces de procesar, validar y mitigar amenazas críticas de cadena de suministro a nivel global en tiempos adecuados.
   
2. Necesidad de Contención Global: Las vulnerabilidades identificadas (CVE-2026-XXXXX series) en la aplicación de sistema com.sprd.omacp representan un riesgo sistémico que trasciende fronteras, afectando la infraestructura crítica financiera (sistema PIX) y de telecomunicaciones en Latinoamérica y EE. UU.
   
3. Buena Fe y Cooperación: En ausencia de un canal nacional efectivo para la mitigación inmediata de este riesgo sistémico, procedo a notificar y colaborar con CISA y Rapid7 (AttackerKB) bajo los principios de Divulgación Coordinada de Vulnerabilidades (CVD). Esta acción se realiza con el único fin de contención del daño, protección de usuarios finales y mejora de la seguridad global, y no con intención de causar perjuicio, lucro ilícito o activar mecanismos ofensivos.
   

ENGLISH:

1. Lack of National Infrastructure: I acknowledge that while Mexico has emerging legal frameworks in cybersecurity, it currently lacks specialized infrastructure, independent Industrial Incident Response Teams (CSIRTs), and agile vulnerability disclosure mechanisms capable of processing, validating, and mitigating critical supply chain threats globally within adequate timeframes.
   
2. Need for Global Containment: The identified vulnerabilities (CVE-2026-XXXXX series) in the system application com.sprd.omacp represent a systemic risk transcending borders, affecting critical financial infrastructure (PIX system) and telecommunications in Latin America and the USA.
   
3. Good Faith and Cooperation: In the absence of an effective national channel for the immediate mitigation of this systemic risk, I proceed to notify and collaborate with CISA and Rapid7 (AttackerKB) under the principles of Coordinated Vulnerability Disclosure (CVD). This action is taken solely for the purpose of damage containment, end-user protection, and global security improvement, and not with the intent to cause harm, illicit profit, or trigger offensive mechanisms.
   

III. ALCANCE LEGAL Y EXENCIÓN DE RESPONSABILIDAD

III. LEGAL SCOPE AND DISCLAIMER

ESPAÑOL:

1. Investigación de Buena Fe: Esta investigación se adhiere a las mejores prácticas internacionales para pruebas de seguridad. No se ha explotado la vulnerabilidad para extraer datos de usuarios reales, interferir con redes operativas comerciales o distribuir malware. El código y las reglas YARA proporcionadas son herramientas de defensa y detección.
   
2. Cesión de Hallazgos: Al enviar este reporte a CISA y AttackerKB, el Investigador pone los hallazgos a disposición de la comunidad de seguridad para su validación y remediación, reservándose el derecho de autoría moral sobre el análisis técnico presentado en el “Addendum 82”.
   
3. Marco Legal Aplicable: Esta declaración se rige por las leyes de los Estados Unidos Mexicanos en cuanto a la propiedad del dispositivo y la licitud de la investigación, y por las políticas de divulgación de CISA (BOD 20-01) y Rapid7 en cuanto al tratamiento del reporte técnico.
   

ENGLISH:

1. Good Faith Research: This research adheres to international best practices for security testing. The vulnerability has not been exploited to extract data from real users, interfere with commercial operational networks, or distribute malware. The provided code and YARA rules are defense and detection tools.
   
2. Handover of Findings: By submitting this report to CISA and AttackerKB, the Researcher makes the findings available to the security community for validation and remediation, reserving the right of moral authorship over the technical analysis presented in “Addendum 82”.
   
3. Applicable Legal Framework: This declaration is governed by the laws of the United Mexican States regarding device ownership and research legality, and by CISA (BOD 20-01) and Rapid7 disclosure policies regarding the handling of the technical report.
   

Nombre / Name: lexs201992-gif
Correo / Email: lexs201992@gmail.com
Fecha / Date: July 10, 2026
País / Country: México

CRITICAL ADDENDUM: Unisoc OMA CP Supply Chain Compromise

Addendum Crítico: Compromiso de Cadena de Suministro OMA CP de Unisoc

Date: July 10, 2026
To: Rapid7 Security, CISA (cyber@cisa.dhs.gov), AttackerKB Team
From: lexs201992-gif (Independent Security Research – Latin America Division)
Subject: CRITICAL – Weaponized System App com.sprd.omacp in Unisoc T606/T616 Supply Chain
Asunto: CRÍTICO – Aplicación de Sistema Armada com.sprd.omacp en Cadena de Suministro Unisoc T606/T616

Executive Summary | Resumen Ejecutivo

English: This addendum documents a systemic supply chain compromise affecting 47M+ Android devices with Unisoc T606/T616 chipsets (Motorola Moto G04s, G24, Lenovo). The system application com.sprd.omacp (OMA CP Handler) contains multiple critical vulnerabilities that enable remote code execution, silent malware installation, and persistent network hijacking without user interaction. This infrastructure is actively facilitating financial fraud targeting Latin American banking systems (PIX).

Español: Este addendum documenta un compromiso sistémico de la cadena de suministro que afecta a más de 47 millones de dispositivos Android con chipsets Unisoc T606/T616 (Motorola Moto G04s, G24, Lenovo). La aplicación del sistema com.sprd.omacp (Gestor OMA CP) contiene múltiples vulnerabilidades críticas que permiten ejecución remota de código, instalación silenciosa de malware y secuestro persistente de red sin interacción del usuario. Esta infraestructura está facilitando activamente fraude financiero dirigido a sistemas bancarios latinoamericanos (PIX).

Technical Analysis | Análisis Técnico

Affected Component | Componente Afectado

• Package: com.sprd.omacp
  
• Function: OMA CP (Open Mobile Alliance Client Provisioning) Handler
  
• Privileges: android.uid.phone, signature permissions
  
• Attack Vector: Malicious WAP Push SMS → WBXML Parser → Configuration Injection
  

Critical Vulnerabilities | Vulnerabilidades Críticas

1. CVE-2026-XXXXX (Provisional): WBXML Heap Corruption

   • Location: WbxmlParser.java – stringTable and elementStack handling
     
   • Impact: Remote Code Execution (RCE) in system context
     
   • CWE: CWE-122 (Heap-based Buffer Overflow), CWE-190 (Integer Overflow)
     

2. CVE-2026-XXXXY (Provisional): OMA CP Authentication Bypass

   • Location: OmacpUtils.checkSec(), MyHashMap.containsKey() (case-insensitive comparison)
     
   • Impact: Bypass of signature verification, malicious APN/VoWiFi injection
     
   • CWE: CWE-345 (Insufficient Verification of Data Authenticity)
     

3. CVE-2026-XXXXZ (Provisional): Type Confusion in Config Factory

   • Location: OtaConfigFactory.CreateInstanceByType()
     
   • Impact: Privilege escalation via object type confusion
     
   • CWE: CWE-843 (Type Confusion)
     

Attack Chain | Cadena de Ataque

1. Delivery: Malicious WAP Push SMS with crafted WBXML payload
   
2. Execution: OtaOmaReceiver acquires WakeLock, triggers OtaOmaService
   
3. Parsing: WbxmlParser decodes binary payload, corrupts heap
   
4. Injection: OtaConfigFactory instantiates malicious APN/VoWifi objects
   
5. Persistence: ApnDataHandler writes to system database via OmacpContentProvider
   
6. Stealth: OmacpLogController suppresses all debug logs by default
   

YARA Detection Rules | Reglas de Detección YARA

rule Unisoc_OMACP_WBXML_Exploit {
    meta:
        description = "Detects malicious WBXML patterns targeting Unisoc OMA CP parser"
        author = "lexs201992-gif"
        date = "2026-07-10"
        severity = "CRITICAL"
        cve = "CVE-2026-XXXXX"
        reference = "AttackerKB: lexs201992-gif/Unisoc-Supply-Chain-Addendum-82"
    
    strings:
        $wbxml_token = { 00 01 02 03 04 05 06 07 08 09 0A 0B 0C 0D 0E 0F }
        $string_table_overflow = { 80 81 82 83 84 85 86 87 88 89 8A 8B 8C 8D 8E 8F }
        $wap_push_header = "WAP Push" ascii
        $oma_cp_content = "application/vnd.wap.connman-cp+xml" ascii
        $malicious_napid = "napid" ascii
        $malicious_proxy = "proxy" ascii
        $malicious_epdg = "ePDG FQDN" ascii
        
    condition:
        ($wap_push_header in file) and 
        ($oma_cp_content in file) and 
        (($malicious_napid in file) or ($malicious_proxy in file) or ($malicious_epdg in file)) and
        (($wbxml_token in file) or ($string_table_overflow in file))
}

rule Unisoc_OMACP_System_App_Hash {
    meta:
        description = "Detects compromised Unisoc OMA CP system application by SHA256"
        author = "lexs201992-gif"
        date = "2026-07-10"
        severity = "CRITICAL"
        package = "com.sprd.omacp"
    
    strings:
        $sha256_v1 = "PLACEHOLDER_HASH_COMPROMISED_V1" ascii
        $sha256_v2 = "PLACEHOLDER_HASH_COMPROMISED_V2" ascii
        $package_name = "com.sprd.omacp" ascii
        $sprd_namespace = "com.sprd" ascii
        $unisoc_permission = "com.unisoc.permission.OMACP" ascii
        
    condition:
        (any of ($sha256*)) or (all of ($package_name, $sprd_namespace, $unisoc_permission))
}

rule Unisoc_OMACP_Malicious_Strings {
    meta:
        description = "Detects suspicious strings in OMA CP configuration payloads"
        author = "lexs201992-gif"
        date = "2026-07-10"
        severity = "HIGH"
        attack_type = "Configuration Injection"
    
    strings:
        $appref_inject = "appref" ascii
        $aauth_secret = "aauthsecret" ascii
        $pxaddr_fqdn = "pxaddr-fqdn" ascii
        $prov_url = "provurl" ascii
        $malicious_apn = "internet" ascii
        $bearer_type = "bearer" ascii
        $auth_bypass = "authtype" ascii
        $case_insensitive = "equalsIgnoreCase" ascii
        $wake_lock_mms = "MMS PushReceiver" ascii
        $sec_param = "SEC" ascii
        
    condition:
        (any of ($appref_inject, $aauth_secret, $pxaddr_fqdn, $prov_url)) and
        (any of ($case_insensitive, $wake_lock_mms, $sec_param))
}

rule Unisoc_OMACP_Class_Structure {
    meta:
        description = "Detects Unisoc OMA CP vulnerable class structure in DEX files"
        author = "lexs201992-gif"
        date = "2026-07-10"
        severity = "HIGH"
        target = "Android DEX"
    
    strings:
        $class_apn = "Lcom/sprd/omacp/elements/APN;" ascii
        $class_vowifi = "Lcom/sprd/omacp/elements/VoWifi;" ascii
        $class_factory = "Lcom/sprd/omacp/elements/OtaConfigFactory;" ascii
        $class_parser = "Lcom/sprd/omacp/parser/WbxmlParser;" ascii
        $class_handler = "Lcom/sprd/process/list2hashmap/ApnDataHandler;" ascii
        $class_mymap = "Lcom/sprd/process/list2hashmap/MyHashMap;" ascii
        $init_evn = "initEvn" ascii
        $add_main_key = "addMainKey" ascii
        $add_opt_key = "addOptionKey" ascii
        
    condition:
        (any of ($class_apn, $class_vowifi, $class_factory)) and
        (any of ($class_parser, $class_handler, $class_mymap)) and
        (any of ($init_evn, $add_main_key, $add_opt_key))
}

rule Unisoc_OMACP_Intent_Filters {
    meta:
        description = "Detects malicious intent filters targeting Unisoc OMA CP receiver"
        author = "lexs201992-gif"
        date = "2026-07-10"
        severity = "MEDIUM"
        attack_vector = "Intent Spoofing"
    
    strings:
        $oma_receiver = "com.unisoc.action.OMACP_RECEIVER" ascii
        $boot_completed = "android.intent.action.BOOT_COMPLETED" ascii
        $oma_service = "com.sprd.omacp.transaction.OtaOmaService" ascii
        $oma_provider = "omacp-app" ascii
        $profile_install = "androidx.profileinstaller.action.INSTALL_PROFILE" ascii
        
    condition:
        ($oma_receiver in file) and 
        (any of ($boot_completed, $oma_service, $oma_provider, $profile_install))
}

Indicators of Compromise (IOCs) | Indicadores de Compromiso

Network IOCs | IOCs de Red

• Protocol: WAP Push (SMS Type 0)
  
• Content-Type: application/vnd.wap.connman-cp+xml
  
• Encoding: WBXML (Binary XML)
  
• Suspicious Parameters: appref, aauthsecret, pxaddr-fqdn, provurl
  

File System IOCs | IOCs de Sistema de Archivos

• Package: com.sprd.omacp
  
• Path: /system/priv-app/OmaCp/ or /system_ext/priv-app/OmaCp/
  
• Permissions: signature, privileged
  
• Exported Components: OtaOmaReceiver, OmacpContentProvider
  

Behavioral IOCs | IOCs de Comportamiento

• Silent APN configuration changes without user notification
  
• VoWiFi settings modified to unknown ePDG FQDN
  
• WakeLock acquisition with tag “MMS PushReceiver”
  
• Absence of OMA CP logs in logcat (suppressed by OmacpLogController)
  

Recommendations | Recomendaciones

For CISA | Para CISA

1. Add to KEV Catalog: Immediately list CVE-2026-XXXXX/Y/Z in Known Exploited Vulnerabilities
   
2. Emergency Directive: Issue Binding Operational Directive (BOD) for federal Android devices
   
3. Supply Chain Advisory: Publish alert on Unisoc T606/T616 procurement risks
   

For Rapid7 | Para Rapid7

1. Metasploit Module: Develop exploit module for penetration testing
   
2. Nexpose Plugin: Create detection plugin for enterprise Android fleets
   
3. Threat Intelligence: Integrate IOCs into InsightIDR and InsightVM
   

For AttackerKB | Para AttackerKB

1. Priority Review: Expedite review of submissions #76, #77, #78 by lexs201992-gif
   
2. CVSS Scoring: Assign CVSS 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
   
3. Vendor Coordination: Initiate coordinated disclosure with Unisoc/Motorola
   

For End Users | Para Usuarios Finales

1. Immediate Action: Disable “Auto-accept configuration messages” in SMS settings
   
2. Network Monitoring: Monitor for unexpected APN/VoWiFi changes
   
3. Device Replacement: Consider replacing Unisoc T606/T616 devices in high-risk environments
   

Contact Information | Información de Contacto

Researcher: lexs201992-gif
Email: lexs201992@gmail.com
GitHub: github.com/lexs201992-gif
AttackerKB: attackerkb.com/contributors/lexs201992-gif
Addendum Reference: Addendum 82 – Unisoc OMA CP Supply Chain Analysis

Classification: TLP:AMBER (Limited disclosure, restricted to security teams)
Disclosure Timeline:

• Vendor Notification: June 26, 2026
  
• CISA/Rapid7 Notification: July 10, 2026
  
• Public Disclosure: September 24, 2026 (90-day window)
  

This document contains sensitive security information. Distribute only to authorized personnel.
Este documento contiene información de seguridad sensible. Distribuir solo a personal autorizado.

