スタンフォード大学でセキュリティを研究するZane St. John氏が、AliExpressで約5500円（$35）で購入した格安プロジェクターを自宅Wi-Fiに接続した直後、ネットワーク監視ツール「Pi-hole」が見知らぬドメインへのDNS通信を検知した。ブラウザを開いておらず、アプリのインストールも一切していない状態での出来事だ。この通信の正体を探るためにClaude Codeを使ってマルウェアを解析したところ、3段階の遠隔操作システムと住宅用代理IPサービスへの接続が明らかになった。この調査結果をSt. John氏が2026年2月5日に自身のブログで公開した。
問題のプロジェクターはAndroid 11搭載で、「Hotack」社が「Magcubic」ブランドで販売する機種。5つの不審なパッケージが工場出荷時からシステムアプリとして組み込まれていた。中心となるのはcom.hotack.silentsdkで、本体起動時に自動起動し、外部サーバーに接続して追加コードをダウンロードするドロッパー（マルウェア配布の入口）として機能する。その他に、端末情報の外部送信・広告の強制表示・OTA（無線ソフトウェア更新）・アプリのサイレントインストールを担う4つのパッケージが入っていた。
silentsdkはシステム権限（android.uid.system）で動作し、メーカーの署名鍵で署名されている。つまり第三者が後から仕込んだものではなく、出荷時から製品に組み込まれた「メーカー謹製マルウェア」だ。C2サーバー（api.pixelpioneerss.com）と通信してコードを取得し、最終的にDexClassLoaderを使って動的に追加コードを実行する。取得したコードは第2段階のフレームワークを介して、さらに追加プラグインをダウンロードできる3段構造になっており、遠隔から任意のコードをシステム権限で実行できる状態だ。
Pi-holeに最初から記録されていたusmyip.kkoip.comへの通信が最も深刻だった。KKOIPは「Kookeey」という中国の住宅用代理IP（レジデンシャルプロキシ）サービスの窓口で、4700万件以上の住宅IPアドレスを世界190カ国以上の顧客に販売している。このプロジェクターはWi-Fi接続直後からそのプロキシネットワークに自機のIPアドレスを登録し、第三者がそのIPを経由してインターネットにアクセスできる状態にしていた。St. John氏のIPアドレスにはスタンフォード大学の位置情報が紐付けられており、C2サーバーの応答にも地名が明記されていた。
さらに深刻なのはファームウェアレベルの持続性だ。起動スクリプトがGoogle Playプロテクトを無効化し、OTAサービスがC2からsilentsdkを再取得するため、ファクトリーリセットを行っても出荷時の状態（＝マルウェアが有効な状態）に戻るだけだ。
St. John氏はこの解析にClaude Codeを使い、難読化されたソースコードを読み解いてXOR暗号化された文字列を一括復号するスクリプトを自動生成させ、C2通信プロトコルを特定してPythonで通信クライアントを実装させた。通常であれば熟練した解析者が数日かかる作業が数時間で完了したとしている。使用機器のADB確認コマンドやブロックすべきC2ドメインのリストはSt. John氏のGitHubリポジトリで公開されている。
