ПОЛЬЗОВАТЕЛЯМ

Поддержка
Круглосуточная поддержка

Позвоните

Бесплатно по России:
8-800-333-79-32

ЧаВо | Форум

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

Android.Packed.36935

Добавлен в вирусную базу Dr.Web: 2018-04-15

Описание добавлено:

Техническая информация

Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
  • Android.MulDrop.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
  • UDP(DNS) <Google DNS>
  • TCP(HTTP/1.1) h####.a####.com:80
  • TCP(HTTP/1.1) wb.110.ta####.com:80
  • TCP(HTTP/1.1) ols.sandb####.cn:8943
  • TCP(HTTP/1.1) nav.cn.ron####.com:80
  • TCP(HTTP/1.1) ols.sandb####.cn:9000
  • TCP(HTTP/1.1) s.a.a####.com:80
  • TCP(HTTP/1.1) pi####.qq.com:80
  • TCP(HTTP/1.1) l####.tbs.qq.com:80
  • TCP(HTTP/1.1) zhg.ali####.com:80
  • TCP(HTTP/1.1) a.appj####.com:80
  • TCP(HTTP/1.1) ols.sandb####.cn:8945
  • TCP(HTTP/1.1) api.voic####.cn:80
  • TCP(HTTP/1.1) ad####.m.ta####.com:80
  • TCP(HTTP/1.1) a.ydst####.com.####.com:80
  • TCP(HTTP/1.1) m.a####.com.####.com:80
  • TCP(HTTP/1.1) a####.u####.com:80
  • TCP(HTTP/1.1) g####.a####.com.####.com:80
  • TCP(HTTP/1.1) a####.a####.com:80
  • TCP(HTTP/1.1) ads.voic####.cn:80
  • TCP(HTTP/1.1) if####.bj.opensto####.cn:80
  • TCP(HTTP/1.1) ada####.m.ta####.com:80
  • TCP(HTTP/1.1) go####.yo####.com:80
  • TCP(HTTP/1.1) cgi.con####.qq.com:80
  • TCP(HTTP/1.1) fu1.a####.com:80
  • TCP(HTTP/1.1) www.a####.com.####.com:80
  • TCP(TLS/1.0) 1####.217.17.142:443
  • TCP(TLS/1.0) s####.cn.ron####.com:443
  • TCP(TLS/1.0) sh.wagbr####.ta####.com:443
  • TCP(TLS/1.0) msg.umengc####.com:443
  • TCP(TLS/1.0) ks3-cn-####.k####.com:443
  • TCP 1####.92.18.24:8616
  • TCP 38.1####.109.58:8046
  • TCP 1####.205.160.76:443
Запросы DNS:
  • a####.a####.com
  • a####.u####.com
  • a.appj####.com
  • ad####.m.ta####.com
  • ada####.m.ta####.com
  • ads.voic####.cn
  • ag####.m.ta####.com
  • api.voic####.cn
  • bcfeed####.ta####.com
  • cgi.con####.qq.com
  • fu1.a####.com
  • g####.a####.com
  • g####.a####.com
  • g####.a####.com
  • go####.yo####.com
  • h####.a####.com
  • h####.a####.com
  • h####.a####.com
  • if####.bj.opensto####.cn
  • ks3-cn-####.k####.com
  • l####.tbs.qq.com
  • m.a####.com
  • mo####.aiwa####.com
  • msg.umengc####.com
  • mt####.go####.com
  • nav.cn.ron####.com
  • oima####.ydst####.com
  • ols.sandb####.cn
  • pi####.qq.com
  • s####.cn.ron####.com
  • s.a.a####.com
  • umengj####.m.ta####.com
  • wb.110.ta####.com
  • www.a####.com
  • y####.al####.com
Запросы HTTP GET:
  • a####.a####.com/atiws/atiappcommon?appver=####&gametype=####&zoneid=####...
  • a.ydst####.com.####.com/image?id=####&product=####&w=####&h=####
  • ad####.m.ta####.com/rest/gc2?ak=####&av=####&c=####&d=####&sv=####&t=###...
  • api.voic####.cn/hotUpdate?ver=####
  • cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?sdkv=####&appid=###...
  • fu1.a####.com/account/324/54763324/account/54763324_big.jpg
  • fu1.a####.com/account/380/59753380/account/59753380_big.jpg
  • fu1.a####.com/account/559/64621559/account/64621559_big.jpg
  • fu1.a####.com/account/662/59838662/account/59838662_big.jpg
  • fu1.a####.com/account/744/27918744/account/27918744_big.jpg
  • fu1.a####.com/account/830/64252830/account/64252830_big.jpg
  • fu1.a####.com/account/862/29750862/account/29750862_big.jpg
  • fu1.a####.com/account/884/64081884/account/64081884_big.jpg
  • fu1.a####.com/account/922/35862922/account/35862922_big.jpg
  • g####.a####.com.####.com/user/324/54763324/1006/card/47700629/47700629_4...
  • g####.a####.com.####.com/user/380/59753380/1004/card/47700083/47700083_4...
  • g####.a####.com.####.com/user/559/64621559/1004/card/47699888/47699888_4...
  • g####.a####.com.####.com/user/662/59838662/1006/card/47700425/47700425_4...
  • g####.a####.com.####.com/user/704/65905704/5001/card/47700637/47700637_4...
