Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.589.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) res.play####.com.####.com:80
- TCP(HTTP/1.1) st####.play####.com.####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) 1####.205.160.63:80
- TCP(HTTP/1.1) statis####.play####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) p####.chengdu####.cn:80
- TCP(HTTP/1.1) cdn-st####.play####.com:80
- TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
- TCP umengj####.m.ta####.com:443
- TCP 1####.205.160.76:443
Запросы DNS:
- a####.u####.com
- ag####.m.ta####.com
- cdn-st####.play####.com
- loc.map.b####.com
- msg.umengc####.com
- p####.chengdu####.cn
- res.play####.com
- st####.play####.com
- statis####.play####.com
- umengj####.m.ta####.com
Запросы HTTP GET:
- cdn-st####.play####.com/doc/static/get_busi_config.html
- res.play####.com.####.com/upload/haogame/20170506/15/1496733318052.webp
- st####.play####.com.####.com/doc/static/banner_adv.html
- st####.play####.com.####.com/doc/static/channels.html
- st####.play####.com.####.com/doc/static/get_taojin.html
- st####.play####.com.####.com/doc/static/welcome_adv.html
Запросы HTTP POST:
- cdn-st####.play####.com/doc/checkShieldAdv.htm
- loc.map.b####.com/offline_loc
- loc.map.b####.com/sdk.php
- p####.chengdu####.cn/jzbdt/gl/y/c
- p####.chengdu####.cn/jzbdt/sm/j
- p####.chengdu####.cn/jzbdt/twbhd/csxd
- statis####.play####.com/statistics/init.json
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/databases/AdFilter.db-journal
- <Package Folder>/databases/MessageStore.db-journal
- <Package Folder>/databases/MsgLogStore.db-journal
- <Package Folder>/databases/accs.db-journal
- <Package Folder>/databases/ad_filter.db-journal
- <Package Folder>/databases/message_accs_db
- <Package Folder>/databases/message_accs_db-journal
- <Package Folder>/databases/t_u.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/databases/webviewCookiesChromiumPrivate.db-jou...leted)
- <Package Folder>/databases/webviewCookiesChromiumPrivate.db-journal
- <Package Folder>/eudemon
- <Package Folder>/files/####/firll.dat
- <Package Folder>/files/####/ofl.config
- <Package Folder>/files/####/ofl_location.db
- <Package Folder>/files/####/ofl_location.db-journal
- <Package Folder>/files/####/ofl_statistics.db
- <Package Folder>/files/####/ofl_statistics.db-journal
- <Package Folder>/files/.imprint
- <Package Folder>/files/DaemonServer
- <Package Folder>/files/agoo.pid
- <Package Folder>/files/libcuid.so
- <Package Folder>/files/ls.jar
- <Package Folder>/files/mobclick_agent_cached_<Package>219
- <Package Folder>/files/sa.jar
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml.bak
- <Package Folder>/shared_prefs/ACCS_BIND.xml
- <Package Folder>/shared_prefs/ACCS_SDK.xml
- <Package Folder>/shared_prefs/ACCS_SDK.xml.bak
- <Package Folder>/shared_prefs/ACCS_SDK_CHANNEL.xml
- <Package Folder>/shared_prefs/Agoo_AppStore.xml
- <Package Folder>/shared_prefs/Alvin2.xml
- <Package Folder>/shared_prefs/ContextData.xml
- <Package Folder>/shared_prefs/dsi.xml
- <Package Folder>/shared_prefs/kr.xml
- <Package Folder>/shared_prefs/kr.xml.bak
- <Package Folder>/shared_prefs/multidex.version.xml
- <Package Folder>/shared_prefs/syezon_agent_online_setting_<Package>.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml.bak
- <Package Folder>/shared_prefs/vl.xml
- <SD-Card>/.DataStorage/ContextData.xml
- <SD-Card>/.UTSystemConfig/####/Alvin2.xml
- <SD-Card>/.android/####/flowadd
- <SD-Card>/Android/####/.nomedia
- <SD-Card>/Android/####/4ffa4567f57f4a959d3cf170b38d95e2
- <SD-Card>/Android/####/58097c6b71544648ad880ccc6340a2a3
- <SD-Card>/Android/####/c5299c2a64d849f9b18f2628216c84c5
- <SD-Card>/Download/####/accs_election
- <SD-Card>/ImgCach/wifi_logo_661.temp
- <SD-Card>/backups/####/.cuid2
- <SD-Card>/baidu/####/conlts.dat
- <SD-Card>/baidu/####/ller.dat
- <SD-Card>/baidu/####/ls.db
- <SD-Card>/baidu/####/ls.db-journal
- <SD-Card>/test.0
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:56cfdc2567e58eb021002106","utdid":"WYRpU5J+YSsDAGdzx1FimgYi","sdkVersion":"212"} -I agoodm.m.taobao.com -O 80 -T -Z
- chmod 500 <Package Folder>/files/DaemonServer
- sh
Загружает динамические библиотеки:
- _gasxu126
- locSDK6a
- tnet-3.1
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
