Android.Packed.36490

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.DownLoader.3422
Android.DownLoader.657.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) h####.a####.com:80
TCP(HTTP/1.1) kvt####.m####.a####.com:80
TCP(HTTP/1.1) 14.1####.59.172:8982
TCP(HTTP/1.1) t####.dmp.y####.net:80
TCP(HTTP/1.1) www.a####.com.####.com:80
TCP(HTTP/1.1) ip.ta####.com:80
TCP(HTTP/1.1) cs228-####.a####.com:80
TCP(HTTP/1.1) nb3195-####.a####.com:80
TCP(HTTP/1.1) cs227-####.a####.com:80
TCP(HTTP/1.1) nb3198-####.a####.com:80
TCP(HTTP/1.1) au.y####.net:80
TCP(HTTP/1.1) c37.a####.com:80
TCP(HTTP/1.1) c49.a####.com:80
TCP(HTTP/1.1) aos.w####.y####.net:80
TCP(HTTP/1.1) a####.a####.com:80
TCP(HTTP/1.1) fs011-####.a####.com:80
TCP(HTTP/1.1) s####.gw.y####.####.com:80
TCP(HTTP/1.1) 1####.76.224.67:80
TCP(HTTP/1.1) 47.92.1####.96:80
TCP(HTTP/1.1) fu1.a####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) cs230-####.a####.com:80
TCP(HTTP/1.1) j####.a####.com.####.com:80
TCP(HTTP/1.1) a####.m.ta####.com:80
TCP(HTTP/1.1) d14uy7w####.cloudf####.net:80
TCP(HTTP/1.1) nb3194-####.a####.com:80
TCP(HTTP/1.1) app.w####.cn:80
TCP(HTTP/1.1) nb3199-####.a####.com:80
TCP(HTTP/1.1) c50.a####.com:80
TCP(HTTP/1.1) s.y####.net:80
TCP(HTTP/1.1) cdn.game####.org:80
TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
TCP(TLS/1.0) c####.im.ta####.com:443
TCP(TLS/1.0) i####.ww.ta####.com:443
TCP(TLS/1.0) x####.l####.top:443
UDP 2####.0.0.1:9998

Запросы DNS:

5####.nd####.y####.com
a####.a####.com
a####.m.ta####.com
a####.u####.com
aos.w####.y####.net
app.w####.cn
au.y####.net
c####.im.ta####.com
c37.a####.com
c49.a####.com
c50.a####.com
cdn.game####.org
cs227-####.a####.com
cs228-####.a####.com
cs230-####.a####.com
cs230-####.a####.com
d14uy7w####.cloudf####.net
fs011-####.a####.com
fu1.a####.com
g####.a####.com
h####.a####.com
h####.a####.com
h####.a####.com
i####.ww.ta####.com
ip.ta####.com
j####.a####.com
j####.a####.com
kvt####.m####.a####.com
log.u####.com
m####.a####.com
m.a####.com
nb3194-####.a####.com
nb3195-####.a####.com
nb3198-####.a####.com
nb3199-####.a####.com
nb3199-####.a####.com
policyc####.a####.com
res.we####.cn
res11-a####.we####.cn
s####.gw.y####.net
s####.u####.com
s.y####.net
so.a####.com
t####.dmp.y####.net
www.a####.com
x####.a####.com
x####.l####.top

Запросы HTTP GET:

a####.a####.com/atiws/atiapp?category=####&platform=####&appver=####&gam...
a####.a####.com/atiws/atiappcommon?platform=####&appver=####&gameid=####...
aos.w####.y####.net/v3/zip_upd?s=####
app.w####.cn/action/connect/active?app_id=####&udid=####&imsi=####&net=#...
au.y####.net/offer/dist/aos/pkg/2.6.1/offers_2.6.1.zip
c37.a####.com/user/435/13697435/3234205/card/46095794/46095794_800.jpg
c37.a####.com/user/435/13697435/3234205/card/46095794/card.mp4?l=####&ip...
c37.a####.com/user/435/13697435/3234205/card/46095794/info.xml
c49.a####.com/user/536/42384536/1004/card/47653328/47653328_800.jpg
c50.a####.com/user/808/16730808/1006/card/47663271/card.mp4?l=####&to=####
cdn.game####.org/strategy/UnknownDev
cdn.game####.org/strategy/base
cdn.game####.org/strategy/dev_root
cdn.game####.org/strategy/dev_root2
cdn.game####.org/strategy/larger4.3
cdn.game####.org/strategy/loss_4.3
cdn.game####.org/strategy/sul18
cdn.game####.org/strategy/symlink-adbd
cs227-####.a####.com/user/20/21066020/1006/card/47663281/47663281_800.jpg
cs227-####.a####.com/user/808/16730808/1006/card/47663271/card.mp4?l=###...
cs228-####.a####.com/user/435/13697435/3234205/card/46095794/46095794_80...
cs230-####.a####.com/user/485/31201485/1004/card/47657742/47657742_800.jpg
cs230-####.a####.com/user/808/16730808/1006/card/47663271/47663271_800.jpg
d14uy7w####.cloudf####.net/download/key
fs011-####.a####.com/user/435/13697435/3234205/card/46095794/info.xml
fu1.a####.com/account/20/21066020/account/21066020_normal.jpg
fu1.a####.com/account/808/16730808/account/16730808_normal.jpg
fu1.a####.com/account/987/9642987/account/9642987_normal.jpg
h####.a####.com/user/20/21066020/1006/card/47663281/47663281_800.jpg
h####.a####.com/user/20/21066020/1006/card/47663281/card.mp4?l=####
h####.a####.com/user/20/21066020/1006/card/47663281/info.xml
h####.a####.com/user/435/13697435/3234205/card/46095794/46095794_800.jpg
h####.a####.com/user/435/13697435/3234205/card/46095794/info.xml
h####.a####.com/user/485/31201485/1004/card/47657742/47657742_800.jpg
h####.a####.com/user/536/42384536/1004/card/47653328/47653328_800.jpg
h####.a####.com/user/808/16730808/1006/card/47663271/47663271_800.jpg
h####.a####.com/user/808/16730808/1006/card/47663271/card.mp4?l=####
h####.a####.com/user/808/16730808/1006/card/47663271/info.xml
ip.ta####.com/service/getIpInfo2.php?ip=####
j####.a####.com.####.com/user/20/21066020/1006/card/47663281/card.mp4?l=...
j####.a####.com.####.com/user/435/13697435/3234205/card/46095794/card.mp...
j####.a####.com.####.com/user/808/16730808/1006/card/47663271/card.mp4?l...
kvt####.m####.a####.com/kvinfo.php
nb3194-####.a####.com/user/536/42384536/1004/card/47653328/47653328_800....
nb3195-####.a####.com/user/808/16730808/1006/card/47663271/info.xml
nb3198-####.a####.com/user/808/16730808/1006/card/47663271/info.xml
nb3199-####.a####.com/user/20/21066020/1006/card/47663281/info.xml
s####.gw.y####.####.com/aos/v3/initf?s=####
s.y####.net/stat/aos/v3/pkc?s=####
s.y####.net/stat/aos/v3/pku?s=####
www.a####.com.####.com/api/aipaiApp_action-getCommentNew_mobile-1_type-2...
www.a####.com.####.com/api/framework/adConf/35?platform=####&appver=####...
www.a####.com.####.com/api/framework/jifen/enter/35?platform=####&appver...
www.a####.com.####.com/api/gonglue/list/12541?appId=####&platform=####&a...
www.a####.com.####.com/api/hot/bannerItem/661?platform=####&appver=####&...
www.a####.com.####.com/api/hot/titleItem/662?platform=####&appver=####&o...
www.a####.com.####.com/api/hot/videos/12541?appId=####&xifenId=####&plat...
www.a####.com.####.com/api/jifen/firstInstallInit?platform=####&appver=#...
www.a####.com.####.com/api/specialTopic/itemList/664?platform=####&appve...
www.a####.com.####.com/app/www/templates/cdn_policy_telecom.txt?platform...
www.a####.com.####.com/common/img/upload/xifen/1482998140_678.png
www.a####.com.####.com/common/img/upload/xifen/1482998153_427.jpg
www.a####.com.####.com/common/img/upload/xifen/1482998168_150.png
www.a####.com.####.com/mobile/apps/apps.php?module=####&func=####&app=##...
www.a####.com.####.com/mobile/apps/apps.php?module=####&func=####&os=###...
www.a####.com.####.com/mobile/apps/apps.php?module=####&func=####&platfo...
www.a####.com.####.com/mobile/apps/apps.php?module=####&func=####&test=#...
www.a####.com.####.com/mobile/apps/apps_module-badDomain.html
www.a####.com.####.com/pc/operator

Запросы HTTP POST:

a####.m.ta####.com/rest/gc?dd=####&nsgs=####&ak=####&av=####&c=####&v=##...
a####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=####&...
a####.u####.com/app_logs
app.w####.cn/action/user_info
kvt####.m####.a####.com/i.gif
t####.dmp.y####.net/v1/android/packages?rt=####&sign=####
t####.dmp.y####.net/v2/android/pkgtime?rt=####&sign=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/009588707bb017187436bb0566510185.0.tmp
/data/data/####/009588707bb017187436bb0566510185.1.tmp
/data/data/####/043d713e-c043-4068-8bf8-5acfa5af645e
/data/data/####/07a1c15a-087d-4ed6-889d-705047ac3d92
/data/data/####/0c19027696c93c25cf14a946a88b0e49.0.tmp
/data/data/####/0c19027696c93c25cf14a946a88b0e49.1.tmp
/data/data/####/1740c449fc10be62df60ba0f18696c9f
/data/data/####/1e291cde-76ed-4d58-8021-974dab472e9c
/data/data/####/287caf5e5cd481a8ac237bf05eb2d1023d31e1efcbc5d4b....0.tmp
/data/data/####/289b760fd3b22cd1909cfd39a3aa806e.0.tmp
/data/data/####/289b760fd3b22cd1909cfd39a3aa806e.1.tmp
/data/data/####/32edd79a240b5f1e461d069caab1ec3e
/data/data/####/393026cf17d489e94c9ab1d646704f9f.0.tmp
/data/data/####/393026cf17d489e94c9ab1d646704f9f.1.tmp
/data/data/####/403daaec4f64de0d2cfb1d4c581b2dd6.0.tmp
/data/data/####/403daaec4f64de0d2cfb1d4c581b2dd6.1.tmp
/data/data/####/4bc2c7828a80e3905b07e4d813561ea4.0.tmp
/data/data/####/4bc2c7828a80e3905b07e4d813561ea4.1.tmp
/data/data/####/4d8fa7e1253e6b6b187bff5acaff1448c23aa90217b0844....0.tmp
/data/data/####/54f88c2906d81209ec041ceabcdced6009d4a12e06710e6....0.tmp
/data/data/####/56dc29e6e39a0c8d9b7f0a8649e5aad9.0.tmp
/data/data/####/56dc29e6e39a0c8d9b7f0a8649e5aad9.1.tmp
/data/data/####/5c20c048a73a8e18522c053fbecefc29.0.tmp
/data/data/####/5c20c048a73a8e18522c053fbecefc29.1.tmp
/data/data/####/5cc232554739957fbea32a52096ade2db4a5b5f2f0a5669....0.tmp
/data/data/####/5e7b172aedab536c4e8168b01a13031724094ca7541943a....0.tmp
/data/data/####/6.jar
/data/data/####/653daee4-6220-42f7-a8a1-4beb93db3464
/data/data/####/7294942a-0d38-4bfe-b0cc-9b5512a1e043
/data/data/####/852b64fc30862e63098e5e42c11c7dc9.zip
/data/data/####/8b6f263391259b7a8e5f58ee71852ca8
/data/data/####/8d0605da-858f-4d8d-b230-f60e0b1de65b
/data/data/####/90d39983-280d-41f6-8c38-a05ceefe78d8
/data/data/####/963989f099b559f6d6e8eb6d80e83be2e750c936c519a86....0.tmp
/data/data/####/Alvin2.xml
/data/data/####/AppSettings.xml
/data/data/####/C0XKJAO3JLZKJPDKJFXLINQCJIOAOD.xml
/data/data/####/CE94557724F842149D690D0E8CBB1CBD.xml
/data/data/####/CacheTime.dat
/data/data/####/ContextData.xml
/data/data/####/CookiePersistence.xml
/data/data/####/Matrix
/data/data/####/OFFERSCONFIG1.xml
/data/data/####/OxgHkj2lz09F
/data/data/####/OxgHkj2lz09F-journal
/data/data/####/P15pKIjsm64m
/data/data/####/P15pKIjsm64m-journal
/data/data/####/RptKVStrategy.txt
/data/data/####/SUBOXLOG_
/data/data/####/ShowAdFlag.xml
/data/data/####/T1oX0rhhuXWt
/data/data/####/T1oX0rhhuXWt-journal
/data/data/####/UTCommon.xml
/data/data/####/UTMCConf-1576364876.xml
/data/data/####/UTMCLog-1576364876.xml
/data/data/####/XKwVoK0huy3R
/data/data/####/XKwVoK0huy3R-journal
/data/data/####/a6cc7683bcce51f06c8d93bdfcb487dd.0.tmp
/data/data/####/a6cc7683bcce51f06c8d93bdfcb487dd.1.tmp
/data/data/####/ad_system_config.xml
/data/data/####/aipai.btconfig
/data/data/####/aipai.db
/data/data/####/aipai.db-journal
/data/data/####/aipai.guid
/data/data/####/arrow-left.png
/data/data/####/arrow-right.png
/data/data/####/b0141e478b25af7c40a8cca8de6c4708
/data/data/####/b18a021d11a3004d25017230b681476b
/data/data/####/b806e266-4778-44c6-b382-10ff05917b52.jar
/data/data/####/blank.gif
/data/data/####/c81203232ec119d886a83cb0b559e34792b3bd67acfb4e6....0.tmp
/data/data/####/close-icon.png
/data/data/####/config.json
/data/data/####/d0232015625c985972796a04945abba24c9988e51726f91....0.tmp
/data/data/####/d8305c5b3d6c8db862c69f2760ab1f81
/data/data/####/d8305c5b3d6c8db862c69f2760ab1f81-journal
/data/data/####/dcaeb92bee8e6f011927ed6ab0b5ee3e.0.tmp
/data/data/####/dcaeb92bee8e6f011927ed6ab0b5ee3e.1.tmp
/data/data/####/ddexe
/data/data/####/debuggerd
/data/data/####/default.png
/data/data/####/detail-wx.html
/data/data/####/detail-wx.js
/data/data/####/detail.html
/data/data/####/detail.js
/data/data/####/device.db
/data/data/####/e0888850d29ef11a195e5b377efd4265.0.tmp
/data/data/####/e0888850d29ef11a195e5b377efd4265.1.tmp
/data/data/####/e57c34b26a4c8e1b872a8608bae7c4ed
/data/data/####/e57c34b26a4c8e1b872a8608bae7c4ed-journal
/data/data/####/e64d54d6-497e-4f04-99f2-341f3065a65b
/data/data/####/ea9dd8375d1565e9af937efb3ef4fc7f.0.tmp
/data/data/####/ea9dd8375d1565e9af937efb3ef4fc7f.1.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/f1c1ec341865f080010e78087790302ac7e50b27bd1eeba....0.tmp
/data/data/####/f82f4acd0334def261159a93fe8bd7af3278030e0c43f07....0.tmp
/data/data/####/f9d240c2e6efe870d9b78a89ff20d9a8.0.tmp
/data/data/####/f9d240c2e6efe870d9b78a89ff20d9a8.1.tmp
/data/data/####/fd1bf7f82baec99691f34db7ade8af30-journal
/data/data/####/feedback.html
/data/data/####/feedback.js
/data/data/####/fileWork
/data/data/####/form.css
/data/data/####/global.js
/data/data/####/hdfgyg.sjdkagfgiu_preferences.xml
/data/data/####/install-recovery.sh
/data/data/####/journal.tmp
/data/data/####/jqIqJYOT3JpT
/data/data/####/jqIqJYOT3JpT-journal
/data/data/####/kr.xml
/data/data/####/kr.xml.bak
/data/data/####/libjiagu.so
/data/data/####/lists.css
/data/data/####/lists.html
/data/data/####/lists.js
/data/data/####/md5.js
/data/data/####/multidex.version.xml
/data/data/####/pic_m.png
/data/data/####/pic_tips_01.png
/data/data/####/pic_tips_02.png
/data/data/####/pidof
/data/data/####/result.png
/data/data/####/root3
/data/data/####/rule.html
/data/data/####/rx_sf_account.xml
/data/data/####/rx_sf_app.xml
/data/data/####/sdetail.html
/data/data/####/share.css
/data/data/####/share.html
/data/data/####/share.js
/data/data/####/sp.lock
/data/data/####/sprite-face.png
/data/data/####/sprite-icons.png
/data/data/####/sprite-icons2.png
/data/data/####/su
/data/data/####/supolicy
/data/data/####/t_u.db-journal
/data/data/####/toolbox
/data/data/####/tr.mfaq.wvuj.tuce.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/wIU6pTyUBYWX
/data/data/####/wIU6pTyUBYWX-journal
/data/data/####/webview.db-journal
/data/data/####/wsUL1uCdKvjD
/data/data/####/wsUL1uCdKvjD-journal
/data/data/####/wsroot.sh
/data/data/####/wx-step1.jpg
/data/data/####/wx-step2.jpg
/data/data/####/wx-step3.jpg
/data/data/####/wx-step4.jpg
/data/data/####/wx-step5.jpg
/data/data/####/ymdex.jar
/data/data/####/ywPrefsTools.xml
/data/media/####/373240561418738c721572c1da14b85e
/data/media/####/373240561418738c721572c1da14b85e.ymtf
/data/media/####/6c709c11d2d46a7b
/data/media/####/Alvin2.xml
/data/media/####/AppPackage.dat
/data/media/####/CacheTime.dat
/data/media/####/ContextData.xml
/data/media/####/UnPackage.dat
/data/media/####/android
/data/media/####/dd7893586a493dc3
/data/media/####/i42d45df023jnkdd93la483f9xGFKXI
/data/media/####/s92TjjdfoP2n3o9dfji2l9s1olkjf0p

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/kernel_max
cat /proc/cpuinfo | grep Serial
chmod 755 <Package Folder>/.jiagu/libjiagu.so
chmod 777 Matrix ddexe debuggerd device.db fileWork install-recovery.sh pidof root3 su supolicy toolbox wsroot.sh
chmod 777 Matrix ddexe debuggerd fileWork install-recovery.sh pidof su supolicy toolbox wsroot.sh
ls -l /system/xbin/su
sh

Загружает динамические библиотеки:

abcdefgh
libjiagu
securitysdk-3.1
xifen

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-NoPadding
AES-CBC-PKCS5Padding
DES-CBC-PKCS5Padding
PBEWITHMD5andDES

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-NoPadding
DES
DES-CBC-PKCS5Padding
PBEWITHMD5andDES

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней