Android.Packed.36646

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.DownLoader.2083
Android.DownLoader.546.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) c####.mob.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) d####.d####.mob.com:80
TCP(HTTP/1.1) gl####.w.kunl####.####.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) 4####.95.95.131:80
TCP(HTTP/1.1) 7r####.v2.com.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) sdk.o####.amp.####.com:80
TCP(HTTP/1.1) api.s####.mob.com:80
TCP(HTTP/1.1) rs.eas####.com:80
TCP(HTTP/1.1) thi####.q####.cn:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) api.malleco####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP c####.g####.ig####.com:5224
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.exc.mob.com
a####.u####.com
and####.b####.qq.com
api.malleco####.com
api.s####.mob.com
c####.g####.ig####.com
c####.mob.com
c-h####.g####.com
d####.d####.mob.com
qnc.chuma####.com
qnp.chuma####.com
rs.eas####.com
sdk.c####.ig####.com
sdk.o####.amp.####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
thi####.q####.cn
thi####.q####.cn

Запросы HTTP GET:

7r####.v2.com.####.com/?imageVi####
7r####.v2.com.####.com/app/comics/titles/default_new_normal_block.png?im...
7r####.v2.com.####.com/app/comics/titles/title_11942257_1_025b709e67494d...
7r####.v2.com.####.com/app/comics/titles/title_15369784_1_f4e6f1776aad40...
7r####.v2.com.####.com/app/comics/titles/title_20177536_1_08dfbcdfeb294f...
7r####.v2.com.####.com/app/comics/titles/title_6313255_1_3383d8f3f9a2433...
7r####.v2.com.####.com/app/comics/titles/title_8082194_1_188f61c2e7324d9...
7r####.v2.com.####.com/app/news/20180323/5ab49fdf259a2.jpg
7r####.v2.com.####.com/app/news/20180323/5ab4dd7ddcb1b.jpg
7r####.v2.com.####.com/app/news/20180328/5abb098ce3447.jpg
7r####.v2.com.####.com/app/topic/20160614/575fc82223a62.jpg?imageVi####
7r####.v2.com.####.com/app/topic/20160812/57ad7f9009237.jpg?imageVi####
7r####.v2.com.####.com/app/topic/20160825/57be9f36ee955.jpg?imageVi####
7r####.v2.com.####.com/app/topic/20161031/5816c1943eb10.jpg?imageVi####
7r####.v2.com.####.com/app/topic/20161201/584000b019aa8.jpg?imageVi####
7r####.v2.com.####.com/app/topic/20170119/588038dc07db8.jpg?imageVi####
7r####.v2.com.####.com/app/topic/20170126/5889496878ad2.jpg?imageVi####
7r####.v2.com.####.com/app/topic/20170214/58a2636a3b4ce.jpg?imageVi####
7r####.v2.com.####.com/app/users/avatars/avatar_20188845_20180305130757....
7r####.v2.com.####.com/app/users/avatars/tem_1517836833150.jpg?imageVi####
7r####.v2.com.####.com/app/users/avatars/tem_1522153517091.jpg?imageVi####
7r####.v2.com.####.com/app/users/club_title_image/createClubIcon_2016120...
7r####.v2.com.####.com/app/users/club_title_image/createClubIcon_2017013...
7r####.v2.com.####.com/app/users/club_title_image/createClubIcon_336992_...
7r####.v2.com.####.com/app/users/magazine_title_image/magazineTitleImage...
7r####.v2.com.####.com/match/banner/1495866662000512.jpg?imageVi####
7r####.v2.com.####.com/match/banner/1500611141000601.jpg?imageVi####
7r####.v2.com.####.com/match/banner/1502157306000571.jpg?imageVi####
7r####.v2.com.####.com/null?imageVi####
api.malleco####.com/secure/?m=####&c=####&a=####
api.malleco####.com/secure/?m=####&c=####&a=####&pagesize=####&last_maga...
api.malleco####.com/secure/?m=####&c=####&a=####&pagesize=####&page=####
api.malleco####.com/secure/?m=####&c=####&a=####&pagesize=####&page=####...
api.malleco####.com/secure/?m=####&c=####&a=####&version=####
c####.mob.com/caconf?appkey=####&plat=####&apppkg=####&appver=####&netwo...
gl####.w.kunl####.####.com/config/android.json?rand=####
rs.eas####.com/easemob/server.json?sdk_version=####&app_key=####&file_ve...
sdk.o####.amp.####.com/api.htm?format=####&t=####
t####.c####.q####.####.com/tdata_JTp321
t####.c####.q####.####.com/tdata_qHR433
thi####.q####.cn/mmopen/vi_32/lpX7FyiaUxutpXc5vdTdm8MoOZGMicW6Z5Mc56Otmt...
thi####.q####.cn/qqapp/1104355653/CC5868F3115B7B22B40738C6FFD58970/40
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

a####.exc.mob.com/errconf
a####.u####.com/app_logs
and####.b####.qq.com/rqd/async?aid=####
api.malleco####.com/secure/?m=####&c=####&a=####
api.s####.mob.com/conf5
api.s####.mob.com/conn
api.s####.mob.com/data2
api.s####.mob.com/log4
c####.mob.com/ca
c-h####.g####.com/api.php?format=####&t=####
d####.d####.mob.com/dinfo
d####.d####.mob.com/dsign
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-p96lNfUQfqQq6aiLh2a4kfqKcY.-1058555309.tmp
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/.statistics
/data/data/####/1004
/data/data/####/1644chY1Wrpcuuun9dCgZkDsi2o.1790676906.tmp
/data/data/####/1Ta5uwIW0dUnrwkODQG8tT3HFuk.1307575136.tmp
/data/data/####/2ENRssNDNi8tNnMHnN42gNW1McU.1172825637.tmp
/data/data/####/2PBNOgkb9jxxPy_N28p2pesoHGM.-699659261.tmp
/data/data/####/5088.mp3
/data/data/####/B24Sq_gaLxmb3yPoT3zxMkUHgRY.223276472.tmp
/data/data/####/Dr9P7RcFguKMj655yKgWuDM71rs.-427469443.tmp
/data/data/####/GE8tRHrl7VwIhKWYvPBTMIwsh2k.-19261632.tmp
/data/data/####/H1FBujqywcy5qy-LS8fQST9DaHk.-1817932296.tmp
/data/data/####/H1FBujqywcy5qy-LS8fQST9DaHk.cnt
/data/data/####/IbTb8gT87fOLHPEpECUUdcUd674.442980531.tmp
/data/data/####/JjfKfDiMLMuQCHYqPllF9Un-oF0.-953825757.tmp
/data/data/####/K9jkrCTd8BzNyjPv_QaVBmeg1Ug.50895765.tmp
/data/data/####/LZC4_SDn1qcfDfEuh4_UCgoxghA.-1774799928.tmp
/data/data/####/R34-kJ67QhMyKxx7Je9vlXtrfv4.30017383.tmp
/data/data/####/RvC3GKHHDry3iCvTUbIHd1LqaJY.-1006339071.tmp
/data/data/####/TG4TfA5VgAlF1_weRJPGGRaxyA4.-1839618505.tmp
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/TpnkBYuzXTHBeVKpQZNyz_QkIHU.1830761327.tmp
/data/data/####/WCDz4UjFAj5DUTtNG43RvVshBDk.-1812158979.tmp
/data/data/####/Wqtn0fQXUku7oiaQqk89g44bzyQ.-1615004533.tmp
/data/data/####/Yhx98u_jp30eSczgTGzm63O-RPo.1312406312.tmp
/data/data/####/amazed.png
/data/data/####/angel.png
/data/data/####/angry.png
/data/data/####/apple-touch-icon.png
/data/data/####/avatar_missing.png
/data/data/####/backgrounds_effect_1_000348.png
/data/data/####/banana.gif
/data/data/####/beaten.png
/data/data/####/bodies_1_000018.png
/data/data/####/bored.png
/data/data/####/bubble.png
/data/data/####/bubbleyellow.png
/data/data/####/bugly_db_-journal
/data/data/####/clown.png
/data/data/####/coin.png
/data/data/####/com.mallestudio.gugu.appd.odex
/data/data/####/com.mallestudio.gugu.appd.zip
/data/data/####/com.mallestudio.gugu.appd_preferences.xml
/data/data/####/combined.min.js
/data/data/####/config.json
/data/data/####/confused.png
/data/data/####/cool.png
/data/data/####/crashrecord.xml
/data/data/####/cry.png
/data/data/####/currency_iconV2_50.png
/data/data/####/currency_iconV3_50.png
/data/data/####/currency_iconV4_50.png
/data/data/####/currency_iconV5_50.png
/data/data/####/db_public-journal
/data/data/####/device_id.xml.xml
/data/data/####/devil.png
/data/data/####/dialog.png
/data/data/####/dialogPointer.png
/data/data/####/dialogues_connered_1_000355.png
/data/data/####/dongtu-0101dg.png
/data/data/####/dongtu-0102dg.png
/data/data/####/dongtu-0103dg.png