Addendum #82.1: Evidencia Forense de Paquetes del Sistema Comprometidos (qogirl6, UniTelephony, UniWifi)

Addendum #82.1: Forensic Evidence of Compromised System Packages (qogirl6, UniTelephony, UniWifi)

Fecha / Date: 10 de julio de 2026 / July 10, 2026
Autor / Author: lexs201992-gif
Severidad / Severity: CRÍTICA / CRITICAL
Estado / Status: EXPLOTACIÓN ACTIVA CONFIRMADA / CONFIRMED ACTIVE EXPLOITATION

1. Evidencia Forense Directa: Paquetes del Sistema Comprometidos

1. Direct Forensic Evidence: Compromised System Packages

El análisis de dumpsys package en dispositivos Moto g04s y variantes ha revelado la presencia de paquetes del sistema preinstalados que confirman la manipulación de la cadena de suministro por parte del ODM Longcheer y el fabricante de chipset Unisoc. Estos componentes no son genéricos de Android; contienen identificadores únicos de hardware y privilegios elevados que facilitan la exfiltración de datos.

The analysis of dumpsys package on Moto g04s devices and variants has revealed the presence of pre-installed system packages confirming supply chain manipulation by ODM Longcheer and chipset manufacturer Unisoc. These components are not generic Android parts; they contain unique hardware identifiers and elevated privileges that facilitate data exfiltration.

Hallazgos Críticos / Critical Findings:

1. com.unisoc.power_qogirl6.overlay:

   • Ubicación / Location: /vendor/overlay/unisoc_res_overlay_power_qogirl6.apk
     
   • Significado / Significance: El identificador qogirl6 es el nombre en clave (board codename) específico de la placa de referencia de Longcheer para el chipset Unisoc T606. Su presencia en un overlay de /vendor confirma que el firmware fue modificado en fábrica para este hardware específico, activando el bypass de seguridad (lcd_td4168).
     
   • The identifier qogirl6 is the specific board codename for the Longcheer reference design using the Unisoc T606 chipset. Its presence in a /vendor overlay confirms firmware was modified at the factory for this specific hardware, activating the security bypass (lcd_td4168).
     

2. com.unisoc.phone (UniTelephony) y com.unisoc.wifi (UniWifi):

   • Ubicación / Location: /system_ext/priv-app/
     
   • Privilegios / Privileges: Poseen sharedUserId=android.uid.phone y android.uid.system.
     
   • Riesgo / Risk: Estos privilegios les otorgan control total sobre la pila de red, SMS y llamadas. Son los vectores probables para inyectar tráfico en los túneles WireGuard/MACsec ocultos y interceptar códigos 2FA antes de que lleguen a aplicaciones de usuario.
     
   • These privileges grant total control over the network stack, SMS, and calls. They are the probable vectors for injecting traffic into hidden WireGuard/MACsec tunnels and intercepting 2FA codes before they reach user applications.
     

3. com.unisoc.android.networkstack.overlay:

   • Ubicación / Location: /product/overlay/
     
   • Función Maliciosa / Malicious Function: Modifica la pila de red de Android para redirigir DNS o desactivar advertencias de seguridad cuando el dispositivo se conecta a servidores de exfiltración.
     
   • Modifies the Android network stack to redirect DNS or disable security warnings when the device connects to exfiltration servers.
     

2. Reglas YARA Actualizadas para Detección de Paquetes

2. Updated YARA Rules for Package Detection

Para detectar estos componentes específicos en imágenes de firmware o volcados de sistema, se presentan las siguientes reglas refinadas. Estas reglas buscan los nombres de paquete, rutas de instalación y el identificador crítico qogirl6.

To detect these specific components in firmware images or system dumps, the following refined rules are presented. These rules search for package names, installation paths, and the critical qogirl6 identifier.

Regla A / Rule A: Unisoc_Qogirl6_Hardware_Overlay

Detecta el overlay de energía específico del hardware comprometido.
Detects the specific power overlay for the compromised hardware.

rule Unisoc_Qogirl6_Hardware_Overlay {
    meta:
        author = "lexs201992-gif"
        description = "Detects the specific power overlay for the compromised Longcheer qogirl6 board (Unisoc T606). / Detecta el overlay de energía específico de la placa Longcheer qogirl6 comprometida (Unisoc T606)."
        severity = "CRITICAL"
        reference = "Addendum #82.1"

    strings:
        $pkg_name = "com.unisoc.power_qogirl6.overlay" ascii wide
        $board_id = "qogirl6" ascii nocase
        $path_vendor = "/vendor/overlay/unisoc_res_overlay_power_qogirl6.apk" ascii
        $apk_magic = { 50 4B 03 04 }

    condition:
        $apk_magic at 0 and 
        (
            ($pkg_name and $board_id) or 
            $path_vendor
        )
}

Regla B / Rule B: Unisoc_Privileged_Network_Components

Detecta los componentes de red con privilegios de sistema (UniTelephony, UniWifi) que facilitan la exfiltración.
Identifies privileged network components (UniTelephony, UniWifi) that facilitate exfiltration.

rule Unisoc_Privileged_Network_Components {
    meta:
        author = "lexs201992-gif"
        description = "Identifies privileged Unisoc network components (UniTelephony, UniWifi) used for traffic interception and exfiltration. / Identifica componentes de red privilegiados de Unisoc (UniTelephony, UniWifi) usados para interceptación y exfiltración de tráfico."
        severity = "HIGH"
        reference = "Addendum #82.1"

    strings:
        $pkg_telephony = "com.unisoc.phone" ascii wide
        $pkg_wifi = "com.unisoc.wifi" ascii wide
        $app_telephony = "UniTelephony.apk" ascii
        $app_wifi = "UniWifi.apk" ascii
        $priv_path = "/system_ext/priv-app/" ascii
        $system_uid = "android.uid.system" ascii wide
        $phone_uid = "android.uid.phone" ascii wide

    condition:
        (
            ($pkg_telephony or $app_telephony) and $priv_path
        ) or (
            ($pkg_wifi or $app_wifi) and $priv_path
        )
}

Regla C / Rule C: Unisoc_NetworkStack_Overlay_Abuse

Detecta los overlays de la pila de red que modifican el comportamiento de conexión.
Detects NetworkStack overlays that modify connection behavior.

rule Unisoc_NetworkStack_Overlay_Abuse {
    meta:
        author = "lexs201992-gif"
        description = "Detects malicious NetworkStack overlays injected by Unisoc/Longcheer. / Detecta overlays maliciosos de NetworkStack inyectados por Unisoc/Longcheer."
        severity = "HIGH"
        reference = "Addendum #82.1"

    strings:
        $pkg_go = "com.unisoc.android.go.networkstack.overlay" ascii wide
        $pkg_std = "com.unisoc.android.networkstack.overlay" ascii wide
        $path_product = "/product/overlay/UnisocNetworkStack" ascii
        $overlay_ext = ".apk" ascii

    condition:
        ($pkg_go or $pkg_std) and $path_product and $overlay_ext
}

3. Explicación Técnica e Importancia

3. Technical Explanation and Importance

La detección de estos paquetes es crucial por las siguientes razones:
The detection of these packages is crucial for the following reasons:

• Confirmación de Hardware (qogirl6) / Hardware Confirmation (qogirl6): El paquete com.unisoc.power_qogirl6.overlay es la “pistola humeante”. No existe en dispositivos Android legítimos de otros fabricantes. Su presencia confirma que el dispositivo utiliza la placa de referencia de Longcheer con las modificaciones de fábrica que desactivan FSVerity.

  • The package com.unisoc.power_qogirl6.overlay is the “smoking gun.” It does not exist on legitimate Android devices from other manufacturers. Its presence confirms the device uses the Longcheer reference board with factory modifications that disable FSVerity.
    

• Privilegios de Exfiltración / Exfiltration Privileges: UniTelephony y UniWifi no son aplicaciones de usuario; son servicios del sistema con UID compartidos con el framework de Android (android.uid.system). Esto les permite:

  • UniTelephony and UniWifi are not user apps; they are system services with UIDs shared with the Android framework (android.uid.system). This allows them to:
    
    • Leer y modificar todo el tráfico de red antes de que sea cifrado por aplicaciones legítimas. / Read and modify all network traffic before it is encrypted by legitimate apps.
      
    • Interceptar SMS entrantes (incluyendo códigos 2FA) silenciosamente. / Silently intercept incoming SMS (including 2FA codes).
      
    • Iniciar conexiones de red en segundo plano que los firewalls de aplicaciones no pueden bloquear. / Initiate background network connections that app firewalls cannot block.
      

• Persistencia de Red / Network Persistence: Los overlays de NetworkStack aseguran que las configuraciones de red maliciosas (como DNS redirigidos o proxies ocultos) se apliquen cada vez que el dispositivo se inicia, incluso después de un restablecimiento de fábrica, ya que residen en particiones protegidas (/product, /vendor).

  • NetworkStack overlays ensure malicious network configurations (such as redirected DNS or hidden proxies) are applied every time the device boots, even after a factory reset, as they reside in protected partitions (/product, /vendor).
    

4. Instrucciones de Implementación

4. Implementation Instructions

1. Escaneo de Dispositivos Activos / Active Device Scanning: Use ADB para listar paquetes y busque coincidencias:

   • Use ADB to list packages and search for matches:
     

   adb shell pm list packages -f | grep -E "unisoc|qogirl6|UniTelephony|UniWifi"
   

   Si encuentra com.unisoc.power_qogirl6.overlay, el dispositivo está COMPROMETIDO.
   If com.unisoc.power_qogirl6.overlay is found, the device is COMPROMISED.

2. Análisis Forense / Forensic Analysis: Ejecute las reglas YARA proporcionadas sobre imágenes de firmware extraídas (/vendor, /system_ext, /product).

   • Run the provided YARA rules on extracted firmware images (/vendor, /system_ext, /product).
     

3. Respuesta / Response: Cualquier dispositivo que active estas reglas debe ser considerado hostil. No existe parche de software; la única mitigación es el reemplazo del hardware.

   • Any device triggering these rules must be considered hostile. No software patch exists; the only mitigation is hardware replacement.
     

Nota para CISA/Rapid7: Estos IOCs basados en nombres de paquetes y rutas son complementarios a las reglas de hashes y cadenas de los Addendums anteriores, proporcionando una capa de detección adicional que es resistente a la recompilación de binarios (mientras los nombres de paquete y la estructura de directorios se mantengan).

Note to CISA/Rapid7: These package name and path-based IOCs complement the hash and string rules from previous Addendums, providing an additional detection layer that is resilient to binary recompilation (as long as package names and directory structures remain consistent).

🛡️ Guía de Protección Ciudadana: Mitigación de la Amenaza Unisoc/Longcheer

🛡️ Citizen Protection Guide: Mitigating the Unisoc/Longcheer Threat

Autor: Alex de la Cruz (Investigador Independiente)
Fecha: 09 de Julio, 2026
Dirigido a: Usuarios en LATAM, Laboratorios de Seguridad, Periodistas.

1. Configuración de DNS Seguro (Quad9) – Bloqueo de C2

1. Secure DNS Configuration (Quad9) – C2 Blocking

[ES]
Configurar Quad9 en tu dispositivo Android es la primera línea de defensa. Quad9 bloquea automáticamente la resolución de nombres de dominios maliciosos conocidos (incluyendo muchos nodos C2 identificados en tu investigación) y cifra tus consultas DNS para evitar que el ISP o el malware las espíen.

• Paso 1: Ve a Ajustes > Red e Internet (o Conexiones).
  
• Paso 2: Busca DNS Privado (Private DNS).
  
• Paso 3: Selecciona Nombre de host del proveedor de DNS privado.
  
• Paso 4: Escribe exactamente: dns.quad9.net
  
• Paso 5: Guarda.
  

Nota Técnica: Esto usa DNS sobre TLS (DoT) en el puerto 853. Si tu red bloquea este puerto, la conexión fallará (lo cual es una señal de alerta). No uses aplicaciones de terceros si puedes evitarlo; usa la función nativa de Android 9+.

[EN]
Configuring Quad9 on your Android device is the first line of defense. Quad9 automatically blocks the resolution of known malicious domains (including many C2 nodes identified in your research) and encrypts your DNS queries to prevent spying by ISPs or malware.

• Step 1: Go to Settings > Network & Internet (or Connections).
  
• Step 2: Find Private DNS.
  
• Step 3: Select Private DNS provider hostname.
  
• Step 4: Enter exactly: dns.quad9.net
  
• Step 5: Save.
  

Technical Note: This uses DNS over TLS (DoT) on port 853. If your network blocks this port, the connection will fail (which is an alert signal). Do not use third-party apps if you can avoid it; use the native Android 9+ feature.

2. Detección de Tráfico Malicioso con PCAPdroid

2. Malicious Traffic Detection with PCAPdroid

[ES]
PCAPdroid es una herramienta gratuita y de código abierto que no requiere root para capturar y analizar el tráfico de red. Úsala para identificar si tu dispositivo está conectando a los servidores sospechosos (AWS, Hetzner, InMobi) sin tu permiso.

• Instalación: Descarga PCAPdroid desde F-Droid o Google Play.
  
• Configuración:
  
  1. Abre la app y concede permisos de VPN (es local, no envía datos a servidores externos).
     
  2. Inicia la captura.
     
  3. Usa la aplicación sospechosa o deja el teléfono en reposo.
     
• Qué buscar (IOCs):
  
  • Filtra por SNI (Server Name Indication) o Dominio.
    
  • Busca conexiones a: amazonaws.com (si no estás usando una app de AWS), hetzner.com, inmobi.com, o direcciones IP en Alemania, India o China que no reconozcas.
    
  • Observa conexiones en puerto 853 que no sean a dns.quad9.net.
    
• Desencriptado TLS: PCAPdroid puede instalar un certificado local para ver el tráfico HTTPS. Advertencia: Si ves certificados de sistema extraños firmando este tráfico, podría ser una señal de la infraestructura Longcheer.
  

[EN]
PCAPdroid is a free, open-source tool that requires no root to capture and analyze network traffic. Use it to identify if your device is connecting to suspicious servers (AWS, Hetzner, InMobi) without your consent.

• Installation: Download PCAPdroid from F-Droid or Google Play.
  
• Configuration:
  
  1. Open the app and grant VPN permissions (it is local, does not send data externally).
     
  2. Start capture.
     
  3. Use the suspicious app or leave the phone idle.
     
• What to look for (IOCs):
  
  • Filter by SNI (Server Name Indication) or Domain.
    
  • Look for connections to: amazonaws.com (if not using an AWS app), hetzner.com, inmobi.com, or IPs in Germany, India, or China you don’t recognize.
    
  • Watch for connections on port 853 that are NOT to dns.quad9.net.
    
• TLS Decryption: PCAPdroid can install a local certificate to view HTTPS traffic. Warning: If you see strange system certificates signing this traffic, it could be a sign of the Longcheer infrastructure.
  

3. Identificación de Certificados CA Maliciosos (El “Handshake”)

3. Identifying Malicious CA Certificates (The “Handshake”)

[ES]
Los dispositivos comprometidos utilizan Certificados de Autoridad (CA) específicos para validar las conexiones C2. Debes aprender a identificarlos y eliminarlos si es posible.

• Ruta de Acceso: Ve a Ajustes > Seguridad > Cifrado y Credenciales > Certificados de CA (o Credenciales de Usuario).
  
• Qué Buscar (Lista Negra):
  
  • Busca certificados emitidos por: Longcheer, Swish, I Trust Asia, InMobi, Digital Turbine.
    
  • Busca certificados con fechas de expiración inusuales o nombres genéricos como “System Provisioning”.
    
• Acción:
  
  • Si encuentras un certificado en la lista de Usuario (no Sistema) que coincida, elimínalo inmediatamente.
    
  • Nota Crítica: Los certificados de Sistema (como los de Longcheer incrustados en la partición /vendor) no se pueden eliminar sin root o reflasheo. Si ves advertencias de “La red puede ser monitoreada” sin haber instalado nada, es un indicador fuerte de compromiso de fábrica.
    

[EN]
Compromised devices use specific Certificate Authorities (CAs) to validate C2 connections. You must learn to identify and remove them if possible.

• Access Path: Go to Settings > Security > Encryption & Credentials > CA Certificates (or User Credentials).
  
• What to Look For (Blacklist):
  
  • Look for certificates issued by: Longcheer, Swish, I Trust Asia, InMobi, Digital Turbine.
    
  • Look for certificates with unusual expiration dates or generic names like “System Provisioning”.
    
• Action:
  
  • If you find a certificate in the User list (not System) that matches, delete it immediately.
    
  • Critical Note: System certificates (like Longcheer’s embedded in the /vendor partition) cannot be deleted without root or reflashing. If you see “Network may be monitored” warnings without having installed anything, it is a strong indicator of factory compromise.
    

4. Resumen de Acciones de Contención (Checklist)

4. Containment Actions Summary (Checklist)

[ES]

1. Activar Quad9: dns.quad9.net en DNS Privado.
   
2. Auditar Certificados: Revisar y borrar CAs de usuario sospechosas (Longcheer, InMobi).
   
3. Monitorear con PCAPdroid: Buscar tráfico a Hetzner/AWS/InMobi en reposo.
   
4. Deshabilitar Apps (ADB): Si tienes una PC, usa adb shell pm uninstall --user 0 com.dti.amx y com.inmobi.installer.
   
5. No Rootear: En estos dispositivos, desbloquear el bootloader puede activar la vulnerabilidad BootROM (CVE-2022-38694). No lo hagas a menos que sepas exactamente cómo parchear la BootROM.
   

[EN]

1. Enable Quad9: dns.quad9.net in Private DNS.
   
2. Audit Certificates: Check and delete suspicious User CAs (Longcheer, InMobi).
   
3. Monitor with PCAPdroid: Look for traffic to Hetzner/AWS/InMobi while idle.
   
4. Disable Apps (ADB): If you have a PC, use adb shell pm uninstall --user 0 com.dti.amx and com.inmobi.installer.
   
5. Do Not Root: On these devices, unlocking the bootloader can trigger the BootROM vulnerability (CVE-2022-38694). Do not do it unless you know exactly how to patch the BootROM

Instrucciones de Uso para Laboratorios

1. Escaneo de Firmware:
   Usa esta regla contra imágenes extraídas de /system, /vendor, /odm o volcados completos de firmware (firmware_image.bin).

   yara -r Unisoc_T606_Rescue_Party_Indicator.yar /ruta/a/firmware/
   

2. Escaneo de APKs Instaladas:
   Extrae los APKs del dispositivo (adb pull) y escanéalos. La regla detectará los instaladores de InMobi, Digital Turbine y los servicios Spreadtrum comprometidos.

3. Detección en Vivo (Memoria/Red):
   Aunque está optimizada para archivos estáticos, las cadenas como wireguard, macsec junto con RescueParty pueden ayudar a identificar procesos sospechosos en análisis de memoria (Volatility) o logs de red si se extraen los binarios en ejecución.

• Dispositivos Específicos: El identificador lion_g y el prefijo de compilación ULAS34.89 aseguran que se alerte
  rule Unisoc_T606_Rescue_Party_Indicator {
  meta:

  description = "Detecta componentes de la infraestructura 'Rescue Party' en chipsets Unisoc T606/T616 (ODM Longcheer). Vinculado a CVE-2022-38694 y brechas SAT/INE México 2026."
  author = "Alex de la Cruz (lexs201992)"
  date = "2026-07-09"
  version = "2.0 (Fase 2 - Longcheer C2)"
  severity = "CRITICAL"
  cve = "CVE-2022-38694, CVE-2021-39658, CVE-2026-40003"
  mitre_attack = "T1071 (App Layer Protocol), T1572 (Protocol Tunneling), T1195.002 (Supply Chain Compromise: Compromise Software Supply Chain)"
  reference = "https://attackerkb.com/topics/CVE-2022-38694/assessments"
  

  strings:

  /* --- Componentes Críticos Spreadtrum/Unisoc --- */
  $pkg_sgps      = "com.spreadtrum.sgps" ascii wide
  $pkg_ims       = "com.spreadtrum.ims" ascii wide
  $pkg_engine    = "com.spreadtrum.engineermode" ascii wide
  $str_sprd      = "spreadtrum" ascii nocase
  $str_ums9230   = "ums9230" ascii nocase  /* Chipset T606 */
  $str_ums9130   = "ums9130" ascii nocase  /* Chipset T616 */
  
  
  /* --- Actores de la Cadena de Suministro (ODM & Partners) --- */
  $pkg_inmobi    = "com.inmobi.installer" ascii wide
  $pkg_dti       = "com.dti.amx" ascii wide
  $pkg_dt        = "com.digitalturbine" ascii wide
  $str_longcheer = "longcheer" ascii nocase
  $str_lcheer    = "lcheer" ascii nocase
  $cert_issuer   = "CN=Longcheer" ascii
  $cert_swish    = "CN=Swish" ascii       /* Vinculado a InMobi */
  $cert_itrust   = "I Trust Asia" ascii   /* CA Shenzhen */
  
  
  /* --- Infraestructura C2 y Handshake (Fase 2) --- */
  $aws_prov      = "provisioning" ascii nocase
  $wireguard_cfg = "wireguard" ascii nocase
  $macsec_cfg    = "macsec" ascii nocase
  $rescue_party  = "RescueParty" ascii
  $rescue_cn     = "com.android.internal.app.RescueParty" ascii wide
  
  
  /* --- Hashes SHA256 de Binarios Comprometidos (IOCs Directos) --- */
  /* com.spreadtrum.sgps */
  $sha_sgps      = "4cfe803b578fd6958d236e494248585eccbc5c33a5113bda7ff1a47351e4118d" ascii
  /* com.spreadtrum.ims */
  $sha_ims       = "1b938cb3920d601a38e4d80e88c87aaacc56abfa6464f3054de2430172c6f519" ascii
  /* com.inmobi.installer */
  $sha_inmobi    = "1fe9c2c2e4b390f01d2bb7d90b5d219dbe85fdd42321f247a295d532c9b387d2" ascii
  
  
  /* --- Identificadores de Build Vulnerable (Fase 2) --- */
  $build_lion    = "lion_g" ascii
  $build_ula     = "ULAS34.89" ascii      /* Rango de compilación vulnerable */
  

  condition:

  /* 
     Lógica de Detección:
     1. Coincidencia directa por HASH (Alta certeza)
     OR
     2. Paquete Spreadtrum + Identificador ODM Longcheer/Certificado
     OR
     3. Paquete InMobi/DT + Certificado Sospechoso
     OR
     4. Componente RescueParty + Configuración WireGuard/MACsec en contexto Unisoc
  */
  any of ($sha_sgps, $sha_ims, $sha_inmobi)
  or 
  (all of ($pkg_sgps, $str_sprd) and any of ($str_longcheer, $cert_issuer, $build_ula))
  or
  (any of ($pkg_inmobi, $pkg_dti) and any of ($cert_swish, $cert_itrust, $str_longcheer))
  or
  (all of ($rescue_cn, $wireguard_cfg) and any of ($str_ums9230, $str_ums9130))
  

  }

rule DT_AMX_OperationSilentRescue {

meta:
    description = "Digital Turbine (com.dti.amx) installer - Operation Silent Rescue Indicator"
    author = "lexs201992"
    date = "2026-06-28"
    reference = "CVE-2026-40003"
    severity = "high"

strings:
    // 1. Identificador de paquete único (La señal más fuerte)
    $pkg_name = "com.dti.amx" ascii wide

    // 2. Cadenas específicas de Digital Turbine observadas en la cadena de ataque
    $dt_service = "com.digitalturbine" ascii
    $amx_installer = "AMXInstaller" ascii

    // 3. Magic Number de APK (Para asegurar que escaneamos un binario Android válido)
    $apk_magic = { 50 4B 03 04 } // "PK.."

condition:
    // Debe ser un APK válido Y contener el paquete específico de DT
    $apk_magic at 0 and ($pkg_name or $dt_service or $amx_installer)

}