Поддержка
Круглосуточная поддержка

Позвоните

Бесплатно по России:
8-800-333-79-32

ЧаВо | Форум

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

Android.SmsSpy.6178

Добавлен в вирусную базу Dr.Web: 2017-08-30

Описание добавлено:

Техническая информация

Вредоносные функции:
Отправляет СМС-сообщения:
  • 106904006189121: myqxt<IMSI>
Загружает на исполнение код следующих детектируемых угроз:
  • Android.Exploit.52
  • Android.SmsSend.21305
  • Android.SmsSend.22269
  • Android.Triada.235.origin
  • Android.Triada.236.origin
  • Android.Triada.243
  • Android.Triada.247.origin
  • Android.Triada.248.origin
  • Tool.SilentInstaller.3.origin
Загружает из Интернета следующие детектируемые угрозы:
  • Tool.SilentInstaller.3.origin
Отправляет данные получаемых СМС-сообщений на удалённый хост.
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Перехватывает входящие смс и прекращает процесс их передачи обработчикам других приложений.
Сетевая активность:
Подключается к:
  • UDP(DNS) <Google DNS>
  • TCP(GCM) <Google Host>
  • TCP(HTTP/1.1) pus####.tou####.cn:80
  • TCP(HTTP/1.1) pay.lik####.com:7820
  • TCP(HTTP/1.1) l.ace####.com:80
  • TCP(HTTP/1.1) img.ace####.com:80
  • TCP(HTTP/1.1) api.lik####.com:7830
  • TCP(HTTP/1.1) do####.abc####.info:8010
  • TCP(HTTP/1.1) dws.you####.com.####.com:8080
  • TCP(HTTP/1.1) sdk.hzzr####.com:80
  • TCP(HTTP/1.1) s####.hzzr####.com:80
  • TCP(HTTP/1.1) do####.abc####.info:6020
  • TCP(HTTP/1.1) d####.to####.net.####.com:80
  • TCP(HTTP/1.1) d####.abc####.info:8400
  • TCP(HTTP/1.1) 1####.27.154.102:1234
  • TCP(HTTP/1.1) air.abc####.info:8400
  • TCP(HTTP/1.1) pus####.to####.net:80
  • TCP(HTTP/1.1) m.b####.com:80
  • TCP(HTTP/1.1) a####.xctr####.com:12580
  • TCP(HTTP/1.1) api.lik####.com:7840
  • TCP(HTTP/1.1) air.abc####.info:8200
  • TCP(TLS/1.0) f####.b####.com:443
  • TCP(TLS/1.0) m.b####.com:443
  • TCP(TLS/1.0) box.jom####.com:443
  • TCP(TLS/1.0) ti####.jom####.com:443
  • TCP(TLS/1.0) hpd.b####.com:443
  • TCP(TLS/1.0) ss1.b####.com:443
  • TCP(TLS/1.0) als.b####.com:443
  • TCP(TLS/1.0) ss2.b####.com:443
  • TCP(TLS/1.0) ss0.bdst####.com:443
  • TCP(TLS/1.0) g####.bdst####.com:443
Запросы DNS:
  • a####.xctr####.com
  • air.abc####.info
  • als.b####.com
  • api.lik####.com
  • d####.abc####.info
  • d####.to####.net
  • do####.abc####.info
  • dws.you####.com
  • f####.b####.com
  • g####.bdst####.com
  • hpd.b####.com
  • img.ace####.com
  • l.ace####.com
  • m.b####.com
  • mt####.go####.com
  • pay.lik####.com
  • pus####.to####.net
  • pus####.tou####.cn
  • s####.hzzr####.com
  • s.bdst####.com
  • sdk.hzzr####.com
  • ss0.b####.com
  • ss0.bdst####.com
  • ss1.b####.com
  • ss2.b####.com
  • ti####.b####.com
  • timg####.b####.com
  • timg####.b####.com
  • timg####.b####.com
  • up####.abc####.info
Запросы HTTP GET:
  • a####.xctr####.com:12580/log2?c=####
  • api.lik####.com:7830/openplg?appid=####&channelid=####
  • api.lik####.com:7840/gselfc?iccid=####&price=####&imsi=####&imei=####&ap...
  • api.lik####.com:7840/gselfpi?appid=####&channel=####
  • d####.to####.net.####.com/update/plugin-release-v4.9.3.zip
  • l.ace####.com/ando/i/mon?k=####&d=####
  • pay.lik####.com:7820/?igtcmd=####&gameid=####
  • pus####.to####.net/czfiles/plugindp
  • pus####.tou####.cn/czfiles/uap
  • s####.hzzr####.com/SdkNotity.aspx?i=####&v=####&c=####&av=####&dm=####&t...
  • sdk.hzzr####.com/GetFeeData.aspx
  • sdk.hzzr####.com/getconfig.aspx
  • sdk.hzzr####.com/getjar.aspx?pno=####
  • sdk.hzzr####.com/versioncheck.aspx
Запросы HTTP POST:
  • air.abc####.info:8200/
  • air.abc####.info:8400/
  • l.ace####.com/ando/v1/x/ap?app_id=####&r=####
  • l.ace####.com/ando/v1/x/lv?app_id=####&r=####
  • l.ace####.com/ando/v1/x/qa?app_id=####&r=####
  • pay.lik####.com:7820/
  • s####.hzzr####.com/SdkNotity.aspx?i=####&v=####&c=####&av=####&dm=####&t...
Изменения в файловой системе:
Создает следующие файлы:
  • <Package Folder>/Plugin/####/-1ej-90hY8dgpZFnXdGXyP3e032rLfCY.new
  • <Package Folder>/Plugin/####/0161c336-e21e-49a3-bafb-7811438d4d27.pic.temp
  • <Package Folder>/Plugin/####/18dKS0jKFXXF6HalFwWP1otR11A=.new
  • <Package Folder>/Plugin/####/1rXpPyYzCKAqb3j1W1LyfNjNnQbm74Gq7p...w=.new
  • <Package Folder>/Plugin/####/46ca9d89-4f92-4605-b541-28e22b371bcc.zip
  • <Package Folder>/Plugin/####/4f4ST6b0kSqqaIMBEjTjqQ7iGI7AlzB6.new
  • <Package Folder>/Plugin/####/5477ae1e-0e8b-4096-8161-b4489fba103c.pic
  • <Package Folder>/Plugin/####/55tF9Nps4lZ76vqEHg3Pf1EB3WQ=.new
  • <Package Folder>/Plugin/####/57CSXG4AkRf8mBYZ.zip
  • <Package Folder>/Plugin/####/5b3DPdn1zt39YgFwHCTqawtv6i3q2lvb.new
  • <Package Folder>/Plugin/####/5efb763e-a6f7-4ae3-a07d-516a829dc3ab.pic.temp
  • <Package Folder>/Plugin/####/67FrdcF4gl2hImERCnpAug==.new
  • <Package Folder>/Plugin/####/7af9da7f-16c5-434e-9525-a669433afc92.pic.temp
  • <Package Folder>/Plugin/####/7f1d1984-467b-44e9-88fa-7de96c351f93.pic
  • <Package Folder>/Plugin/####/8GiD6PkdvQ2nFyeg6l6m9g==.new
  • <Package Folder>/Plugin/####/8guDZ8SX6ry5btJM9VQX4N5WVWpIa0K7.new
  • <Package Folder>/Plugin/####/98yrN6pnyVgK_kW9
  • <Package Folder>/Plugin/####/AODMeXNScy7_HZ96Vi1uSo4XuubV503u_I...0qfrU=
  • <Package Folder>/Plugin/####/AODMeXNScy7_HZ96Vi1uSo4XuubV503u_I...ournal
  • <Package Folder>/Plugin/####/AODMeXNScy7_HZ96Vi1uSo4XuubV503u_o...ournal
  • <Package Folder>/Plugin/####/AODMeXNScy7_HZ96Vi1uSo4XuubV503u_r...P3zA==
  • <Package Folder>/Plugin/####/AODMeXNScy7_HZ96Vi1uSo4XuubV503u_r...ournal
  • <Package Folder>/Plugin/####/AODMeXNScy7_HZ96Vi1uSo4XuubV503u_w...BnKg==
  • <Package Folder>/Plugin/####/AODMeXNScy7_HZ96Vi1uSo4XuubV503u_w...ournal
  • <Package Folder>/Plugin/####/AODMeXNScy7_HZ96Vi1uSo4XuubV503u_x...b0cxwe
  • <Package Folder>/Plugin/####/AODMeXNScy7_HZ96Vi1uSo4XuubV503u_x...ournal
  • <Package Folder>/Plugin/####/DATA_DB-journal
  • <Package Folder>/Plugin/####/DapT0cBicj31Ukwa-g2Kz6FfvSqZIAQL.new
  • <Package Folder>/Plugin/####/KooVrmclnZxDD3BodBEzDw==.new
  • <Package Folder>/Plugin/####/LGXEUljdGWi27Y-ctaxaHg==
  • <Package Folder>/Plugin/####/OcSDK_statistics_prom-journal
  • <Package Folder>/Plugin/####/RoDxUpDbrSU_8GIlF7_LfGhidwSK2PQBR4kzVA==.new
  • <Package Folder>/Plugin/####/Signature_0.key
  • <Package Folder>/Plugin/####/Ze2Srj9jcX87736oGlLXNtJ61ts=
  • <Package Folder>/Plugin/####/_4NCQbCuGHS2st_xtb9iS28J7RKr8YEJiQZ_Vg==.new
  • <Package Folder>/Plugin/####/appStatus.xml
  • <Package Folder>/Plugin/####/b1d09335-fc3e-44ea-b160-19504ff68c0e.pic.temp
  • <Package Folder>/Plugin/####/base-1.apk
  • <Package Folder>/Plugin/####/base-1.dex
  • <Package Folder>/Plugin/####/cZE3q-a0CAERcsO7m5Q11FGMShc=.new
  • <Package Folder>/Plugin/####/config.xml
  • <Package Folder>/Plugin/####/d099ed4d-8fbb-4e50-b65e-30fe65627f0d.tmp
  • <Package Folder>/Plugin/####/d4a7175a-b838-469a-9fa1-091b348eaebe.zip
  • <Package Folder>/Plugin/####/dKufBqJ-8F65yEJ1fFZteoI1RFQc54RrA0...8=.new
  • <Package Folder>/Plugin/####/dbA1bcrZRocMyMCZ05QEAl6ZnSUN0FMK.new
  • <Package Folder>/Plugin/####/eOaNAKS7ZFL-EL5m7K1DVQ==
  • <Package Folder>/Plugin/####/ebp_HxP3SX7Fvj5GPr_D3Xx7uwooqGSPU2...Y=.new
  • <Package Folder>/Plugin/####/f44db3d0-436a-4e7d-8337-b7ad73582a1a.pic.temp
  • <Package Folder>/Plugin/####/f4e0c95d-f5fa-46b0-8ffa-e38e61ad01cc.pic.temp
  • <Package Folder>/Plugin/####/f715a6b8-833d-4ad2-bf1c-600d4f965091.zip
  • <Package Folder>/Plugin/####/heajva_f.zip
  • <Package Folder>/Plugin/####/ieZdbxCYWcZKKZLTK058LLErN74908hmlH3b5g==.new
  • <Package Folder>/Plugin/####/iyYUMG9EnSXpYfLn8ZDoPrpjqYVUYPZk.new
  • <Package Folder>/Plugin/####/mDkcatoA8ABe4p_66sbNblmtgNk=.new
  • <Package Folder>/Plugin/####/msXnADIn5f8wu6eiCqHRb91C0LpW5oPQ.new
  • <Package Folder>/Plugin/####/n2-lXTPq9At8Dxrw
  • <Package Folder>/Plugin/####/o1dL_wOqU1J7z9hZzaAnSP4D6kQ=.new
  • <Package Folder>/Plugin/####/ocean_primary_ad_sp.xml
  • <Package Folder>/Plugin/####/plugin.jar
  • <Package Folder>/Plugin/####/qYQcDVOKZu713Pzv_HcA_uARzYGrcMgAy6...A=.new
  • <Package Folder>/Plugin/####/rdata_comwjkziukz.new
  • <Package Folder>/Plugin/####/runner_info.prop.new
  • <Package Folder>/Plugin/####/smsJx_v4.xml
  • <Package Folder>/Plugin/####/tmp.JH2114
  • <Package Folder>/Plugin/####/update.db
  • <Package Folder>/Plugin/####/update.db-journal
  • <Package Folder>/Plugin/####/wKYCDh6Vqr7To9kk.new
  • <Package Folder>/Plugin/####/wochi_v4.db-journal
  • <Package Folder>/app_payload_lib/done
  • <Package Folder>/app_payload_lib/libcocos2dcpp.so
  • <Package Folder>/app_payload_lib/libcrypt_sign.so
  • <Package Folder>/app_payload_lib/libgoldcoast.so
  • <Package Folder>/app_payload_lib/libkjOnlinePay.so
  • <Package Folder>/cache/####/data_0
  • <Package Folder>/cache/####/data_1
  • <Package Folder>/cache/####/data_2
  • <Package Folder>/cache/####/data_3
  • <Package Folder>/cache/####/f_000001
  • <Package Folder>/cache/####/f_000002
  • <Package Folder>/cache/####/f_000003
  • <Package Folder>/cache/####/f_000004
  • <Package Folder>/cache/####/f_000005
  • <Package Folder>/cache/####/f_000006
  • <Package Folder>/cache/####/f_000007
  • <Package Folder>/cache/####/f_000008
  • <Package Folder>/cache/####/f_000009
  • <Package Folder>/cache/####/f_00000a
  • <Package Folder>/cache/####/f_00000b
  • <Package Folder>/cache/####/f_00000c
  • <Package Folder>/cache/####/f_00000d
  • <Package Folder>/cache/####/f_00000e
  • <Package Folder>/cache/####/f_00000f
  • <Package Folder>/cache/####/index
  • <Package Folder>/databases/webview.db-journal
  • <Package Folder>/databases/webviewCookiesChromium.db-journal
  • <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
  • <Package Folder>/files/a0c175d0.apk
  • <Package Folder>/files/cc9e77dc2cdc6f8048a3296c67fa0c76.apk
  • <Package Folder>/files/dp.apk
  • <Package Folder>/files/net.tt.plugin.damai.apk
  • <Package Folder>/files/net.tt.plugin.miwan (deleted)
  • <Package Folder>/files/net.tt.plugin.miwan.apk
  • <Package Folder>/files/net.tt.plugin.myadv (deleted)
  • <Package Folder>/files/net.tt.plugin.myadv.apk
  • <Package Folder>/files/net.tt.plugin.mysdk (deleted)
  • <Package Folder>/files/net.tt.plugin.mysdk.apk
  • <Package Folder>/files/net.tt.plugin.qipa (deleted)
  • <Package Folder>/files/net.tt.plugin.qipa.apk
  • <Package Folder>/files/net.tt.plugin.shangan (deleted)
  • <Package Folder>/files/net.tt.plugin.shangan.apk
  • <Package Folder>/files/net.tt.plugin.taiku.apk
  • <Package Folder>/files/net.tt.plugin.utadv (deleted)
  • <Package Folder>/files/net.tt.plugin.utadv.apk
  • <Package Folder>/files/net.tt.plugin.yiyou (deleted)
  • <Package Folder>/files/net.tt.plugin.yiyou.apk
  • <Package Folder>/files/net.tt.plugin.yufeng.apk
  • <Package Folder>/files/net.tt.plugin.zhongzhi.apk
  • <Package Folder>/files/u.apk
  • <Package Folder>/shared_prefs/session.xml
  • <SD-Card>/.armsd/####/043e7ac3-a8b2-4df7-84a0-658b9ace10f1.res
  • <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
  • <SD-Card>/.armsd/####/7d86faaf-17ea-42d9-9ada-47611b1d557d.res
  • <SD-Card>/.armsd/####/81ba06a3-b6ca-4e59-b4cd-6cec82638395.res
  • <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
  • <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
  • <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
  • <SD-Card>/.armsd/####/f4983475-7ade-4952-95b0-286d8043fee6.res
  • <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
  • <SD-Card>/.d080d3a37b0be7bc7c15c0a5ac76bc64/####/6dd7103f-5376-...72.zip
  • <SD-Card>/.d080d3a37b0be7bc7c15c0a5ac76bc64/.config
  • <SD-Card>/.env/.uunique.new
  • <SD-Card>/com.zckj.files/u.apk
Другие:
Запускает следующие shell-скрипты:
  • /system/bin/netcfg
  • <Package Folder>/Plugin/net.tt.plugin.utadv/data/net.tt.plugin.utadv/code-7100036/98yrN6pnyVgK_kW9 -p net.tt.plugin.utadv -c com.wjkz.iukz.buwvq.hi.hi.pw.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
  • chmod -R 755 <Package Folder>/Plugin
  • sh <Package Folder>/Plugin/net.tt.plugin.utadv/data/net.tt.plugin.utadv/code-7100036/98yrN6pnyVgK_kW9 -p net.tt.plugin.utadv -c com.wjkz.iukz.buwvq.hi.hi.pw.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
  • axuogqzj
  • yeudqbkm
Использует следующие алгоритмы для шифрования данных:
  • DES-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
  • AES-CBC-PKCS5Padding
  • DES-ECB-NoPadding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.

Рекомендации по лечению


Android

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке