Android.Packed.36809

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.DownLoader.2083
Android.DownLoader.546.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) c####.mob.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) d####.d####.mob.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) 4####.95.95.131:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) rs.eas####.com:80
TCP(HTTP/1.1) sdk.o####.amp.####.com:80
TCP(HTTP/1.1) api.s####.mob.com:80
TCP(HTTP/1.1) 1####.92.4.52:80
TCP(HTTP/1.1) gl####.w.kunl####.####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) api.malleco####.com:80
TCP(HTTP/1.1) 7r####.v2.com.####.com:80
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
7u####.c####.z0.####.com
a####.exc.mob.com
a####.u####.com
and####.b####.qq.com
api.malleco####.com
api.s####.mob.com
c####.g####.ig####.com
c####.mob.com
c-h####.g####.com
d####.d####.mob.com
mt####.go####.com
qnc.chuma####.com
qnp.chuma####.com
rs.eas####.com
sdk.c####.ig####.com
sdk.o####.amp.####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

7r####.v2.com.####.com/?imageVi####
7r####.v2.com.####.com/app/comics/titles/title_13928821_1_c29d6193691a48...
7r####.v2.com.####.com/app/comics/titles/title_14346276_1_17d6104cd75a48...
7r####.v2.com.####.com/app/comics/titles/title_2633767_1_427b530b41b44f4...
7r####.v2.com.####.com/app/comics/titles/title_2879899_1_b03b24534cda49b...
7r####.v2.com.####.com/app/comics/titles/title_7162597_1_26f2d9e55f9640d...
7r####.v2.com.####.com/app/news/20180330/5abe265b79a50.jpg
7r####.v2.com.####.com/app/news/20180403/5ac363234586e.jpg
7r####.v2.com.####.com/app/news/20180404/5ac46f3e8aff6.jpg
7r####.v2.com.####.com/app/topic/20160614/575fc82223a62.jpg?imageVi####
7r####.v2.com.####.com/app/topic/20160812/57ad7f9009237.jpg?imageVi####
7r####.v2.com.####.com/app/topic/20160825/57be9f36ee955.jpg?imageVi####
7r####.v2.com.####.com/app/topic/20161031/5816c1943eb10.jpg?imageVi####
7r####.v2.com.####.com/app/topic/20161201/584000b019aa8.jpg?imageVi####
7r####.v2.com.####.com/app/topic/20170119/588038dc07db8.jpg?imageVi####
7r####.v2.com.####.com/app/topic/20170126/5889496878ad2.jpg?imageVi####
7r####.v2.com.####.com/app/topic/20170214/58a2636a3b4ce.jpg?imageVi####
7r####.v2.com.####.com/app/users/avatars/tem_1519736688390.jpg?imageVi####
7r####.v2.com.####.com/app/users/avatars/tem_1520599163399.jpg?imageVi####
7r####.v2.com.####.com/app/users/avatars/tem_1521972936709.jpg?imageVi####
7r####.v2.com.####.com/app/users/avatars/tem_1522896338830.jpg?imageVi####
7r####.v2.com.####.com/app/users/club_title_image/createClubIcon_2016120...
7r####.v2.com.####.com/app/users/club_title_image/createClubIcon_2017012...
7r####.v2.com.####.com/app/users/club_title_image/createClubIcon_2017013...
7r####.v2.com.####.com/app/users/club_title_image/createClubIcon_3297_20...
7r####.v2.com.####.com/app/users/club_title_image/createClubIcon_336992_...
7r####.v2.com.####.com/app/users/club_title_image/createClubIcon_7250_20...
7r####.v2.com.####.com/app/users/magazine_title_image/magazineTitleImage...
7r####.v2.com.####.com/match/banner/1495866662000512.jpg?imageVi####
7r####.v2.com.####.com/match/banner/1500611141000601.jpg?imageVi####
7r####.v2.com.####.com/match/banner/1502157306000571.jpg?imageVi####
7r####.v2.com.####.com/null?imageVi####
api.malleco####.com/secure/?m=####&c=####&a=####
api.malleco####.com/secure/?m=####&c=####&a=####&pagesize=####&last_maga...
api.malleco####.com/secure/?m=####&c=####&a=####&pagesize=####&page=####
api.malleco####.com/secure/?m=####&c=####&a=####&pagesize=####&page=####...
api.malleco####.com/secure/?m=####&c=####&a=####&version=####
c####.mob.com/caconf?appkey=####&plat=####&apppkg=####&appver=####&netwo...
gl####.w.kunl####.####.com/config/android.json?rand=####
rs.eas####.com/easemob/server.json?sdk_version=####&app_key=####&file_ve...
sdk.o####.amp.####.com/api.htm?format=####&t=####
t####.c####.q####.####.com/apk/chuman_android_release_chuman_v4.0.6_2017...
t####.c####.q####.####.com/tdata_JTp321
t####.c####.q####.####.com/tdata_qHR433
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

a####.exc.mob.com/errconf
a####.u####.com/app_logs
and####.b####.qq.com/rqd/async?aid=####
api.malleco####.com/secure/?m=####&c=####&a=####
api.s####.mob.com/conf5
api.s####.mob.com/conn
api.s####.mob.com/data2
api.s####.mob.com/log4
c####.mob.com/ca
c-h####.g####.com/api.php?format=####&t=####
d####.d####.mob.com/dinfo
d####.d####.mob.com/dsign
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-p96lNfUQfqQq6aiLh2a4kfqKcY.481446690.tmp
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/.statistics
/data/data/####/1004
/data/data/####/1644chY1Wrpcuuun9dCgZkDsi2o.2024412907.tmp
/data/data/####/2ENRssNDNi8tNnMHnN42gNW1McU.-1715595015.tmp
/data/data/####/2PBNOgkb9jxxPy_N28p2pesoHGM.1955712215.tmp
/data/data/####/5088.mp3
/data/data/####/9WpcDn-6fK7dTcEj_3Mk648V22M.1279407277.tmp
/data/data/####/9xP2SbH9cW8fC9z9dsuojb_dsVc.-104033421.tmp
/data/data/####/A-KVhP9vjJBwF_7cHgUnIaY7DD4.-546040994.tmp
/data/data/####/B24Sq_gaLxmb3yPoT3zxMkUHgRY.-279167549.tmp
/data/data/####/BEK0XJWDa5rPTXvYiFiHrIwh5AM.146232379.tmp
/data/data/####/BVtDpaCyR72qT1KvxIGvgXf_NZI.1032293021.tmp
/data/data/####/BrwA7r-ZVHGnsfDm7aL04b5GxNs.-764967948.tmp
/data/data/####/DzwVaEkTPBotxdJ5B-0t4R5HzOo.121073992.tmp
/data/data/####/EWKrxSVyVbSZfnNHfKYJD07uROA.1604819118.tmp
/data/data/####/J-ZxKaJH5dm_SMJjAyamakGvCtY.1240443804.tmp
/data/data/####/JjfKfDiMLMuQCHYqPllF9Un-oF0.2139486139.tmp
/data/data/####/Nh_3DBK-_b06xp3kPmiWW3KlYrM.-232308189.tmp
/data/data/####/R34-kJ67QhMyKxx7Je9vlXtrfv4.-269219349.tmp
/data/data/####/RvC3GKHHDry3iCvTUbIHd1LqaJY.1917176810.tmp
/data/data/####/S3_cMC7e1uO2u9cshVlbfirIsvA.415816299.tmp
/data/data/####/TG4TfA5VgAlF1_weRJPGGRaxyA4.-1800445852.tmp
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/WCDz4UjFAj5DUTtNG43RvVshBDk.-82110781.tmp
/data/data/####/Wqtn0fQXUku7oiaQqk89g44bzyQ.158615262.tmp
/data/data/####/YHKa7il5_eekoQndd-O65NzJtq0.97263875.tmp
/data/data/####/Yhx98u_jp30eSczgTGzm63O-RPo.-1809668639.tmp
/data/data/####/YmXInZ0J9w1IZY3b3omv_SSl5M8.-811227609.tmp
/data/data/####/ZbvxS-wXS05fdOx_IrKe3SR49c0.-490807425.tmp
/data/data/####/amazed.png
/data/data/####/angel.png
/data/data/####/angry.png
/data/data/####/apple-touch-icon.png
/data/data/####/avatar_missing.png
/data/data/####/backgrounds_effect_1_000348.png
/data/data/####/banana.gif
/data/data/####/beaten.png
/data/data/####/bodies_1_000018.png
/data/data/####/bored.png
/data/data/####/bubble.png
/data/data/####/bubbleyellow.png
/data/data/####/bugly_db_-journal
/data/data/####/clown.png
/data/data/####/coin.png
/data/data/####/com.mallestudio.egg.gugu.app.odex
/data/data/####/com.mallestudio.egg.gugu.app.zip
/data/data/####/com.mallestudio.egg.gugu.app_preferences.xml
/data/data/####/combined.min.js
/data/data/####/config.json
/data/data/####/confused.png
/data/data/####/cool.png
/data/data/####/crashrecord.xml
/data/data/####/cry.png
/data/data/####/currency_iconV2_50.png
/data/data/####/currency_iconV3_50.png
/data/data/####/currency_iconV4_50.png
/data/data/####/currency_iconV5_50.png
/data/data/####/db_public-journal
/data/data/####/device_id.xml.xml
/data/data/####/devil.png
/data/data/####/dialog.png
/data/data/####/dialogPointer.png
/data/data/####/dialogues_connered_1_000355.png
/data/data/####/dongtu-0101dg.png
/data/data/####/dongtu-0102dg.png
/data/data/####/dongtu-0103dg.png
/data/data/####/dongtu-0104dg.png
/data/data/####/dongtu-0201dg.png
/data/data/####/dongtu-0202dg.png
/data/data/####/dongtu-0203dg.png
/data/data/####/dongtu-0204dg.png
/data/data/####/dongtu-0301dg.png
/data/data/####/dongtu-0302dg.png
/data/data/####/dongtu-0303dg.png
/data/data/####/dongtu-0304dg.png
/data/data/####/dongtu-0401dg.png
/data/data/####/dongtu-0402dg.png
/data/data/####/dongtu-0403dg.png
/data/data/####/dongtu-0404dg.png
/data/data/####/dongtu-0501dg.png
/data/data/####/dongtu-0502dg.png
/data/data/####/dongtu-0503dg.png
/data/data/####/dongtu-0504dg.png
/data/data/####/dongtu-0601dg.png
/data/data/####/dongtu-0602dg.png
/data/data/####/dongtu-0603dg.png
/data/data/####/dongtu-0604dg.png
/data/data/####/dongtu-0701dg.png
/data/data/####/dongtu-0702dg.png
/data/data/####/dongtu-0703dg.png
/data/data/####/dongtu-0704dg.png
/data/data/####/doubtful.png
/data/data/####/dresses_female_1_002791.png
/data/data/####/emo.png
/data/data/####/emptystate_me_114.png
/data/data/####/emptystate_other_100.png
/data/data/####/error.json
/data/data/####/error_json.json
/data/data/####/error_server.json
/data/data/####/faces_1_000032.png
/data/data/####/facialsets_1_002515.png
/data/data/####/favicon.ico
/data/data/####/fireball.png
/data/data/####/flags.png
/data/data/####/frozen.png
/data/data/####/gdaemon_20161017
/data/data/####/grin.png
/data/data/####/group.html
/data/data/####/guguapp.db-journal
/data/data/####/guguapp_settings.xml
/data/data/####/guguapp_settings.xml.bak
/data/data/####/gx_sp.xml
/data/data/####/hairs_back_female_1_002768.png
/data/data/####/hairs_front_female_1_002765.png
/data/data/####/hands_gesture_1_002442.png
/data/data/####/home.html
/data/data/####/humans.txt
/data/data/####/icon.png
/data/data/####/icon@2x.png
/data/data/####/icon_Diamond_24.png
/data/data/####/icon_android.png
/data/data/####/icon_apple.png
/data/data/####/icon_coin_24.png
/data/data/####/icon_reward_110.png
/data/data/####/icon_time_end_24.png
/data/data/####/icon_time_long_24.png
/data/data/####/icon_time_short_24.png
/data/data/####/icons.eot
/data/data/####/icons.otf
/data/data/####/icons.svg
/data/data/####/icons.ttf
/data/data/####/icons.woff
/data/data/####/icons.woff2
/data/data/####/image_missing.jpg
/data/data/####/image_missing_block.png
/data/data/####/image_missing_new.png
/data/data/####/index.html
/data/data/####/indian.png
/data/data/####/init.pid
/data/data/####/init_c.pid
/data/data/####/karate.png
/data/data/####/kdspiJA8BMsWPAqG6XpLCuvqjeo.108480313.tmp
/data/data/####/kiss.png
/data/data/####/lTsGBUV-c_1NLaIEJCMwbRVXwjg.-480172389.tmp
/data/data/####/laugh.png
/data/data/####/left_button.png
/data/data/####/left_button_24.png
/data/data/####/libjiagu.so
/data/data/####/loading.gif
/data/data/####/loading.png
/data/data/####/local_crash_lock
/data/data/####/logo_icon.png
/data/data/####/love.png
/data/data/####/mWPsXaHTegRjZ3WAaD5CgDfkh8o.-1571502700.tmp
/data/data/####/menu_button.png
/data/data/####/menu_button_24.png
/data/data/####/menu_logo@2x.png
/data/data/####/millionaire.png
/data/data/####/mob_sdk_exception_1.xml
/data/data/####/mobclick_agent_cached_com.mallestudio.egg.gugu.app45
/data/data/####/mobclick_agent_online_setting_com.mallestudio.e...pp.xml
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/nerd.png
/data/data/####/news.html
/data/data/####/nhL1O76D2t_HWwi-DP7seIV_GyQ.758036483.tmp
/data/data/####/ninja.png
/data/data/####/noCx5A1dkEmtLQi_wr2_VWnRR0Q.1388808538.tmp
/data/data/####/noEikB-TlsAQOFUJWDZf8DXdr9Y.2101513628.tmp
/data/data/####/oWElK0o-FHXsNJ9APOvz0U-1POE.832347707.tmp
/data/data/####/octicons-local.ttf
/data/data/####/octicons.svg
/data/data/####/octicons.ttf
/data/data/####/octicons.woff
/data/data/####/party.png
/data/data/####/pirate.png
/data/data/####/punk.png
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/rain.png
/data/data/####/ranking_copper_50.png
/data/data/####/ranking_gold_50.png
/data/data/####/ranking_sliver_50.png
/data/data/####/right_button.png
/data/data/####/right_button_24.png
/data/data/####/run.pid
/data/data/####/sad.png
/data/data/####/santa.png
/data/data/####/save.png
/data/data/####/save@2x.png
/data/data/####/script.js
/data/data/####/security_info
/data/data/####/server.json
/data/data/####/share@2x.png
/data/data/####/share_sdk_1.xml
/data/data/####/sharesdk.db-journal
/data/data/####/shoes_female_1_002809.png
/data/data/####/shy.png
/data/data/####/sick.png
/data/data/####/smile.png
/data/data/####/snow.png
/data/data/####/socks_female_1_002800.png
/data/data/####/speechless.png
/data/data/####/star_gold.png
/data/data/####/star_grey.png
/data/data/####/starglow.png
/data/data/####/starwhite.png
/data/data/####/style.css
/data/data/####/style2016-12-14.css
/data/data/####/sweating.png
/data/data/####/tdata_JTp321
/data/data/####/tdata_JTp321.jar
/data/data/####/tdata_qHR433
/data/data/####/tdata_qHR433.jar
/data/data/####/testimage.jpg
/data/data/####/tongue.png
/data/data/####/udjoyegCli4On3Ef_PnSYfr7YtY.-1634555149.tmp
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/vampire.png
/data/data/####/wTlINSJNhSXhFXMeGDY-lcF0jVk.-246585769.tmp
/data/data/####/wacky.png
/data/data/####/watermark.png
/data/data/####/wink.png
/data/data/####/yhzy_ask_44.png
/data/media/####/.db_accache
/data/media/####/.db_rtcache
/data/media/####/.dk
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.nomedia
/data/media/####/.pkg_lock
/data/media/####/.rc_lock
/data/media/####/_config.json
/data/media/####/app.db
/data/media/####/chuman.apk
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.mallestudio.egg.gugu.app.db
/data/media/####/com.mallestudio.gugu.model.SyncBean
/data/media/####/mobile.zip
/data/media/####/tdata_JTp321
/data/media/####/tdata_qHR433
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25758 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop
top -d 0 -n 1

Загружает динамические библиотеки:

Bugly
bitmaps
getuiext2
hyphenate
libjiagu
memchunk
neh

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней