Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.2128
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- 7j####.####.com
- a####.####.com
- aexcep####.####.com:8012
- and####.####.com
- c-h####.####.com
- l####.####.com
- reso####.####.net
- s####.####.com
Запросы HTTP GET:
- 7j####.####.com/tdata_bsx737
- a####.####.com/rest/api3.do?ttid=####&t=####&deviceId=####&imei=####&app...
- a####.####.com/spdyip/?appkey=####&ttid=####&deviceId=####&imei=####&nt=...
- reso####.####.net/gslb/?ver=####&type=####&conpt=####&uuid=####&list=###...
- s####.####.com/config/hz-hzv3.conf
Запросы HTTP POST:
- aexcep####.####.com:8012/rqd/async
- and####.####.com/rqd/async
- c-h####.####.com/api.php?format=####&t=####
- l####.####.com/sdk.php
- s####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/database/pushinfo.db
- <Package Folder>/database/pushinfo.db-journal
- <Package Folder>/databases/####/cc.db
- <Package Folder>/databases/####/cc.db-journal
- <Package Folder>/databases/MsgLogStore.db-journal
- <Package Folder>/databases/UmengLocalNotificationStore.db-journal
- <Package Folder>/databases/bugly_db_legu-journal
- <Package Folder>/databases/pushext.db-journal
- <Package Folder>/databases/pushg.db-journal
- <Package Folder>/databases/pushsdk.db-journal
- <Package Folder>/databases/pushstat_5.2.0.db
- <Package Folder>/databases/pushstat_5.2.0.db-journal
- <Package Folder>/databases/tmpd8.db-journal
- <Package Folder>/files/####/firll.dat
- <Package Folder>/files/####/ofl.config
- <Package Folder>/files/####/ofl_location.db
- <Package Folder>/files/####/ofl_location.db-journal
- <Package Folder>/files/####/ofl_statistics.db
- <Package Folder>/files/####/ofl_statistics.db-journal
- <Package Folder>/files/.legudb
- <Package Folder>/files/.legudb.x86
- <Package Folder>/files/<Package>;pushservice
- <Package Folder>/files/DaemonServer
- <Package Folder>/files/agoo.pid
- <Package Folder>/files/bdpush_modeconfig.json
- <Package Folder>/files/gdaemon_20161017
- <Package Folder>/files/init.pid
- <Package Folder>/files/init_c1.pid
- <Package Folder>/files/libcuid.so
- <Package Folder>/files/local_crash_lock
- <Package Folder>/files/local_crash_lock (deleted)
- <Package Folder>/files/mobclick_agent_cached_<Package>506
- <Package Folder>/files/native_record_lock
- <Package Folder>/files/native_record_lock (deleted)
- <Package Folder>/files/push.pid
- <Package Folder>/files/run.pid
- <Package Folder>/files/security_info
- <Package Folder>/files/tdata_bsx737
- <Package Folder>/files/tdata_bsx737.jar
- <Package Folder>/files/tdata_zbx251
- <Package Folder>/files/tdata_zbx251.jar
- <Package Folder>/mix.dex
- <Package Folder>/shared_prefs/<Package>.push_sync.xml
- <Package Folder>/shared_prefs/<Package>.push_sync.xml (deleted)
- <Package Folder>/shared_prefs/<Package>.self_push_sync.xml
- <Package Folder>/shared_prefs/AGOO_CONNECT.xml
- <Package Folder>/shared_prefs/AGOO_HOST.xml
- <Package Folder>/shared_prefs/Alvin2.xml
- <Package Folder>/shared_prefs/AppStore.xml
- <Package Folder>/shared_prefs/ContextData.xml
- <Package Folder>/shared_prefs/PhoneUtil.xml
- <Package Folder>/shared_prefs/Setting.xml
- <Package Folder>/shared_prefs/XMPushServiceConfig.xml
- <Package Folder>/shared_prefs/cn.jpush.android.user.profile.xml
- <Package Folder>/shared_prefs/cn.jpush.preferences.v2.xml
- <Package Folder>/shared_prefs/cn.jpush.preferences.v2.xml.bak
- <Package Folder>/shared_prefs/cn.jpush.preferences.v2.xml.bak (deleted)
- <Package Folder>/shared_prefs/com.baidu.pushservice.BIND_CACHE.xml
- <Package Folder>/shared_prefs/getui_sp.xml
- <Package Folder>/shared_prefs/gx_sp.xml
- <Package Folder>/shared_prefs/mipush.xml
- <Package Folder>/shared_prefs/mipush.xml (deleted)
- <Package Folder>/shared_prefs/mipush.xml.bak
- <Package Folder>/shared_prefs/mipush_account.xml
- <Package Folder>/shared_prefs/mipush_extra.xml
- <Package Folder>/shared_prefs/pref_registered_pkg_names.xml
- <Package Folder>/shared_prefs/pst.xml
- <Package Folder>/shared_prefs/pst.xml.bak
- <Package Folder>/shared_prefs/pushclient.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml.bak
- <Package Folder>/shared_prefs/umeng_general_config.xml.bak (deleted)
- <Package Folder>/shared_prefs/umeng_message_state.xml
- <Package Folder>/tx_shell/libshella-2.8.2.so
- <SD-Card>/.DataStorage/ContextData.xml
- <SD-Card>/.UTSystemConfig/####/Alvin2.xml
- <SD-Card>/backups/####/.cuid
- <SD-Card>/backups/####/.cuid2
- <SD-Card>/baidu/####/conlts.dat
- <SD-Card>/baidu/####/ller.dat
- <SD-Card>/baidu/####/ls.db
- <SD-Card>/baidu/####/ls.db-journal
- <SD-Card>/data/.push_deviceid
- <SD-Card>/libs/<Package>.bin
- <SD-Card>/libs/<Package>.db
- <SD-Card>/libs/app.db
- <SD-Card>/libs/com.getui.sdk.deviceId.db
- <SD-Card>/libs/com.igexin.sdk.deviceId.db
- <SD-Card>/module.dex
- <SD-Card>/system/####/tdata_bsx737
- <SD-Card>/system/####/tdata_zbx251
- <SD-Card>/test.0
Другие:
Запускает следующие shell-скрипты:
- /data/data/com.uc.addon.expresscheck/files/gdaemon_20161017 0 com.uc.addon.expresscheck/com.uc.addon.expresscheck.impl.GetuiService 25479 300 0
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.build.rom.id
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- /system/bin/sh -c type su
- <Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.umeng.message.UmengService --es cockroach cockroach-PPreotect --es pack <Package> --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_android_daemon_1.1.0 -L http://agoodm.m.taobao.com/agoo/report -D %7B%22package%22%3A%22<Package>%22%2C%22appKey%22%3A%22umeng%3A5859e661310c934e070000eb%22%2C%22utdid%22%3A%22WXmZOCuf2oADAGdzx1FLbNw5%22%2C%22sdkVersion%22%3A%2220160215%22%7D -I agoodm.m.taobao.com -O 80 -T -Z
- <error:2>
- app_process / <Package>.ui.Daemon --nice-name=<Package>.process
- chmod 500 <Package Folder>/files/DaemonServer
- chmod 700 /data/data/com.uc.addon.expresscheck/files/gdaemon_20161017
- chmod 700 /data/data/com.uc.addon.expresscheck/tx_shell/libshella-2.8.2.so
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 700 <Package Folder>/tx_shell/libshella-2.8.2.so
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.fingerprint
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lenovo.series
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.build.display.id
- getprop ro.yunos.version
- id
- logcat -d -v threadtime
- netstat -ant
- sh
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.impl.GetuiService 25479 300 0
Загружает динамические библиотеки:
- Bugly
- bdpush_V2_7
- getuiext2
- jcore100
- liblegudb.x86
- libmestub.houdini
- libshella-2.8.2
- locSDK6a
- tnet-2.1.20
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-NoPadding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