/data/data/####/dongtu-0104dg.png
/data/data/####/dongtu-0201dg.png
/data/data/####/dongtu-0202dg.png
/data/data/####/dongtu-0203dg.png
/data/data/####/dongtu-0204dg.png
/data/data/####/dongtu-0301dg.png
/data/data/####/dongtu-0302dg.png
/data/data/####/dongtu-0303dg.png
/data/data/####/dongtu-0304dg.png
/data/data/####/dongtu-0401dg.png
/data/data/####/dongtu-0402dg.png
/data/data/####/dongtu-0403dg.png
/data/data/####/dongtu-0404dg.png
/data/data/####/dongtu-0501dg.png
/data/data/####/dongtu-0502dg.png
/data/data/####/dongtu-0503dg.png
/data/data/####/dongtu-0504dg.png
/data/data/####/dongtu-0601dg.png
/data/data/####/dongtu-0602dg.png
/data/data/####/dongtu-0603dg.png
/data/data/####/dongtu-0604dg.png
/data/data/####/dongtu-0701dg.png
/data/data/####/dongtu-0702dg.png
/data/data/####/dongtu-0703dg.png
/data/data/####/dongtu-0704dg.png
/data/data/####/doubtful.png
/data/data/####/dresses_female_1_002791.png
/data/data/####/emo.png
/data/data/####/emptystate_me_114.png
/data/data/####/emptystate_other_100.png
/data/data/####/error.json
/data/data/####/error_json.json
/data/data/####/error_server.json
/data/data/####/faces_1_000032.png
/data/data/####/facialsets_1_002515.png
/data/data/####/favicon.ico
/data/data/####/fireball.png
/data/data/####/flags.png
/data/data/####/frozen.png
/data/data/####/gdaemon_20161017
/data/data/####/grin.png
/data/data/####/group.html
/data/data/####/guguapp.db-journal
/data/data/####/guguapp_settings.xml
/data/data/####/hairs_back_female_1_002768.png
/data/data/####/hairs_front_female_1_002765.png
/data/data/####/hands_gesture_1_002442.png
/data/data/####/home.html
/data/data/####/humans.txt
/data/data/####/icon.png
/data/data/####/icon@2x.png
/data/data/####/icon_Diamond_24.png
/data/data/####/icon_android.png
/data/data/####/icon_apple.png
/data/data/####/icon_coin_24.png
/data/data/####/icon_reward_110.png
/data/data/####/icon_time_end_24.png
/data/data/####/icon_time_long_24.png
/data/data/####/icon_time_short_24.png
/data/data/####/icons.eot
/data/data/####/icons.otf
/data/data/####/icons.svg
/data/data/####/icons.ttf
/data/data/####/icons.woff
/data/data/####/icons.woff2
/data/data/####/image_missing.jpg
/data/data/####/image_missing_block.png
/data/data/####/image_missing_new.png
/data/data/####/index.html
/data/data/####/indian.png
/data/data/####/init.pid
/data/data/####/init_c.pid
/data/data/####/jHz2-EzJJqaWeHdLBe7f7d2NYM0.216374578.tmp
/data/data/####/jqIgg_J7w3c5PZ_LqgGuOXI3UdI.-254342201.tmp
/data/data/####/karate.png
/data/data/####/kdspiJA8BMsWPAqG6XpLCuvqjeo.-725949993.tmp
/data/data/####/kiss.png
/data/data/####/lTsGBUV-c_1NLaIEJCMwbRVXwjg.360367444.tmp
/data/data/####/laugh.png
/data/data/####/left_button.png
/data/data/####/left_button_24.png
/data/data/####/libjiagu.so
/data/data/####/loading.gif
/data/data/####/loading.png
/data/data/####/local_crash_lock
/data/data/####/logo_icon.png
/data/data/####/love.png
/data/data/####/mNbjAfKENVZNwE_qEK119udRpGI.-1577549831.tmp
/data/data/####/mNbjAfKENVZNwE_qEK119udRpGI.cnt
/data/data/####/menu_button.png
/data/data/####/menu_button_24.png
/data/data/####/menu_logo@2x.png
/data/data/####/millionaire.png
/data/data/####/mob_sdk_exception_1.xml
/data/data/####/mobclick_agent_cached_com.mallestudio.gugu.appd64
/data/data/####/mobclick_agent_online_setting_com.mallestudio.g...pd.xml
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/nerd.png
/data/data/####/news.html
/data/data/####/ninja.png
/data/data/####/noCx5A1dkEmtLQi_wr2_VWnRR0Q.-1253961947.tmp
/data/data/####/octicons-local.ttf
/data/data/####/octicons.svg
/data/data/####/octicons.ttf
/data/data/####/octicons.woff
/data/data/####/paWr3NvcJ-VexaTRZ2-AsfDL2T4.-1328786868.tmp
/data/data/####/party.png
/data/data/####/pirate.png
/data/data/####/punk.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/rBq30i0poxuGxxeGJLSncNLwtHU.247822133.tmp
/data/data/####/rain.png
/data/data/####/ranking_copper_50.png
/data/data/####/ranking_gold_50.png
/data/data/####/ranking_sliver_50.png
/data/data/####/right_button.png
/data/data/####/right_button_24.png
/data/data/####/run.pid
/data/data/####/sad.png
/data/data/####/santa.png
/data/data/####/save.png
/data/data/####/save@2x.png
/data/data/####/script.js
/data/data/####/security_info
/data/data/####/server.json
/data/data/####/share@2x.png
/data/data/####/share_sdk_1.xml
/data/data/####/sharesdk.db-journal
/data/data/####/shoes_female_1_002809.png
/data/data/####/shy.png
/data/data/####/sick.png
/data/data/####/smile.png
/data/data/####/snow.png
/data/data/####/socks_female_1_002800.png
/data/data/####/speechless.png
/data/data/####/star_gold.png
/data/data/####/star_grey.png
/data/data/####/starglow.png
/data/data/####/starwhite.png
/data/data/####/style.css
/data/data/####/style2016-12-14.css
/data/data/####/sweating.png
/data/data/####/tdata_JTp321
/data/data/####/tdata_JTp321.jar
/data/data/####/tdata_qHR433
/data/data/####/tdata_qHR433.jar
/data/data/####/testimage.jpg
/data/data/####/tongue.png
/data/data/####/udjoyegCli4On3Ef_PnSYfr7YtY.918826866.tmp
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/vampire.png
/data/data/####/wTlINSJNhSXhFXMeGDY-lcF0jVk.1644896130.tmp
/data/data/####/wacky.png
/data/data/####/watermark.png
/data/data/####/wink.png
/data/data/####/yhzy_ask_44.png
/data/media/####/.db_accache
/data/media/####/.db_rtcache
/data/media/####/.dk
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.nomedia
/data/media/####/.pkg_lock
/data/media/####/.rc_lock
/data/media/####/_config.json
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.mallestudio.gugu.appd.db
/data/media/####/com.mallestudio.gugu.model.SyncBean
/data/media/####/mobile.zip
/data/media/####/tdata_JTp321
/data/media/####/tdata_qHR433
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25505 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25505 300 0
top -d 0 -n 1

Загружает динамические библиотеки:

Bugly
bitmaps
getuiext2
hyphenate
libjiagu
memchunk
neh

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней