Android.Packed.36489

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.DownLoader.657.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) hm.b####.com:80
TCP(HTTP/1.1) wild####.q####.cn.####.net:80
TCP(HTTP/1.1) sta####.x####.us.####.com:80
TCP(HTTP/1.1) d14uy7w####.cloudf####.net:80
TCP(HTTP/1.1) www.zuoye####.com.cn:80
TCP(HTTP/1.1) s.wagbr####.alibaba####.com:80
TCP(HTTP/1.1) www.365ed####.com:80
TCP(HTTP/1.1) www.yunxiao####.com:80
TCP(HTTP/1.1) 47.92.1####.96:80
TCP(HTTP/1.1) im####.135ed####.com:80
TCP(HTTP/1.1) cdn.game####.org:80
TCP(HTTP/1.1) 1####.76.224.67:80
TCP(TLS/1.0) av####.yunxiao####.com:443
TCP(TLS/1.0) img.yunxiao####.com:443
TCP(TLS/1.0) x####.l####.top:443
TCP(TLS/1.0) wild####.q####.cn.####.net:443
TCP(TLS/1.0) app-ro####.leanc####.cn:443
TCP(TLS/1.0) s####.tc.qq.com:443
TCP(TLS/1.0) l####.cc:443

Запросы DNS:

a####.u####.com
app-ro####.leanc####.cn
au.u####.co
au.u####.com
av####.yunxiao####.com
cdn.game####.org
d14uy7w####.cloudf####.net
hm.b####.com
im####.135ed####.com
img.yunxiao####.com
l####.cc
m####.q####.cn
r####.wx.qq.com
rdn.135ed####.com
sta####.x####.us
www.365ed####.com
www.yunxiao####.com
www.zuoye####.com.cn
x####.l####.top

Запросы HTTP GET:

cdn.game####.org/strategy/UnknownDev
cdn.game####.org/strategy/base
cdn.game####.org/strategy/dev_root
cdn.game####.org/strategy/dev_root2
cdn.game####.org/strategy/larger4.3
cdn.game####.org/strategy/loss_4.3
cdn.game####.org/strategy/sul18
cdn.game####.org/strategy/symlink-adbd
d14uy7w####.cloudf####.net/download/key
hm.b####.com/hm.gif?cc=####&ck=####&cl=####&ds=####&vl=####&ep=####&et=#...
hm.b####.com/hm.gif?cc=####&ck=####&cl=####&ds=####&vl=####&et=####&ja=#...
hm.b####.com/hm.gif?cc=0&ck=1&cl=16-bit&ds=800x600&vl=887&ep=8396,7935&e...
hm.b####.com/hm.js?1a2b572####
im####.135ed####.com/cache/remote/aHR0cHM6Ly9tbWJpei5xbG9nby5jbi9tbWJpel...
sta####.x####.us.####.com/cache/remote/aHR0cHM6Ly9tbWJpei5xbG9nby5jbi9tb...
sta####.x####.us.####.com/stc/images/templates-assets/parts/001-header/t...
wild####.q####.cn.####.net/mmbiz_gif/DOVVfocNpPYV4ZxteXp5k4HtPHsPVtbr2R6...
www.365ed####.com/weixin/mmbiz_png/0icNRs8OnN3F7yjfgfzwDiau1xibTFMaWgC3X...
www.365ed####.com/weixin/mmbiz_png/0icNRs8OnN3F7yjfgfzwDiau1xibTFMaWgCTr...
www.365ed####.com/weixin/mmbiz_png/0icNRs8OnN3F7yjfgfzwDiau1xibTFMaWgCnG...
www.yunxiao####.com/CommunityH5/articleView?id=####
www.yunxiao####.com/CommunityH5/column?id=####&count=####&page=####&page...
www.yunxiao####.com/CommunityH5/index
www.yunxiao####.com/static/H5/news/public/css/amazeui.css
www.yunxiao####.com/static/H5/news/public/css/index.css?v=####
www.yunxiao####.com/static/H5/news/public/fonts/fontawesome-webfont.ttf?...
www.yunxiao####.com/static/H5/news/public/gallery/amazeui.min.js
www.yunxiao####.com/static/H5/news/public/gallery/handlebars.min.js
www.yunxiao####.com/static/H5/news/public/gallery/jquery/jquery.min.js
www.yunxiao####.com/static/H5/news/public/gallery/main.js?v=####
www.yunxiao####.com/static/H5/news/public/gallery/navbarscroll.js
www.yunxiao####.com/static/H5/public/lib/openOutside.js?v=####
www.yunxiao####.com/static/Lib/AES.js
www.yunxiao####.com/static/Lib/audio.js?v=####
www.yunxiao####.com/static/Lib/zepto.min.js
www.yunxiao####.com/static/css/article.css?v=####
www.yunxiao####.com/static/css/img/feed_praise.png
www.yunxiao####.com/static/css/img/no_praise.png
www.zuoye####.com.cn/app/banners?platform=####&dpi=####&v=####
www.zuoye####.com.cn/app/splash/baidu?w=####
www.zuoye####.com.cn/security/ocrtoken?id=####&sn=####

Запросы HTTP POST:

a####.u####.com/app_logs
s.wagbr####.alibaba####.com/api/check_app_update
www.yunxiao####.com/cloud/tickets/getJsTicket
www.zuoye####.com.cn/security/jytoken

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-11711265601425525583
/data/data/####/-771132034-12413057
/data/data/####/.imprint
/data/data/####/1740c449fc10be62df60ba0f18696c9f
/data/data/####/30b33f83-54e4-43e8-85d3-c641dfb623ad
/data/data/####/31d9ec9f-0393-483f-be98-6041c5a10dce
/data/data/####/32edd79a240b5f1e461d069caab1ec3e
/data/data/####/351a3019-a560-4b48-9dbf-bbac406e6d7f.jar
/data/data/####/3594dfec-13a7-4a69-816d-a8b069c889d6
/data/data/####/45f7adaa-123c-40f7-bafc-f9da4720d789
/data/data/####/6.jar
/data/data/####/68078cf0-b3a0-44b7-9d13-10eb48118a2b
/data/data/####/6c9a108d-5605-4833-af25-73e53835c432
/data/data/####/8b6f263391259b7a8e5f58ee71852ca8
/data/data/####/AV_CLOUD_API_VERSION_KEY_ZONE.xml
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/JingYouMath.db-journal
/data/data/####/Matrix
/data/data/####/SUBOXLOG_
/data/data/####/b0141e478b25af7c40a8cca8de6c4708
/data/data/####/b18a021d11a3004d25017230b681476b
/data/data/####/c61913b615fb6224701377a119081f36
/data/data/####/c8bcca12-5809-4bea-9a59-0b39c24c6c3b
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.avos.avoscloud.RequestStatisticsUtil.data.xml
/data/data/####/com.avos.avoscloud.approuter.uYEduy04246VDupxRh...sz.xml
/data/data/####/com.jingyou.math.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/ddexe
/data/data/####/debuggerd
/data/data/####/device.db
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f048efc4-af3b-4661-99b4-34e7fcb6e4f8
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/f_000015
/data/data/####/f_000016
/data/data/####/f_000017
/data/data/####/f_000018
/data/data/####/f_000019
/data/data/####/f_00001a
/data/data/####/f_00001b
/data/data/####/f_00001c
/data/data/####/f_00001d
/data/data/####/f_00001e
/data/data/####/f_00001f
/data/data/####/f_000020
/data/data/####/f_000021
/data/data/####/ff71a4ce-e001-4d03-b63a-2ba8fdd7282c
/data/data/####/fileWork
/data/data/####/index
/data/data/####/install-recovery.sh
/data/data/####/kr.xml
/data/data/####/nhmso.mqa.ht.tyc.xml
/data/data/####/pidof
/data/data/####/push_message.db-journal
/data/data/####/result_xml_pdf_template.so
/data/data/####/root3
/data/data/####/su
/data/data/####/supolicy
/data/data/####/t_u.db-journal
/data/data/####/toolbox
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/wsroot.sh
/data/media/####/.nomedia
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/journal.tmp

Другие:

Запускает следующие shell-скрипты:

chmod 777 Matrix ddexe debuggerd device.db fileWork install-recovery.sh pidof root3 su supolicy toolbox wsroot.sh
chmod 777 Matrix ddexe debuggerd fileWork install-recovery.sh pidof su supolicy toolbox wsroot.sh
sh

Загружает динамические библиотеки:

bspatch
libtpnsSecurity
tpnsSecurity

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding
DES

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней