Android.Backdoor.929

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.Backdoor.657.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) as.lie####.cn:80
TCP(HTTP/1.1) a.e####.cn:80
TCP(HTTP/1.1) dsp.b####.s####.com:80
TCP(HTTP/1.1) gm.mm####.com:80
TCP(HTTP/1.1) rcv.icli####.com:80
TCP(HTTP/1.1) ap####.adi####.com:80
TCP(HTTP/1.1) ga####.lotu####.com:80
TCP(HTTP/1.1) c.c####.com:80
TCP(HTTP/1.1) c.appj####.com:80
TCP(HTTP/1.1) cl####.bay####.com:80
TCP(HTTP/1.1) a.appj####.com:80
TCP(HTTP/1.1) dpa.helianh####.com:80
TCP(HTTP/1.1) z.c####.com:80
TCP(HTTP/1.1) rcv.a####.com:80
TCP(HTTP/1.1) amdc####.m.ta####.com:80
TCP(HTTP/1.1) api.e####.cn:80
TCP(HTTP/1.1) 1####.26.247.23:80
TCP(HTTP/1.1) y####.51on####.com:80
TCP(HTTP/1.1) api.tou####.com:80
TCP(HTTP/1.1) ga####.lotu####.com:88
TCP(HTTP/1.1) yun.yu####.com:80
TCP(HTTP/1.1) cdn.a####.com:80
TCP(HTTP/1.1) i####.sogo####.com.####.com:80
TCP(TLS/1.0) z.c####.com:443
TCP(TLS/1.0) mal####.in####.com:443
TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
TCP(TLS/1.0) pic.e####.cn:443
TCP(TLS/1.0) c.c####.com:443
TCP(TLS/1.0) api.e####.cn:443
TCP(TLS/1.0) hm.b####.com:443

Запросы DNS:

a.appj####.com
a.e####.cn
ag####.m.ta####.com
amdc####.m.ta####.com
ap####.adi####.com
api.e####.cn
api.tou####.com
as.lie####.cn
c####.mm####.com
c.appj####.com
c.c####.com
cdn.a####.com
cl####.bay####.com
dpa.helianh####.com
dsp.b####.s####.com
ga####.lotu####.com
hm.b####.com
i####.sogo####.com
mal####.in####.com
mt####.go####.com
on####.lotu####.com
pic.e####.cn
plb####.u####.com
rcv.a####.com
rcv.icli####.com
s22.c####.com
u####.u####.com
umen####.m.ta####.com
umengj####.m.ta####.com
y####.51on####.com
yun.yu####.com
z1.c####.com

Запросы HTTP GET:

a.e####.cn/public/getClickUrlList.shtml?lng=####&sd=####&screenheight=##...
a.e####.cn/public/getInformationAd.shtml?lng=####&sd=####&screenheight=#...
a.e####.cn/public/getRecipeAd.shtml?lng=####&sd=####&screenheight=####&m...
a.e####.cn/public/getStartUpImage.shtml?height=####&width=####&sd=####&m...
a.e####.cn/public/rab.shtml?id=####&network=####&machine=####
a.e####.cn/public/setMachineUa.shtml?lng=####&sd=####&screenheight=####&...
a.e####.cn/public/showUrlVisit.shtml?os=####&osversion=####&appversion=#...
ap####.adi####.com/tj?key=####&rd=####&req=####&token=####&
api.e####.cn/public/getSecondaryHomeData.shtml?machine=####&version=####...
api.tou####.com/ad/track?data=####&
as.lie####.cn/v2/forward/imp/ch/135?version=####&sspaid=####&sid=####&gu...
c.c####.com/core.php?web_id=####&t=####
c.c####.com/z_stat.php?id=####
cdn.a####.com//uploads/42db56dbfcdc816b8adb2bb92c7a3e3c_1001028_225_150....
cl####.bay####.com/terminal/adRequest/listener.do?t=####&data=####
dpa.helianh####.com/webapi/apply/ope/1?uid=####&adid=####&adclass=####&a...
dpa.helianh####.com/webapi/apply/ope/2?uid=####&adid=####&adclass=####&a...
dsp.b####.s####.com/ldsimp_wf?dspsrc=####&p=####&tm=####&
gm.mm####.com/9.gif?abc=####&rnd=####
i####.sogo####.com.####.com/app/a/200630/c19a27102955835356ee6bdc3650a45e
rcv.a####.com/click?CAAQMQ.####
rcv.a####.com/show?CAAQLA.####&
rcv.icli####.com/trace?t=clickMonitor&s=1&iclicashsid=89b3cf7ab77ae660a5...
rcv.icli####.com/trace?t=load&iclicashsid=89b3cf7ab77ae660a52503a827d243...
rcv.icli####.com/trace?t=stay&duration=1&iclicashsid=89b3cf7ab77ae660a52...
rcv.icli####.com/trace?t=stay&duration=10&iclicashsid=89b3cf7ab77ae660a5...
rcv.icli####.com/trace?t=stay&duration=5&iclicashsid=89b3cf7ab77ae660a52...
y####.51on####.com/pages/?iclicashsid=####
y####.51on####.com/pages/turnplate_2/1.json
y####.51on####.com/pages/turnplate_2/2.json
y####.51on####.com/pages/turnplate_2/38a593rfqv.png?x-oss-process=####
y####.51on####.com/pages/turnplate_2/7fngm6er0f.png?x-oss-process=####
y####.51on####.com/pages/turnplate_2/actBase_201710230000.css
y####.51on####.com/pages/turnplate_2/actBase_201710230000.js
y####.51on####.com/pages/turnplate_2/agw46qr40q.jpg?x-oss-process=####
y####.51on####.com/pages/turnplate_2/animate.css
y####.51on####.com/pages/turnplate_2/banner.png
y####.51on####.com/pages/turnplate_2/base.css
y####.51on####.com/pages/turnplate_2/butt.png?x-oss-process=####
y####.51on####.com/pages/turnplate_2/common_201709140000.css
y####.51on####.com/pages/turnplate_2/common_201710230000.js
y####.51on####.com/pages/turnplate_2/down.png
y####.51on####.com/pages/turnplate_2/fjn7zgv496.png?x-oss-process=####
y####.51on####.com/pages/turnplate_2/fly.js
y####.51on####.com/pages/turnplate_2/game1.jpg
y####.51on####.com/pages/turnplate_2/hand.png
y####.51on####.com/pages/turnplate_2/index_201708211647.css
y####.51on####.com/pages/turnplate_2/index_201709062000.css
y####.51on####.com/pages/turnplate_2/index_201709140000.js
y####.51on####.com/pages/turnplate_2/index_201709140000.js(1)
y####.51on####.com/pages/turnplate_2/index_201709290000.css
y####.51on####.com/pages/turnplate_2/index_201710091000.js
y####.51on####.com/pages/turnplate_2/index_201710111509.css
y####.51on####.com/pages/turnplate_2/index_201710230000.css
y####.51on####.com/pages/turnplate_2/index_201710230000.js
y####.51on####.com/pages/turnplate_2/index_201710261111.js
y####.51on####.com/pages/turnplate_2/ka0m7zsbwr.png?x-oss-process=####
y####.51on####.com/pages/turnplate_2/oce6kfv99z.jpg?x-oss-process=####
y####.51on####.com/pages/turnplate_2/oce6kfv99z.png
y####.51on####.com/pages/turnplate_2/point.png?x-oss-process=####
y####.51on####.com/pages/turnplate_2/statistics_201710230000.js
y####.51on####.com/pages/turnplate_2/trace.js
y####.51on####.com/pages/turnplate_2/vrvqh6k2hh.png?x-oss-process=####
yun.yu####.com/h5-tuia/activity/turnCircle/image/rule.png?x-oss-process=...
yun.yu####.com/h5-tuia/couponPrize/lucky.png?x-oss-process=####
yun.yu####.com/h5-tuia/couponPrize/thanks.png?x-oss-process=####
z.c####.com/stat.htm?id=1264379200&r=http://rcv.aiclk.com/click?CAAQMQ.#...

Запросы HTTP POST:

a.appj####.com/jiagu/check/upgrade
amdc####.m.ta####.com/amdc/mobileDispatch?appkey=####&deviceId=####&plat...
c.appj####.com/ad/splash/stats.html
ga####.lotu####.com/?st=####&sv=####&tm=####&sid=GyA####&apn=####&ct=###...
ga####.lotu####.com:88/?mid=####&st=####&sv=####&tm=####&sid=GyA####&apn...

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/ACCS_LOAD_SO.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/Ji.xml
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/UserAgent.xml
/data/data/####/a==7.3.1&&2.1.0_1510835701048_envelope.log
/data/data/####/accs.db-journal
/data/data/####/ad_show_time.xml
/data/data/####/agoo.pid
/data/data/####/cn.ecook.xml
/data/data/####/collectiondatabase
/data/data/####/collectiondatabase-journal
/data/data/####/d==7.3.1&&2.1.0_1510835701274_envelope.log
/data/data/####/d==7.3.1&&2.1.0_1510835705194_envelope.log
/data/data/####/d==7.3.1&&2.1.0_1510835711308_envelope.log
/data/data/####/d==7.3.1&&2.1.0_1510835713608_envelope.log
/data/data/####/d==7.3.1&&2.1.0_1510835716796_envelope.log
/data/data/####/d==7.3.1&&2.1.0_1510835729776_envelope.log
/data/data/####/d==7.3.1&&2.1.0_1510835731423_envelope.log
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/ecookdatabase
/data/data/####/ecookdatabase-journal
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/index
/data/data/####/info.xml
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/libjiagu.so
/data/data/####/lonLat.xml
/data/data/####/lotuseed.apps
/data/data/####/lotuseed.s
/data/data/####/lotuseed.task
/data/data/####/lotuseed_global.xml
/data/data/####/material.db-journal
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/multidex.version.xml
/data/data/####/recipe.db-journal
/data/data/####/recipedatabase-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/.nomedia
/data/media/####/05f6454b82af4dde802656d94d79a005
/data/media/####/1o4m9t45ns3vvlm13cz5dfclc.tmp
/data/media/####/1omoz3eop1nnifvbpjs8yny2m
/data/media/####/1p828r0j4l9eexx0nuhspapc9.tmp
/data/media/####/1phv3hampmr20f2e1seejzewu.tmp
/data/media/####/1tgaqrhxkhewjxotxqmlhherf.tmp
/data/media/####/1txxmxt4p3teroujt38qdjyz5.tmp
/data/media/####/1zqq1m05gjegf15rwylola6gc.tmp
/data/media/####/2m38kqhzl6w62lk0b7fbvbvem.tmp
/data/media/####/2wwrko5houv4nn9nnely7fz91.tmp
/data/media/####/2zaai6u2xph83j6un5m6w912.tmp
/data/media/####/3a8pvxfx2reqmt14679osed74.tmp
/data/media/####/3qhotycfzztfioro5lnfiy6d.tmp
/data/media/####/3t11qmc49bj2ny9n19kyne592.tmp
/data/media/####/3ti3s0hrm8dr1acn7nrjcxwl4.tmp
/data/media/####/45sog1568e94rpla7csyu5vjr.tmp
/data/media/####/4cgahjb7tiwzihxrmzg9d451s.tmp
/data/media/####/4d3mmfto5j33wzoa804ezb5qn.tmp
/data/media/####/4nhcrvlj3hr32lmcogvpdm9o4.tmp
/data/media/####/4ybnwg3rt8zfh5geum5omxpcw.tmp
/data/media/####/4yhoq8h1wc85xjafp71k5641y.tmp
/data/media/####/50k8boifbkfr4no018l56wxtx.tmp
/data/media/####/50rjdcttrtz951c3q4evkpxvs.tmp
/data/media/####/5b04dcf7926d4df8ac5f9322ef3fc1e0
/data/media/####/5bs0xjuiiawilv6frhr65271s.tmp
/data/media/####/5utm3rkqbb1wknk63ewt4p8zh.tmp
/data/media/####/6gsetfkne4op5eas5w20xos71.tmp
/data/media/####/720ef2005b53476cb6070d1db51f7a5d
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/aisysgatbj1l20j35xi5jrt5.tmp
/data/media/####/c2ba9b08bf644f76b238b16fa0feae2b
/data/media/####/dbxrpf1k5gfgb286fqd6q04v.tmp
/data/media/####/lbdyy740s8enp6uqanvvwjb7.tmp
/data/media/####/lotuseed.devid
/data/media/####/u3gy3ozwry4s6nwlucstk7cb.tmp

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:59892dc0a40fa31228000183","utdid":"Wg2F3Lr4O3QDAGdzx1Ff9lOr","sdkVersion":"221"} -I agoodm.m.taobao.com -O 80 -T -Z
chmod 500 <Package Folder>/files/DaemonServer
chmod 755 <Package Folder>/.jiagu/libjiagu.so
ls /
ls /sys/class/thermal
ps
sh

Загружает динамические библиотеки:

libjiagu
tnet-3.1

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
RSA
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к интерфейсу камеры.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации о настроках APN.

Осуществляет доступ к информации об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней