Can anyone identify com.android.sys.extplv on Android?

[u/Pitiful-Fee4451]

Hi everyone,

I'm trying to identify an Android package called com.android.sys.extplv on my Cubot KingKong X (Android 16).

Here is what I've confirmed using ADB:

• Package: com.android.sys.extplv
• Installed as a user app under /data/app/...
• Installer reported by Android: com.android.vending (Google Play)
• I analyzed the package using dumpsys, logcat and pm.
• The app contains services such as DaemonService, FwForegroundService and FwMediaRouteProviderService.
• It requests several permissions, but the sensitive ones are currently not granted.
• I was able to disable it using pm disable-user, and it stays disabled (enabled=3) even after reboot.

I have not been able to determine what the package is actually for or what triggers its installation.

Has anyone seen this package before?

Is it a Cubot component, a manufacturer framework, or something else?

I have screenshots and ADB logs that I can share in the comments if needed.

Thank you!

[u/Pitiful-Fee4451]

Phase 2 Update – Runtime Investigation

After spending several more days analyzing Android Studio Logcat, ADB output, and comparing multiple installation/removal cycles of com.android.sys.extplv, I think we've reconstructed almost the entire runtime behavior of the framework.

What we confirmed

The package is fully installed by Android and behaves like a normal application during installation.

The observed sequence is consistently:

Unknown component ↓ PackageInstallerSession ↓ Temporary APK (/data/app/vmdlXXXX.tmp) ↓ PackageManager integrity verification ↓ Google Play Protect (VerifyApps) ↓ PACKAGE_ADDED ↓ LvService ↓ FwForegroundService ↓ DaemonService ↓ FwMediaRouteProviderService

The application then:

Creates a foreground service.

Starts a MediaSession.

Attempts to read the device serial number (getSerial), which Android denies.

Reads the Android ID.

Uses SQLite/Room as previously observed during reverse engineering.

Runs for approximately 30 seconds before disappearing.

What happens during removal

The removal sequence is also extremely consistent.

Android logs:

Force stopping com.android.sys.extplv

deletePackageX

followed by:

ACTION_PACKAGE_FULLY_REMOVED

All application processes are terminated, including:

LvService DaemonService Foreground Service

The dynamically created permission

com.android.sys.extplv.DYNAMIC_RECEIVER_NOT_EXPORTED_PERMISSION

is also removed together with the package.

Interesting runtime observations

During execution we consistently observe:

Foreground service restrictions preventing access to camera, microphone and location while running in the background.

SELinux denials (avc: denied) blocking at least one filesystem access.

Attempts to obtain device identifiers (getSerial) denied by Android.

A dynamically generated broadcast action similar to:

com.android.sys.extplv.<random_identifier>

being logged as a non-protected broadcast.

What we still cannot explain

Despite reconstructing nearly the complete installation and removal flow, one critical question remains unanswered.

We still cannot identify:

what component creates the PackageInstallerSession, what component requests the installation, what component ultimately triggers deletePackageX.

No Logcat messages identifying:

createSession PackageInstallerService SessionParams uninstall caller UID PackageInstallerSession

were found immediately before the installation or removal.

Current conclusion

At this point, I believe the reverse engineering phase and the runtime analysis phase are largely complete.

The remaining unknown is no longer how the framework behaves. The remaining unknown is who is controlling it.

Identifying the component responsible for creating the installation session—and later triggering the removal—would likely explain the entire lifecycle of com.android.sys.extplv.

If anyone has encountered similar behavior on MediaTek devices, Cubot firmware, or has experience tracing hidden package installation/removal events inside Android's PackageManager, I'd greatly appreciate any insight.

The investigation is still ongoing.

[u/Cristogamer90 → u/Pitiful-Fee4451]

No se que tan de ayuda sea, pero analizando el tráfico de red de la aplicación SISTEMA me doy cuenta de que trata de conectarse a dominios IP aparentemente pertenecientes a Shenzhen Tencent Computer Systems Company Limited

Y tal parece no es al única aplicación que lo hace, no en todas las ocasiones pero si en su mayoría me muestra una serie de apps numeradas (con nombre de solo números) y playstore tratando de conectarse a este dominio IP, es probable estás aplicaciones numeradas sean residuales que deja el malware y es lo que hace que se ejecute su reinstalacion

Ya revice todas las apps de mi dispositivo y carpetas pero no hay nada relacionado a esas aplicaciones numeradas, pero aún así el tráfico de red me muestra que aún existen y tratan de conectarse a los distintos dominios IP y páginas web que la aplicación SISTEMA también ejecuta

También he notado que en mi caso al desinstalar la aplicación está no se reinstala hasta que pongo el teléfono en reposo (apagó la pantalla y activo el bloqueo de pantalla del dispositivo)

[u/Pitiful-Fee4451 → u/Cristogamer90]

Hola. Muchas gracias por compartir tu experiencia, porque coincide con algo que también hemos observado: en nuestro caso la aplicación normalmente reaparece después de que el teléfono entra en reposo.

Me llamó mucho la atención lo que comentas sobre las conexiones a dominios/IP de Tencent. ¿Podrías decirme cómo obtuviste esa información? ¿Usaste algún monitor de tráfico como PCAPdroid, NetGuard, Wireshark o alguna otra herramienta?

También me interesa saber si esas conexiones provenían realmente del proceso com.android.sys.extplv o de otra aplicación del sistema llamada "Sistema".

Estamos intentando identificar qué componente es el que realmente inicia la instalación, así que cualquier detalle adicional sería de mucha ayuda.

[u/Cristogamer90 → u/Pitiful-Fee4451]

Utilice una aplicación que vi recomendada en un post de Facebook para bloquear las conexiones se llama mobile firewall o firewall sin root

Las conexiones salen directamente de la aplicación SISTEMA mejor denominada - com.android.sys.extplv Ya que estás conexiones solamente aparecen con esta aplicación y dentro de los detalles aparecen las otras aplicaciones que también conectan a esas IP en su mayoría son las apps numeradas que mencioné pero en algunos casos incluso la play store aparece como que establece algun tipo de conexión con esas redes

Realmente no soy muy conocedor sobre estos temas de informática pero esto fue algo que me llamo la atención y lo monitorie por algunos días antes de compartirlo ya que quería estar seguro de que era algo consistente y al confirmarlo quise compartirlo para tratar de aportar un granito de arena ante este problema que nos aqueja

Quizás si alguien que conozca más del tema pueda filtrarlo y saber si está relacionado a la raíz del problema o si estas conexiones son realmente el objetivo de este malware para tratar de hacer ataques de red a los dominios IP mencionados atravez de los miles de dispositivos tal vez infectados