  • g####.a####.com.####.com/user/744/27918744/1006/card/47699808/47699808_4...
  • g####.a####.com.####.com/user/830/64252830/1004/card/47700155/47700155_4...
  • g####.a####.com.####.com/user/862/29750862/1006/card/47700304/47700304_4...
  • g####.a####.com.####.com/user/884/64081884/1004/card/47699846/47699846_4...
  • g####.a####.com.####.com/user/922/35862922/1004/card/47700024/47700024_4...
  • go####.yo####.com/gorgon/request.s?s=####&ydet=####
  • h####.a####.com/user/324/54763324/1006/card/47700629/47700629_400.jpg
  • h####.a####.com/user/380/59753380/1004/card/47700083/47700083_400.jpg
  • h####.a####.com/user/559/64621559/1004/card/47699888/47699888_400.jpg
  • h####.a####.com/user/662/59838662/1006/card/47700425/47700425_400.jpg
  • h####.a####.com/user/704/65905704/5001/card/47700637/47700637_400.jpg
  • h####.a####.com/user/744/27918744/1006/card/47699808/47699808_400.jpg
  • h####.a####.com/user/830/64252830/1004/card/47700155/47700155_400.jpg
  • h####.a####.com/user/862/29750862/1006/card/47700304/47700304_400.jpg
  • h####.a####.com/user/884/64081884/1004/card/47699846/47699846_400.jpg
  • h####.a####.com/user/922/35862922/1004/card/47700024/47700024_400.jpg
  • if####.bj.opensto####.cn/sdk/AdDex.3.0.11.dex
  • m.a####.com.####.com/mobile/apps/apps.php?module=####&func=####&apptype=...
  • m.a####.com.####.com/mobile/apps/apps.php?module=####&func=####&id=####
  • m.a####.com.####.com/mobile/apps/top_action-appGame_key-<SMS Address>_so...
  • ols.sandb####.cn:8943/props/api/v1/props?lang=####&channel=####
  • ols.sandb####.cn:8945/minigame/api/v1/games-aipai?lang=####&channel=####
  • ols.sandb####.cn:9000/api/v1/visitor?id=####&isExpired=####
  • www.a####.com.####.com/app/www/templates/common/img/userdefaultnew_4_1_b...
Запросы HTTP POST:
  • a####.u####.com/app_logs
  • a.appj####.com/ad-service/ad/mark
  • ada####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=###...
  • ads.voic####.cn/ad/request
  • l####.tbs.qq.com/ajax?c=####&k=####
  • nav.cn.ron####.com/navi.xml
  • nav.cn.ron####.com/navipush.json
  • pi####.qq.com/mstat/report
  • s.a.a####.com/
  • wb.110.ta####.com/api/update.do
  • zhg.ali####.com/saveWb.json
Изменения в файловой системе:
Создает следующие файлы:
  • /data/data/####/-183216913
  • /data/data/####/-183216913.tmp
  • /data/data/####/-2039194098.tmp
  • /data/data/####/-2047640561.tmp
  • /data/data/####/-335599041.tmp
  • /data/data/####/-507115479.tmp
  • /data/data/####/-757593067.tmp
  • /data/data/####/-767215330.tmp
  • /data/data/####/-838125604.tmp
  • /data/data/####/-92820508.tmp
  • /data/data/####/.imprint
  • /data/data/####/.jg.ic
  • /data/data/####/.log.lock
  • /data/data/####/.log.ls
  • /data/data/####/05630f1d44e0965041f6065187fe5f13450d4016.0.tmp
  • /data/data/####/0a231bd8575dcf72.txt
  • /data/data/####/103425439.tmp
  • /data/data/####/1045045429.tmp
  • /data/data/####/1056516451.tmp
  • /data/data/####/1108740318.tmp
  • /data/data/####/1215790725.tmp
  • /data/data/####/1302166521.tmp
  • /data/data/####/1404395649.tmp
  • /data/data/####/1656460699.tmp
  • /data/data/####/1718175103.tmp
  • /data/data/####/1933637283.tmp
  • /data/data/####/1d77ea041509fe06.lock
  • /data/data/####/21c22f492aba3de8.lock
  • /data/data/####/523543977.tmp
  • /data/data/####/8ef9c457b3bbb403.lock
  • /data/data/####/930a31b34bd52c08.lock
  • /data/data/####/ACCS_BIND.xml
  • /data/data/####/ACCS_SDK.xml
  • /data/data/####/ACCS_SDK_CHANNEL.xml
  • /data/data/####/AGOO_BIND.xml
  • /data/data/####/AdDex.3.0.1.dex
  • /data/data/####/AdDex.3.0.11.dex
  • /data/data/####/Agoo_AppStore.xml
  • /data/data/####/Alvin2.xml
  • /data/data/####/COUNTLY_STORE.xml
  • /data/data/####/ContextData.xml
  • /data/data/####/DaemonServer
  • /data/data/####/IMKitUserInfoCache-journal
  • /data/data/####/MessageStore.db-journal
  • /data/data/####/MsgLogStore.db-journal
  • /data/data/####/RongNavigation.xml
  • /data/data/####/RongPush.xml
  • /data/data/####/SGMANAGER_DATA2.tmp
  • /data/data/####/Statistics.xml
  • /data/data/####/UTCommon.xml
  • /data/data/####/accs.db-journal
  • /data/data/####/adsp.xml
  • /data/data/####/agoo.pid
  • /data/data/####/allPropsInfo.xml
  • /data/data/####/ap.Lock
  • /data/data/####/com.cd.minecraft.mclauncher_preferences.xml
  • /data/data/####/com.cd.minecraft.mclauncher_preferences.xml (deleted)
  • /data/data/####/com.tencent.open.config.json.1104472561
  • /data/data/####/core_info
  • /data/data/####/exchangeIdentity.json
  • /data/data/####/game_module.xml
  • /data/data/####/giftPriceInfo.xml
  • /data/data/####/jg_app_update_settings_random.xml
  • /data/data/####/journal.tmp
  • /data/data/####/libjiagu.so
  • /data/data/####/libsgmainso-5.1.81.so.tmp
  • /data/data/####/lock.lock
  • /data/data/####/mc-Visitor-Cache-db-journal
  • /data/data/####/mc-ver-db-journal
  • /data/data/####/message_accs_db
  • /data/data/####/message_accs_db-journal
  • /data/data/####/mobclick_agent_cached_com.cd.minecraft.mclauncher170
  • /data/data/####/multidex.version.xml
  • /data/data/####/rc_token.xml
  • /data/data/####/sp.lock
  • /data/data/####/storage-journal
  • /data/data/####/tbs_download_config.xml
  • /data/data/####/tbs_download_stat.xml
  • /data/data/####/tbscoreinstall.txt
  • /data/data/####/tbslock.txt
  • /data/data/####/tencent_analysis.db-journal
  • /data/data/####/umeng_general_config.xml
  • /data/data/####/umeng_it.cache
  • /data/data/####/ut.db
  • /data/data/####/ut.db-journal
  • /data/data/####/visitorInfo.xml
  • /data/data/####/webview.db-journal
  • /data/data/####/webviewCookiesChromium.db-journal
  • /data/data/####/webviewCookiesChromiumPrivate.db-journal
  • /data/data/####/ywPrefsTools.xml
  • /data/media/####/.mid.txt
  • /data/media/####/.nomedia
  • /data/media/####/68aac82659df4b9e9bd49c79d1ebfb27
  • /data/media/####/6c709c11d2d46a7b
  • /data/media/####/Alvin2.xml
  • /data/media/####/ContextData.xml
  • /data/media/####/accs_election
  • /data/media/####/com.tencent.mobileqq_connectSdk.18.04.15.07.log
  • /data/media/####/dd7893586a493dc3
  • /data/media/####/hid.dat
  • /data/media/####/journal.tmp
  • /data/media/####/options.txt
  • /data/media/####/service_20180415.log
  • /data/media/####/tbslog.txt
Другие:
Запускает следующие shell-скрипты:
  • /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
  • /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
  • <Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:54f68ca3fd98c567ed000d4f","utdid":"WtMGca/M4GEDAGdzx1EsAKTO","sdkVersion":"212"} -I agoodm.m.taobao.com -O 80 -T -Z
  • cat /sys/class/net/wlan0/address
  • chmod 500 <Package Folder>/files/DaemonServer
  • chmod 755 <Package Folder>/.jiagu/libjiagu.so
  • getprop ro.product.cpu.abi
  • ping -c 4 120.92.141.182
  • sh
Загружает динамические библиотеки:
  • MtaNativeCrash
  • RongIMLib
  • libjiagu
  • sgmainso-5.1
  • tnet-3.1
  • ut_c_api
Использует следующие алгоритмы для шифрования данных:
  • AES-CBC-PKCS5Padding
  • DES
  • RSA-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
  • AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.

Рекомендации по лечению


Android

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке

Российский разработчик антивирусов Dr.Web с 1992 года
Dr.Web в Реестре Отечественного ПО
Dr.Web совместим с российскими ОС и оборудованием
Dr.Web пользуются в 200+ странах мира
Техническая поддержка 24х7х365 Рус | En

Dr.Web © «Доктор Веб»
2003 — 2022

«Доктор Веб» — российский производитель антивирусных средств защиты информации под маркой Dr.Web. Продукты Dr.Web разрабатываются с 1992 года.

125124, Россия, Москва, 3-я улица Ямского поля, д.2, корп.12А