Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.26
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.bcy.net:80
- TCP(HTTP/1.1) a####.qq.com:80
- TCP(HTTP/1.1) ws####.qq.com:80
- TCP(HTTP/1.1) sup####.qq.com:80
- TCP(HTTP/1.1) p####.tc.qq.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) pi####.qq.com:80
- TCP(HTTP/1.1) openmo####.qq.com:80
- TCP(HTTP/1.1) msg.umengc####.com:80
- TCP(HTTP/1.1) 1####.205.160.63:80
- TCP(HTTP/1.1) appsup####.qq.com:80
- TCP(HTTP/1.1) 3####.tc.qq.com:80
- TCP(HTTP/1.1) pub.idq####.com.####.com:80
- TCP(HTTP/1.1) c.isds####.qq.com:80
- TCP(HTTP/1.1) api.w####.cn:80
- TCP(HTTP/1.1) cgi.con####.qq.com:80
- TCP(TLS/1.0) x####.tc.qq.com:443
- TCP(TLS/1.0) t####.qq.com:443
- TCP(TLS/1.0) api.w####.com:443
- TCP(TLS/1.0) 77fy####.v5.com.####.com:443
- TCP(TLS/1.0) o####.w####.cn:443
- TCP(TLS/1.0) sup####.qq.com:443
- TCP(TLS/1.0) 77####.v5.com.####.com:443
- TCP(TLS/1.0) msg.umengc####.com:443
- TCP(TLS/1.0) h####.b####.com:443
- TCP(TLS/1.0) p####.tc.qq.com:443
- TCP 1####.205.160.76:443
- TCP umengj####.m.ta####.com:80
Запросы DNS:
- a####.bcy.net
- a####.qq.com
- a####.qq.com
- a.appj####.com
- ag####.m.ta####.com
- and####.b####.qq.com
- api.w####.cn
- api.w####.com
- appsup####.qq.com
- c.isds####.qq.com
- cgi.con####.qq.com
- h####.b####.com
- i####.bc####.com
- i####.bc####.com
- i####.dd.qq.com
- i.g####.cn
- imgc####.qq.com
- j####.aq.qq.com
- msg.umengc####.com
- o####.w####.cn
- openmo####.qq.com
- pi####.qq.com
- pub.idq####.com
- q####.qq.com
- qzones####.g####.cn
- sup####.qq.com
- t####.qq.com
- umengj####.m.ta####.com
- ws####.qq.com
Запросы HTTP GET:
- 3####.tc.qq.com/16891/3379F96C4ED3740C015C2F39C3ED44AC.apk?fsname=####&c...
- a####.qq.com/detail/com.tencent.mobileqq?autodownload=####&norecommend=#...
- appsup####.qq.com/cgi-bin/appstage/mstats_report?report_type=####&platfo...
- c.isds####.qq.com/code.cgi?domain=####&cgi=####&type=####&code=####&time...
- cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?sdkv=####&appid=###...
- openmo####.qq.com/oauth2.0/m_authorize?status_userip=####&scope=####&red...
- p####.tc.qq.com/c/=/open/mobile/login/js/login_browser_jump.js
- p####.tc.qq.com/open/mobile/login/qzsjump.html?status_userip=####&scope=...
- p####.tc.qq.com/open_proj/qqconnect/h5login/css/jump2.css?t=####
- p####.tc.qq.com/open_proj/qqconnect/h5login/css/sprite/jump2.png?max_age...
- pub.idq####.com.####.com/qconn/widget/mobile/login/images/loading.gif?ma...
- sup####.qq.com/include/js/all.js
- sup####.qq.com/include/js/qmtool.js
- sup####.qq.com/include/qqmaileditor/editor.js
- sup####.qq.com/include/style/comm2010.css
- sup####.qq.com/js/isd_speed.js
- sup####.qq.com/write.shtml?fid=####&ADPUBNO=####
Запросы HTTP POST:
- a####.bcy.net/api/discover/banners
- a####.bcy.net/api/discover/hotCombine
- a####.bcy.net/api/discover/popCoreCombine
- a####.bcy.net/api/start/start
- a.appj####.com/ad-service/ad/mark
- and####.b####.qq.com/rqd/async?aid=####
- api.w####.cn/2/client/common_config
- appsup####.qq.com/cgi-bin/appstage/mstats_batch_report
- msg.umengc####.com/launch
- msg.umengc####.com/register
- pi####.qq.com/mstat/report
- ws####.qq.com/w.cgi
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1882926206-463857940
- /data/data/####/-20763799171687146597
- /data/data/####/-688491325223545461
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/1002
- /data/data/####/1004
- /data/data/####/1758836074-1894242879
- /data/data/####/ACCS_BIND.xml
- /data/data/####/ACCS_SDK.xml
- /data/data/####/ACCS_SDK_CHANNEL.xml
- /data/data/####/AGOO_BIND.xml
- /data/data/####/Agoo_AppStore.xml
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/DaemonServer
- /data/data/####/MessageStore.db-journal
- /data/data/####/MsgLogStore.db-journal
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_ap_info_cache.json
- /data/data/####/__local_last_session.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/__send_data_1510833289170
- /data/data/####/__send_data_1510833335463
- /data/data/####/accs.db-journal
- /data/data/####/agoo.pid
- /data/data/####/bugly_db_-journal
- /data/data/####/cleanTask.xml
- /data/data/####/com.banciyuan.bcywebview.BETA_VALUES.xml
- /data/data/####/com.banciyuan.bcywebview_preferences.xml
- /data/data/####/com.banciyuan.bcywebview_preferences.xml.bak
- /data/data/####/com.tencent.open.config.json.1103376659
- /data/data/####/com_sina_weibo_sdk.xml
- /data/data/####/crashrecord.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/devices.xml
- /data/data/####/eudemon
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/index
- /data/data/####/initBackGround.xml
- /data/data/####/initbackurl.xml
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/libcuid.so
- /data/data/####/libjiagu.so
- /data/data/####/libwbsafeedit_x86.so
- /data/data/####/local_crash_lock
- /data/data/####/message_accs_db
- /data/data/####/message_accs_db-journal
- /data/data/####/myappdb-journal
- /data/data/####/sdk_report.db
- /data/data/####/sdk_report.db-journal
- /data/data/####/secure_lib.xml
- /data/data/####/security_info
- /data/data/####/tencent_analysis.db-journal
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/media/####/.confd
- /data/media/####/.confd-journal
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/.mid.txt
- /data/media/####/.nomedia
- /data/media/####/.timestamp
- /data/media/####/0be4354be2ab45a0a6d0d6fedc7330ba
- /data/media/####/12fa2d0f147b4223abd68dbe6902a599
- /data/media/####/1521734401
- /data/media/####/1ggb4csgwig7k8ge7vblt8sgy.0.tmp
- /data/media/####/1k6kc7x8mvf73nr5k2b00z9i4.0.tmp
- /data/media/####/2gaezvpb7in6hsn79h1jxq8k3.0.tmp
- /data/media/####/2li6gv0jk0tqublpt4bldf7de.0.tmp
- /data/media/####/2vxnv727ffc1avmw6481n3yre.0.tmp
- /data/media/####/305e7d1e560347d3820006655910edc4
- /data/media/####/3lmq8uxikbo2itskair5fut5x.0.tmp
- /data/media/####/3y5bghcalqxzrn93crjq6bu22.0.tmp
- /data/media/####/466b66d795264ff1a91056858a75a775
- /data/media/####/4bvxzre28vqn35a9uoa39cvxq.0.tmp
- /data/media/####/4eb9pqkutd7fjj3wuixsq5b2v.0.tmp
- /data/media/####/4z4j51bxfjm19gyqkvszzsyu0.0.tmp
- /data/media/####/50nuivmx77sfeab590hlr8k4m.0.tmp
- /data/media/####/5fzyrxzmdp5d570o1iikghtd5.0.tmp
- /data/media/####/5ge5vuim5jxe9vtn6pgg24rtn.0.tmp
- /data/media/####/6hodawpwa101sb4zvo5ywpd1y.0.tmp
- /data/media/####/743m8zuof1rkgh837zgqy08tv.0.tmp
- /data/media/####/7bm9tng89bj3bxx1o8rfyzjpg.0.tmp
- /data/media/####/9e1a12d005484950b584b37645b10029
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/accs_election
- /data/media/####/com.tencent.mobileqq_7.5.5_806.apk
- /data/media/####/com.tencent.mobileqq_connectSdk.17.11.16.11.log
- /data/media/####/deviceToken
- /data/media/####/eypokwuw7bpo5eilbjc5idke.0.tmp
- /data/media/####/journal.tmp
- /data/media/####/ppdozy5pcqhfegim3ynbich.0.tmp
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- /system/bin/sh -c getprop
- /system/bin/sh -c type su
- <Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:553ceace67e58ee5940001ba","utdid":"Wg18h1QM+UUDAGdzx1EMlewD","sdkVersion":"212"} -I agoodm.m.taobao.com -O 80 -T -Z
- chmod 500 <Package Folder>/files/DaemonServer
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- getprop
- sh
Загружает динамические библиотеки:
- Bugly
- MtaNativeCrash
- libjiagu
- libwbsafeedit_x86
- random
- tnet-3.1
- weibosdkcore
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- AES-ECB-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
