api-e-integracoes.md — contratos de rede observados

Nada foi chamado. Todos os domínios abaixo foram obtidos por leitura estática do DEX. Não houve requisição aos servidores, não foram usadas credenciais e o backend não foi "recuperado": o que segue é o contrato observado no cliente.

1. Como os domínios estavam escondidos

Dois esquemas, ambos em defpackage/bs.java (classe bs):

(a) Reversão de string — com.totalsecure.utils.UtilZ0Y480.decode() inverte a string:

(b) base64 + XOR de 4 bytes (chave {42, 31, 55, 13}, bs.x()), métodos privados _a(), _b(), _c(), _d():

fm5oo1jxl apenas expõe bs.getWsUrl() / bs.getWebUrl() / bs.getPanelStatusUrl() como constantes (a086wc0daqk, a0i932lzo, a0l, a1gfkfn6pmcg4pznxmjj). As três URLs de cupworldcup.site são código morto neste APK — nenhuma chamada, nenhuma referência — mas revelam infraestrutura do mesmo autor (mesma cifra, mesma estrutura de caminhos /api/status).

2. Inventário de endpoints observados

Domínios: dashboard.gripe (ativo) e cupworldcup.site (legado). Nenhum outro http(s)/wss foi encontrado no DEX fora de bibliotecas (varredura de 700 literais http no classes.dex: todos OkHttp/AndroidX/schemas XML).

3. Contrato do WebSocket (reconstruído de vo5bwh.java, vn9w9z8k.java, ye0.java)

3.1 Conexão

// vo5bwh.<init>(wsUrl, sessionId)
OkHttpClient client = new OkHttpClient.Builder()
        .pingInterval(15, TimeUnit.SECONDS)      // keep-alive
        .build();
this.ws = client.newWebSocket(new Request.Builder().url(wsUrl).build(), new vn9w9z8k(this, sessionId));
scheduler.scheduleAtFixedRate(this::lambda$new$0, 3, 3, TimeUnit.SECONDS);  // reconexão / heartbeat de estado

• Nenhum header customizado, nenhum Authorization, nenhum certificado fixado (CertificatePinner não é usado).
• Reconexão: a tarefa de 3 s chama reconnectWebSocket() (só se nunca conectou) e, quando deviceReady, sendDeviceStatus().
• Sessão: sessionId = Build.MODEL + "_" + últimos 4 dígitos de Settings.Secure.android_id (ReFragment.updateHardwareId) — identificador previsível e reutilizável, não é segredo.

3.2 Mensagens cliente → servidor

3.3 Mensagens servidor → cliente

3.4 Fluxo de uma transação (formato do fio)

Macete local em ReFragment.lambda$handleTagData$10: se o comando começa com 80A8 (GET RESPONSE do GENERATE AC/CVM), a UI é trocada em runOnUiThread antes de enviar — ou seja, a tela muda para pedir o PIN exatamente no momento da verificação de CVM do cartão. [comprovado]

3.5 Tratamento de erro

4. Segurança do canal (avaliação)

5. SDKs e integrações de terceiros

Ou seja: a única integração externa é o próprio servidor de relay. Não há telemetria de terceiros.

6. Credenciais e segredos

Varredura do classes.dex (21.858 strings) por Bearer, token, api_key, apikey, secret, password, @gmail: nenhuma chave, token ou credencial encontrada. O modelo de confiança não usa autenticação — o "segredo" é o próprio cartão da vítima. Nada foi mascarado porque nada existe para mascarar; as únicas credenciais envolvidas na execução foram as do proxy (mascaradas e removidas — ver README.md §6).