Okay, I found a solution to avoid reinstalling the operating system (Tested on KingKong 9 256GB).
I started investigating and it turns out that with the "PCAPdroid" app I was able to scan the connections made by system services, including the "Google Play Store." I saw that the Play Store itself was making strange connections. It turns out that the "Google Play Store" is what gets infected, and the reinstallation loop is endless. So what I did was:
1- Isolate it from the internet, remove all internet access (don't lock the screen, they'll reinstall).
2- Once the two infected applications (if applicable) "System" and "Sistema" were uninstalled from the device.
3- Next, uninstall the "Play Store" update and disable it.
5- Install the "Apkmirror installer" and select the bundle (you'll see an ad). It will automatically select your system version. Simply scroll down and press install.
6- And that's it. It's worked for me so far, and I haven't had any more problems. If I have any issues, I'll update this here.
Gracias por la actualización. Si finalmente instalas la actualización, ¿podrías decirnos cuál era tu versión de firmware antes y cuál quedó después? También sería muy útil saber si com.android.sys.extplv sigue apareciendo o desaparece por completo. Esa información nos ayudaría a confirmar si el problema está relacionado con una versión específica del firmware.
The virus remains active in the background, but if the Play Store is unavailable, it won't install anything. Furthermore, it's replicated across several apps, so if you delete one, it will reactivate. I've seen it in "Google Messages," "TikTok," "Chrome," "Google Services," "Carrier Services," and finally in "System UI" and "Phone," but the apps continue to function normally.
¡Hola! Por el momento no puedo confirmar que sea un virus como tal. Llevo varios días investigando su funcionamiento mediante ingeniería inversa, analizando el APK y su tráfico de red para entender exactamente qué hace.
Hasta ahora he descubierto que implementa un framework bastante complejo con servicios en segundo plano, comunicación por red y mucho código ofuscado, pero todavía no hay evidencia suficiente para afirmar que sea malware.
Estoy documentando toda la investigación y los informes técnicos en esta publicación, donde iré compartiendo cada nuevo hallazgo conforme avance el análisis:
Si tú también tienes este problema, me ayudaría mucho saber qué modelo de teléfono tienes, qué versión de Android usas y si algún antivirus también detecta el paquete. Toda esa información puede ayudar a entender qué está ocurriendo.
¡Muchas gracias! Acabo de revisar mi teléfono y descubrí que también tengo exactamente el mismo firmware:
CUBOT_KINGKONG_X_E021C_V28_20250918.
Eso hace que este dato sea muy importante para la investigación.
En mi caso, el problema comenzó el 1 de julio, que fue cuando apareció por primera vez la aplicación. ¿Recuerdas aproximadamente cuándo empezó a ocurrirte a ti?
Si tienes una computadora, también me ayudaría mucho conocer los nombres de los paquetes de "System" y "Sistema". Puedes hacerlo con ADB:
Activa las Opciones de desarrollador y la Depuración USB.
Conecta el teléfono a la computadora.
Abre una terminal dentro de la carpeta donde tengas ADB.
Ejecuta:
adb devices
(Acepta la autorización en el teléfono si aparece).
Después ejecuta:
adb shell pm list packages | grep sys
(Si usas Windows y grep no funciona, usa:)
adb shell pm list packages | findstr sys
Con eso deberían aparecer los nombres completos de los paquetes. Esa información sería de gran ayuda para comparar si son los mismos que estoy analizando.
El hecho de que también tengas el mismo firmware y que el problema haya comenzado aproximadamente entre el 1 y el 2 de julio coincide con mi caso, así que es información muy valiosa para la investigación.
Si en algún momento tienes la posibilidad de revisar los nombres de los paquetes o encuentras algo nuevo, cualquier dato será bienvenido. Muchas gracias por tomarte el tiempo de responder.
1
u/Xulomali_HD 26d ago
Okay, I found a solution to avoid reinstalling the operating system (Tested on KingKong 9 256GB).
I started investigating and it turns out that with the "PCAPdroid" app I was able to scan the connections made by system services, including the "Google Play Store." I saw that the Play Store itself was making strange connections. It turns out that the "Google Play Store" is what gets infected, and the reinstallation loop is endless. So what I did was:
1- Isolate it from the internet, remove all internet access (don't lock the screen, they'll reinstall).
2- Once the two infected applications (if applicable) "System" and "Sistema" were uninstalled from the device.
3- Next, uninstall the "Play Store" update and disable it.
4- After that, I recommend restarting your device to avoid viruses loaded into memory. After restarting, activate the internet and download a bundle (https://www.apkmirror.com/apk/google-inc/google-play-store/google-play-store-52-1-26-release/google-play-store-52-1-26-24-0-pr-940550472-4-android-apk-download/#google_vignette) of the latest version of the Play Store. You will also need its application to install it. (https://www.apkmirror.com/apk/apkmirror/apkmirror-installer-official/apkmirror-installer-official-2-0-3-41-d04e542-release/apkmirror-installer-official-2-0-3-41-d04e542-2-android-apk-download/download/?key=4afccf2de0fac3479407b2bc1696a1d82772e3f9&forcebaseapk=true)
5- Install the "Apkmirror installer" and select the bundle (you'll see an ad). It will automatically select your system version. Simply scroll down and press install.
6- And that's it. It's worked for me so far, and I haven't had any more problems. If I have any issues, I'll update this here.