Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.MobiDash.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.m.ta####.com:80
- TCP(HTTP/1.1) ya####.online:80
- TCP(HTTP/1.1) eu####.al####.com.####.net:80
- TCP(HTTP/1.1) y####.ali####.com:80
- TCP(HTTP/1.1) a####.al####.com:80
- TCP(TLS/1.0) m.v####.com:443
- TCP(TLS/1.0) eu####.al####.com.####.net:443
- TCP(TLS/1.0) o####.vk.com:443
- TCP(TLS/1.0) 1####.11.132.76:443
- TCP(TLS/1.0) v####.com:443
Запросы DNS:
- a####.al####.com
- a####.al####.com
- a####.m.ta####.com
- ag####.m.ta####.com
- c-a####.m.ta####.com
- m.aliexp####.com
- m.v####.com
- o####.vk.com
- us.y####.al####.com
- v####.com
- www.aliexp####.com
- ya####.online
Запросы HTTP GET:
- a####.al####.com/collina/sbb/get_config?bid=####
- eu####.al####.com.####.net/initialCk.do?local=####&curr=####&
- eu####.al####.com.####.net/kf/HTB11No_cXuWBuNjSszb763S7FXaz.png?v=####
- eu####.al####.com.####.net/kf/HTB12xs_cXuWBuNjSspn7601NVXac.png?v=####
- eu####.al####.com.####.net/kf/HTB13mOkcH5YBuNjSspo762eNFXae.png?v=####
- eu####.al####.com.####.net/kf/HTB17zZ1cXuWBuNjSszb763S7FXaj.png?v=####
- eu####.al####.com.####.net/kf/HTB19LsxceuSBuNjy1Xc763YjFXae.png?v=####
- eu####.al####.com.####.net/kf/HTB1XoYucpuWBuNjSspn7601NVXaF.png?v=####
- eu####.al####.com.####.net/kf/HTB1bJiEcv9TBuNjy1zb760pepXan.png?v=####
- eu####.al####.com.####.net/kf/HTB1d0.gdgmTBuNjy1Xb761MrVXaD.png?v=####
- eu####.al####.com.####.net/kf/HTB1fMhAbKGSBuNjSspbq6AiipXam.jpg?v=####
- eu####.al####.com.####.net/kf/HTB1iC_8cf1TBuNjy0Fj761jyXXaP.png?v=####
- eu####.al####.com.####.net/kf/HTB1mQZQcuGSBuNjSspb763iipXaJ.png?v=####
- eu####.al####.com.####.net/kf/HTB1tKw_cf1TBuNjy0Fj761jyXXaH.png?v=####
- eu####.al####.com.####.net/ok.jsp
Запросы HTTP POST:
- a####.m.ta####.com/rest/gc?dd=####&nsgs=####&ak=####&av=####&c=####&v=##...
- a####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=####&...
- y####.ali####.com/saveWb.json
- ya####.online/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-10040217552059676201.tmp
- /data/data/####/-1506382090-879132789.tmp
- /data/data/####/-3439116711622962143.tmp
- /data/data/####/-761087654-565795370.tmp
- /data/data/####/04db1ba53a718685eb60cad5b2ad9b74a5f5ed2035244ae....0.tmp
- /data/data/####/0a231bd8575dcf72.txt
- /data/data/####/1015602945-817780711.tmp
- /data/data/####/13325344531426409971.tmp
- /data/data/####/13636197461383909910.tmp
- /data/data/####/1507885453-1097248543.tmp
- /data/data/####/1872227649-911372784.tmp
- /data/data/####/19911554582057472912.tmp
- /data/data/####/1d77ea041509fe06.lock
- /data/data/####/21c22f492aba3de8.lock
- /data/data/####/4053ce5d3ca606cf6ad00f2053661d7fb8ef2346426f34d....0.tmp
- /data/data/####/4169182041217209100.tmp
- /data/data/####/633263468-1674127660.tmp
- /data/data/####/8155bd387f5bed212ad8fceb1a6b2f3276c4a6722c7d4b2....0.tmp
- /data/data/####/930a31b34bd52c08.lock
- /data/data/####/ACCS_SDK.xml
- /data/data/####/ACCS_SDK_CHANNEL.xml
- /data/data/####/Agoo_AppStore.xml
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/DaemonServer
- /data/data/####/SGMANAGER_DATA2.tmp
- /data/data/####/UTCommon.xml
- /data/data/####/UTMCConf-1930444755.xml
- /data/data/####/UvAWipVDx
- /data/data/####/WindVane_WVpackageApplastDel
- /data/data/####/WindVane_WVpackageAppsp_ifno_key
- /data/data/####/WindVane_WVpackageAppwvttid
- /data/data/####/WindVane_wv_main_configcommon
- /data/data/####/WindVane_wv_main_configcommonwv-data
- /data/data/####/WindVane_wv_main_configcustoms
- /data/data/####/WindVane_wv_main_configdomain
- /data/data/####/WindVane_wv_main_configdomainwv-data
- /data/data/####/WindVane_wv_main_configpackage
- /data/data/####/WindVane_wv_main_configprefixes
- /data/data/####/accs.db-journal
- /data/data/####/agoo.pid
- /data/data/####/aliexpresshd.dat.jar
- /data/data/####/appdata.db
- /data/data/####/appdata.db-journal
- /data/data/####/b71adbb95826e42df5024a5bb394ceba0ea73042474fe65....0.tmp
- /data/data/####/b9afe3831b762739b0b97f368760c1f842743208936c3e3....0.tmp
- /data/data/####/cache.db-journal
- /data/data/####/cf337691b7656d7a49066db951c27f2f76b70694872c509....0.tmp
- /data/data/####/channel_webview.db-journal
- /data/data/####/com.alibaba.aliexpresshd-1.apk.classes-1428367183.zip
- /data/data/####/com.alibaba.aliexpresshd-1.apk.classes-1612360523.zip
- /data/data/####/com.alibaba.aliexpresshd-1.apk.classes-1773876492.zip
- /data/data/####/com.alibaba.aliexpresshd-1.apk.classes1185262357.zip
- /data/data/####/com.alibaba.aliexpresshd.xml
- /data/data/####/com.alibaba.aliexpresshd_preferences.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/imei.xml
- /data/data/####/index
- /data/data/####/journal.tmp
- /data/data/####/libsgmainso-6.1.76.so.tmp
- /data/data/####/libsgmiscso-6.1.19.so.tmp
- /data/data/####/libsgsecuritybodyso-6.1.20.so.tmp
- /data/data/####/lock.lock
- /data/data/####/message_accs_db
- /data/data/####/message_accs_db-journal
- /data/data/####/multidex.version.xml
- /data/data/####/simplecache.db
- /data/data/####/simplecache.db-journal
- /data/data/####/sp.lock
- /data/data/####/usertrack.db
- /data/data/####/usertrack.db-journal
- /data/data/####/ut_setting.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/data/####/wv_web_info.dat
- /data/media/####/.nomedia
- /data/media/####/6c709c11d2d46a7b
- /data/media/####/Alvin2.xml
- /data/media/####/CHANNEL_20171116.tlog
- /data/media/####/ContextData.xml
- /data/media/####/TAOBAO_20171116.tlog
- /data/media/####/assist_data_20171116.tlog
- /data/media/####/dd7893586a493dc3
- /data/media/####/hid.dat
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"21371601","utdid":"Wg2DuZJdnQwDAGdzx1HwvrQV","sdkVersion":"212"} -I agoodm.m.taobao.com -O 80 -T -Z
- chmod 500 <Package Folder>/files/DaemonServer
- getprop ro.product.cpu.abi
- sh
Загружает динамические библиотеки:
- UvAWipVDx
- sgmainso-6.1
- sgmiscso-6.1
- sgsecuritybodyso-6.1
- tnet-3.1
- webp
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
