Android.Moplus.39

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.Moplus.1

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) oth.eve.mdt.####.com:8080
TCP(HTTP/1.1) oth.str.mdt.####.com:8080
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) www.ta####.com:80
TCP(HTTP/1.1) oc.u####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) app.qb####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) reso####.msg.xi####.net:80
TCP(HTTP/1.1) wap.n.sh####.com:80
TCP(HTTP/1.1) m.ta####.com:80
TCP(HTTP/1.1) pg.x####.com:80
UDP(NTP) 1.cn.p####.####.org:123
TCP(TLS/1.0) jic.talking####.com:443
TCP(TLS/1.0) i####.qb####.com:443
TCP(TLS/1.0) app.x####.com:443
TCP(TLS/1.0) app.qb####.com:443
TCP(TLS/1.0) gm.mm####.com:443
TCP(TLS/1.0) regi####.xm####.xi####.com:443
TCP(TLS/1.0) z.c####.com:443
TCP(TLS/1.0) c.c####.com:443
TCP(TLS/1.0) fp.fraudme####.cn:443
TCP(TLS/1.0) m.ta####.com:443
TCP(TLS/1.0) i####.c####.com:443
TCP(TLS/1.0) ope####.b####.com:443
TCP(TLS/1.0) m####.f####.com:16128
TCP(TLS/1.0) www.qb####.com:443
TCP c####.g####.ig####.com:5225
TCP sdk.o####.t####.####.com:5224
TCP 1####.54.23.116:5222

Запросы DNS:

1.cn.p####.####.org
7j####.c####.z0.####.com
LB-IM-1####.ap-sout####.elb.####.com
a####.u####.com
app.qb####.com
app.x####.com
bbs.qb####.com
c####.g####.ig####.com
c####.mm####.com
c-h####.g####.com
c.c####.com
fp.fraudme####.cn
i####.c####.com
i####.cn
i####.qb####.com
jic.talking####.com
m####.f####.com
m.b####.com
m.ta####.com
mt####.go####.com
oc.u####.com
ope####.b####.com
oth.eve.mdt.####.com
oth.str.mdt.####.com
pg.x####.com
pub-####.qin####.com
regi####.xm####.xi####.com
reso####.msg.xi####.net
s4.c####.com
s6.c####.com
sdk.c####.ig####.com
sdk.o####.i####.####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
www.qb####.com
www.ta####.com
z10.c####.com
z11.c####.com

Запросы HTTP GET:

app.qb####.com/qbmapp/api/getAppUrl.html
m.ta####.com/?sprefer=####
reso####.msg.xi####.net/gslb/?ver=####&type=####&uuid=####&list=####&key...
t####.c####.q####.####.com/tdata_EDT356
t####.c####.q####.####.com/tdata_SwA608
t####.c####.q####.####.com/tdata_VrM483
ti####.c####.l####.####.com/config/hz-hzv3.conf
www.ta####.com/

Запросы HTTP POST:

a####.u####.com/app_logs
c-h####.g####.com/api.php?format=####&t=####
oc.u####.com/v2/check_config_update
oc.u####.com/v2/get_update_time
oth.eve.mdt.####.com:8080/analytics/upload?rid=####&sid=####
oth.str.mdt.####.com:8080/analytics/upload
oth.str.mdt.####.com:8080/analytics/upload?sid=####
pg.x####.com/api/q/a/3cff577985556567209c8fa8131303f63
sdk.o####.p####.####.com/api.php?format=####&t=####
wap.n.sh####.com/xcloudboss?r=####&pkgname=####&ver=####&pu=####
wap.n.sh####.com/xcloudboss?r=####&type=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1317398305665725031
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/Beacon_sig_1.lock
/data/data/####/DENGTA_META.xml
/data/data/####/TDCloudSettingsConfig0C8662BE5E88719737C444AED18493D8.xml
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TDpref_longtime.xml
/data/data/####/TDpref_shorttime.xml
/data/data/####/TDtcagent.db
/data/data/####/TDtcagent.db-journal
/data/data/####/agreement_book.html
/data/data/####/agreement_book_fast.html
/data/data/####/back_holo_dark.png
/data/data/####/back_holo_light.png
/data/data/####/bank_list.html
/data/data/####/beacon_db-journal
/data/data/####/card_manager.html
/data/data/####/card_setup.html
/data/data/####/card_setup_credit.html
/data/data/####/card_setup_debit.html
/data/data/####/card_setup_fucard.html
/data/data/####/card_setup_two.html
/data/data/####/chkbtn.png
/data/data/####/chkbtn_cur.png
/data/data/####/com.qianbaomu.view.push_sync.xml
/data/data/####/com.qianbaomu.view;pushservice
/data/data/####/com.qianbaomu.view_preferences.xml
/data/data/####/common.css
/data/data/####/common.js
/data/data/####/cordova.js
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/ed0089a5b44b
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/first_pref.xml
/data/data/####/fm_shared.xml
/data/data/####/gdaemon_20161017
/data/data/####/gx_sp.xml
/data/data/####/httpRequest.js
/data/data/####/increment.db-journal
/data/data/####/index
/data/data/####/index.html
/data/data/####/init.pid
/data/data/####/init_c.pid
/data/data/####/jquery-2.1.1.min.js
/data/data/####/jquery.mobile-1.4.2.min.css
/data/data/####/jquery.mobile-1.4.2.min.js
/data/data/####/jquery.touchSwipe.min.js
/data/data/####/libjiagu.so
/data/data/####/localData.js
/data/data/####/logo.png
/data/data/####/md5.js
/data/data/####/mipush.xml
/data/data/####/mipush_account.xml
/data/data/####/mipush_extra.xml
/data/data/####/mobclick_agent_cached_com.qianbaomu.view53
/data/data/####/mobclick_agent_online_setting_com.qianbaomu.view.xml
/data/data/####/mobilepaysdk.zip
/data/data/####/mobiscroll.core.js
/data/data/####/mobiscroll.datetime.js
/data/data/####/mobiscroll.scroller.css
/data/data/####/mobiscroll.scroller.js
/data/data/####/moplus_psetting.xml
/data/data/####/moplus_server_config.db-journal
/data/data/####/mpush_app.db-journal
/data/data/####/mpush_gateway_preferences_file
/data/data/####/mpush_version_preferences_file
/data/data/####/mustache.js
/data/data/####/pay.js
/data/data/####/pay_pwd_setup.html
/data/data/####/payment.html
/data/data/####/pst.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/qianbaomu.xml
/data/data/####/reset.css
/data/data/####/result.html
/data/data/####/run.pid
/data/data/####/session.xml
/data/data/####/sharedpref.xml
/data/data/####/spin.min.js
/data/data/####/style.css
/data/data/####/td.lock
/data/data/####/tdata_SwA608
/data/data/####/tdata_SwA608.jar
/data/data/####/tdata_VrM483
/data/data/####/tdata_VrM483.jar
/data/data/####/tdid.xml
/data/data/####/tdlock.txt
/data/data/####/tj.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/version.json
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/xml2json.js
/data/media/####/.cuid
/data/media/####/.fraudmetrixid
/data/media/####/.nomedia
/data/media/####/.tcookieid
/data/media/####/1q67y253utwg5xgodi0an0fhv.tmp
/data/media/####/2zpe4os72otk2vm6spxya85et.tmp
/data/media/####/30f3e36bcbac3c28b6be3f525ec6f6e8
/data/media/####/46dlcganoqcgzdjj8m3dtje2n.tmp
/data/media/####/483fcf080d7467b462bfdcf685c1e24d
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.qianbaomu.view.db
/data/media/####/e51ec2a136f775c2f2b2f48b158ff045
/data/media/####/meta.dat
/data/media/####/tdata_SwA608
/data/media/####/tdata_VrM483
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/sh -c getprop ro.build.fingerprint
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24811 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop net.dns1
getprop ro.build.fingerprint
getprop ro.product.device
getprop ro.product.model
getprop ro.product.name
getprop ro.serialno
ls -l /system/bin/su
ls -l /system/xbin/su
mount

Загружает динамические библиотеки:

libjiagu

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
DES
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к интерфейсу камеры.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации о настроках APN.

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней