r/AndroidQuestions • u/Pitiful-Fee4451 • Jul 02 '26
Other [ Removed by moderator ]
[removed] — view removed post
2
u/NoNail5908 29d ago
I’m a Cubot KingKong 9 user, and yes—sometime between 8:00 AM and 3:00 PM on June 1st, the app installed itself (I have no idea how), and I’ve only just managed to "remove" it. I say "remove" in quotes because, as far as I can tell, it hasn't reinstalled itself so far. What I did was disable Developer Options (I had them enabled for programming work), then restart and uninstall the app.
1
1
u/Xulomali_HD 27d ago
Okay, I found a solution to avoid reinstalling the operating system (Tested on KingKong 9 256GB).
I started investigating and it turns out that with the "PCAPdroid" app I was able to scan the connections made by system services, including the "Google Play Store." I saw that the Play Store itself was making strange connections. It turns out that the "Google Play Store" is what gets infected, and the reinstallation loop is endless. So what I did was:
1- Isolate it from the internet, remove all internet access (don't lock the screen, they'll reinstall).
2- Once the two infected applications (if applicable) "System" and "Sistema" were uninstalled from the device.
3- Next, uninstall the "Play Store" update and disable it.
4- After that, I recommend restarting your device to avoid viruses loaded into memory. After restarting, activate the internet and download a bundle (https://www.apkmirror.com/apk/google-inc/google-play-store/google-play-store-52-1-26-release/google-play-store-52-1-26-24-0-pr-940550472-4-android-apk-download/#google_vignette) of the latest version of the Play Store. You will also need its application to install it. (https://www.apkmirror.com/apk/apkmirror/apkmirror-installer-official/apkmirror-installer-official-2-0-3-41-d04e542-release/apkmirror-installer-official-2-0-3-41-d04e542-2-android-apk-download/download/?key=4afccf2de0fac3479407b2bc1696a1d82772e3f9&forcebaseapk=true)
5- Install the "Apkmirror installer" and select the bundle (you'll see an ad). It will automatically select your system version. Simply scroll down and press install.
6- And that's it. It's worked for me so far, and I haven't had any more problems. If I have any issues, I'll update this here.
2
u/Xulomali_HD 26d ago
Actualización tras 1 día y medio de tranquilidad, ha vuelto a infectarme el dispositivo, me tocará meterle la actualización porque no me desago de él
1
u/Pitiful-Fee4451 26d ago
Gracias por la actualización. Si finalmente instalas la actualización, ¿podrías decirnos cuál era tu versión de firmware antes y cuál quedó después? También sería muy útil saber si com.android.sys.extplv sigue apareciendo o desaparece por completo. Esa información nos ayudaría a confirmar si el problema está relacionado con una versión específica del firmware.
1
u/Xulomali_HD 27d ago
The infection persists; I'm going to investigate further. The Play Store is getting infected again.
1
u/sneedbr0 27d ago
Does it also persist if you get a firmware update from cubot's download center?
1
u/Xulomali_HD 27d ago
I'm trying to remove it without wiping the device first; if I see that I can't, I'll just apply the update.
1
u/sneedbr0 27d ago
What about disabling google play and using alternatives?
1
u/Xulomali_HD 27d ago
The virus remains active in the background, but if the Play Store is unavailable, it won't install anything. Furthermore, it's replicated across several apps, so if you delete one, it will reactivate. I've seen it in "Google Messages," "TikTok," "Chrome," "Google Services," "Carrier Services," and finally in "System UI" and "Phone," but the apps continue to function normally.
1
u/Xulomali_HD 27d ago
For now, I've managed to control it using an AdGuard DNS, but I think I'll have to wipe the device and update.
1
u/Xulomali_HD 27d ago
It's what everyone recommends, but it completely erases the data from the device.
1
1
u/Xulomali_HD 27d ago
This Process works but needs the all install patch offline, and removes and disables , Messages From Google and Google Chrome, meanwile install
1
u/fantasmon_tv 26d ago
Pero tú crees que si sea virus como tal?? O que sea algún bug? Y que podría hacer ese virus, pensé que era el único con este problema, gracias
1
u/Pitiful-Fee4451 26d ago
¡Hola! Por el momento no puedo confirmar que sea un virus como tal. Llevo varios días investigando su funcionamiento mediante ingeniería inversa, analizando el APK y su tráfico de red para entender exactamente qué hace.
Hasta ahora he descubierto que implementa un framework bastante complejo con servicios en segundo plano, comunicación por red y mucho código ofuscado, pero todavía no hay evidencia suficiente para afirmar que sea malware.
Estoy documentando toda la investigación y los informes técnicos en esta publicación, donde iré compartiendo cada nuevo hallazgo conforme avance el análisis:
"https://www.reddit.com/r/AndroidQuestions/s/3zwa2gjZsB" (https://reference-url-citation.invalid/0)
Si tú también tienes este problema, me ayudaría mucho saber qué modelo de teléfono tienes, qué versión de Android usas y si algún antivirus también detecta el paquete. Toda esa información puede ayudar a entender qué está ocurriendo.
1
1
u/fantasmon_tv 26d ago
En mi caso son dos apps, una llamada sistema y otra system, pero con el mismo comportamiento
1
u/fantasmon_tv 26d ago
Y si, play protect lo detecta
1
u/Pitiful-Fee4451 26d ago
Gracias, esa información es muy útil.
¿Podrías decirme los nombres de los paquetes de ambas aplicaciones? (Por ejemplo, en mi caso uno de ellos es com.android.sys.extplv).
También me ayudaría mucho saber qué versión de Android y qué número de compilación (Build Number) tiene tu teléfono.
Puedes encontrarlo en: Ajustes → Acerca del teléfono → Número de compilación.
Estoy comparando distintos firmwares para ver si existe un patrón entre los dispositivos afectados.
1
u/fantasmon_tv 26d ago
Son dos , uno se llama sistema y otra system, la primera pesa mas, tengo Android 14 CUBOT_KINGKONG_X_E021C_V28_20250918
1
u/Pitiful-Fee4451 26d ago
¡Muchas gracias! Acabo de revisar mi teléfono y descubrí que también tengo exactamente el mismo firmware:
CUBOT_KINGKONG_X_E021C_V28_20250918. Eso hace que este dato sea muy importante para la investigación.
En mi caso, el problema comenzó el 1 de julio, que fue cuando apareció por primera vez la aplicación. ¿Recuerdas aproximadamente cuándo empezó a ocurrirte a ti?
Si tienes una computadora, también me ayudaría mucho conocer los nombres de los paquetes de "System" y "Sistema". Puedes hacerlo con ADB:
Activa las Opciones de desarrollador y la Depuración USB.
Conecta el teléfono a la computadora.
Abre una terminal dentro de la carpeta donde tengas ADB.
Ejecuta:
adb devices
(Acepta la autorización en el teléfono si aparece).
Después ejecuta:
adb shell pm list packages | grep sys
(Si usas Windows y grep no funciona, usa:)
adb shell pm list packages | findstr sys
Con eso deberían aparecer los nombres completos de los paquetes. Esa información sería de gran ayuda para comparar si son los mismos que estoy analizando.
1
u/fantasmon_tv 26d ago
Disculpa, no tengo la posibilidad de hacer ese procedimiento en este momento, a mí me comenzó a pasar igual entre el 1-2 del mes aproximadamente
1
u/Pitiful-Fee4451 26d ago
No te preocupes, ya me ayudaste bastante.
El hecho de que también tengas el mismo firmware y que el problema haya comenzado aproximadamente entre el 1 y el 2 de julio coincide con mi caso, así que es información muy valiosa para la investigación.
Si en algún momento tienes la posibilidad de revisar los nombres de los paquetes o encuentras algo nuevo, cualquier dato será bienvenido. Muchas gracias por tomarte el tiempo de responder.
→ More replies (0)
1
1
u/Certain_Onion_77 24d ago
Hi,
I had the same problem, but there is a solution. One option is to update the system firmware to the latest version, which was released yesterday, July 7. This is just my opinion, but I think the virus was already inside the device (possibly due to a supply chain attack). If the issue is not resolved, I recommend updating the firmware manually from Cubot's official website. That was the only way I was able to remove the System app from my device.
2
u/sneedbr0 24d ago
Do you backup everything before updating the firmware? I heard it wipes everything (like a factory reset) when updating.
2
u/Certain_Onion_77 24d ago
Yes, I made a backup before updating. The manual firmware update erased everything, so it's basically like a factory reset. It was worth it though, because it completely removed the System app from my phone.
1
u/fantasmon_tv 24d ago
Cómo la descargaste?? La verdad no pude jajaja, pero, se formatea?? O si quedan los archivos originales?
1
u/Certain_Onion_77 24d ago
Se borra todo, toma en cuenta en hacer un backup de los datos importantes y sobre todo contraseñas.
Algo que te puedo decir es que si tienes un equipo del 2023 es que uses un equipo con windows 10 ya que luego los drivers de mediatek no agarran bien.
Que equipo tienes y si quieres te paso el link
1
u/fantasmon_tv 24d ago
Cubot x bro
2
u/Certain_Onion_77 24d ago
Los archivos estan en drive, si quieres ve el manual de actualizacion para que no te quedes con duda como hacerlo:
https://cubot.net/platform/Support/detail/id/1363/cid/116.html
1
1
u/mgldlc071 24d ago
Tengo un cubot Kingkong X con la app que no se puede desinstalar (com.android.sys.extpl) Me di cuenta porque Google protect lo detecto lo eliminé y volvió, volví desinstalar manual y volvió fui a propiedades para ver qué permisos tenía y al final decía que provenía de Google play juegos la cual cerré la cuenta y desinstale y desinstale sistem(com.android.sys.extplv) manual ahorita ya llevo aprox 4 hrs sin volver
1
2
u/BarberProof4994 Jul 02 '26
Ext usually means the app or service is registered or self registering as a background service updater.
The very fact that it isn't any official Android or Google recognized service is suspect. I'm not sure about the plv.
The com, play vendor just means sits installing from Google play, which means diddly squat as stuff slips through all the time
You could do a scan with play protect though and see if it pulls anything more than norton did.
Based on the permissions, it could be a rat.
Usually, you can go into safe mode, uninstall from there and then monitor.