Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.337.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) wwh####.wawa####.cn:8095
- TCP(HTTP/1.1) a####.m.ta####.com:80
- TCP(HTTP/1.1) and####.5####.com:80
- TCP(HTTP/1.1) and####.5####.com:8077
- TCP(HTTP/1.1) o####.lov####.com:80
- TCP(HTTP/1.1) cdn.lov####.com.####.com:80
- UDP(NTP) 2.and####.p####.####.org:123
- TCP(TLS/1.0) and####.cli####.go####.com:443
- TCP 1####.205.160.76:443
Запросы DNS:
- 2.and####.p####.####.org
- a####.m.ta####.com
- acc####.m.ta####.com
- ag####.m.ta####.com
- and####.5####.com
- and####.cli####.go####.com
- cdn.lov####.com
- mt####.go####.com
- o####.lov####.com
- wwh####.wawa####.cn
Запросы HTTP GET:
- cdn.lov####.com.####.com/mainjarupdate/opensdk/30006/empty/114/main.zip
- cdn.lov####.com.####.com/vmupdate/opensdk/common/44804/vm.zip
- o####.lov####.com/oda.php?action=####&chid=####&vercode=####&data=ey####...
- o####.lov####.com/oda.php?action=####&data=####
- o####.lov####.com/oda.php?action=####&data=ey####
- wwh####.wawa####.cn:8095/gensdkuser.php?chid=####&cpmeta=####&vercode=##...
- wwh####.wawa####.cn:8095/picksdkgame.php?chid=####&cpmeta=####&vercode=#...
- wwh####.wawa####.cn:8095/sdkstatistics.php?action=####&data=ey####
Запросы HTTP POST:
- a####.m.ta####.com/amdc/mobileDispatch?appkey=####&platform=####&v=####&...
- and####.5####.com/zm-adv-mis/adv/list/query.do
- and####.5####.com:8077/android/third/prefetch/index.do
- and####.5####.com:8077/record-plat/record/upload.do
- and####.5####.com:8077/record-plat/seq/query.do
Изменения в файловой системе:
Создает следующие файлы:
- /data/media/####/sdkinfo.txt
- <Package Folder>/.lebiansdk/####/lbsdk.jar.tmp
- <Package Folder>/.lebiansdk/####/lbvmrt.jar.tmp
- <Package Folder>/.lebiansdk/####/libapplypatch.so
- <Package Folder>/.lebiansdk/####/main.zip.dload
- <Package Folder>/.lebiansdk/####/tmp.AS3516
- <Package Folder>/.lebiansdk/####/tmp.DG3113
- <Package Folder>/.lebiansdk/####/tmp.EV3516
- <Package Folder>/.lebiansdk/####/tmp.MR3364
- <Package Folder>/.lebiansdk/####/tmp.dC3655
- <Package Folder>/.lebiansdk/####/tmp.lE3364
- <Package Folder>/.lebiansdk/####/tmp.sz3113
- <Package Folder>/.lebiansdk/####/vm.zip.dload
- <Package Folder>/SkyAdver_file/LatestPushIndex
- <Package Folder>/SkyAdver_file/NotifyBarAdvResponse
- <Package Folder>/SkyAdver_file/PushDataServerTime
- <Package Folder>/SkyAdver_file/reqseq
- <Package Folder>/app_workbench27858/apk.zip
- <Package Folder>/app_workbench33384/apk.zip
- <Package Folder>/app_workbench38684/apk.zip
- <Package Folder>/app_workbench38910/apk.zip
- <Package Folder>/app_workbench55568/apk.zip
- <Package Folder>/app_workbench61094/apk.zip
- <Package Folder>/app_workbench62068/apk.zip
- <Package Folder>/app_workbench66620/apk.zip
- <Package Folder>/app_workbench67594/apk.zip
- <Package Folder>/app_workbench72452/apk.zip
- <Package Folder>/app_workbench73120/apk.zip
- <Package Folder>/app_workbench77752/apk.zip
- <Package Folder>/app_workbench77978/apk.zip
- <Package Folder>/app_workbench78646/apk.zip
- <Package Folder>/app_workbench83278/apk.zip
- <Package Folder>/databases/Data_sync.db-journal
- <Package Folder>/databases/MessageStore.db-journal
- <Package Folder>/databases/accs.db-journal
- <Package Folder>/databases/message_accs_db
- <Package Folder>/databases/message_accs_db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/databases/webviewCookiesChromiumPrivate.db-jou...leted)
- <Package Folder>/files/DaemonServer
- <Package Folder>/files/agoo.pid
- <Package Folder>/files/libabc
- <Package Folder>/shared_prefs/ACCS_BIND.xml
- <Package Folder>/shared_prefs/ACCS_SDK.xml
- <Package Folder>/shared_prefs/ACCS_SDK.xml (deleted)
- <Package Folder>/shared_prefs/ACCS_SDK_CHANNEL.xml
- <Package Folder>/shared_prefs/ACCS_SDK_CHANNEL.xml.bak
- <Package Folder>/shared_prefs/Agoo_AppStore.xml
- <Package Folder>/shared_prefs/Alvin2.xml
- <Package Folder>/shared_prefs/ContextData.xml
- <Package Folder>/shared_prefs/excl_lb_gameInfo.xml
- <Package Folder>/shared_prefs/excl_lb_md5Info.xml
- <Package Folder>/shared_prefs/excl_lb_queryInfo.xml
- <Package Folder>/shared_prefs/excl_lb_updateInfo.xml
- <Package Folder>/shared_prefs/excl_lb_userInfo.xml
- <Package Folder>/shared_prefs/lebian_base.xml
- <Package Folder>/shared_prefs/lebian_base.xml.bak
- <Package Folder>/shared_prefs/lebian_open.xml
- <Package Folder>/shared_prefs/plugin_record_app_info.xml
- <Package Folder>/shared_prefs/pref_advert.xml
- <Package Folder>/shared_prefs/pref_recomm.xml
- <Package Folder>/shared_prefs/pref_recomm.xml.bak (deleted)
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <SD-Card>/.DataStorage/ContextData.xml
- <SD-Card>/.UTSystemConfig/####/Alvin2.xml
- <SD-Card>/Android/####/.nomedia
- <SD-Card>/Android/####/9906c4a5b46243dbbb76c818b95d3a5b
- <SD-Card>/Android/####/LatestPushIndex
- <SD-Card>/Android/####/NotifyBarAdvResponse
- <SD-Card>/Android/####/PushDataServerTime
- <SD-Card>/Android/####/com.skymobi.pay.plugin.advert.data
- <SD-Card>/Android/####/com.skymobi.pay.plugin.main.data
- <SD-Card>/Android/####/com.skymobi.pay.plugin.push.data
- <SD-Card>/Android/####/com.skymobi.pay.plugin.recordupload.data
- <SD-Card>/Android/####/com.skymobi.pay.plugin.smspay.data
- <SD-Card>/Android/####/com.skymobi.pay.plugin.thirdpay.data
- <SD-Card>/Android/####/inapp_20170804.log
- <SD-Card>/Android/####/inapp_20170916.log
- <SD-Card>/Android/####/reqseq
- <SD-Card>/Android/####/service_20170804.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:55509430e0f55a1d7d001798","utdid":"WYRmpSpk2EkDAGdzx1EhJksC","sdkVersion":"212"} -I agoodm.m.taobao.com -O 80 -T -Z
- chmod 500 <Package Folder>/files/DaemonServer
- sh
Загружает динамические библиотеки:
- applypatch
- c++_shared
- libabc
- tnet-3.1
- wwddz
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
