Android.Backdoor.1166

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.Backdoor.657.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) 1####.55.28.235:80
TCP(HTTP/1.1) a.e####.cn:80
TCP(HTTP/1.1) c####.360.cn:80
TCP(HTTP/1.1) t####.zhiz####.com:80
TCP(HTTP/1.1) ap####.adi####.com:80
TCP(HTTP/1.1) rtb.m####.net:80
TCP(HTTP/1.1) cl####.bay####.com:80
TCP(HTTP/1.1) dpa.helianh####.com:80
TCP(HTTP/1.1) pic.e####.cn:80
TCP(HTTP/1.1) cm.adi####.com:80
TCP(HTTP/1.1) adm.i####.cn.####.cn:80
TCP(HTTP/1.1) ima####.zhiz####.com.####.com:80
TCP(HTTP/1.1) dsp.zhiz####.com:80
TCP(HTTP/1.1) amdc####.m.ta####.com:80
TCP(HTTP/1.1) api.e####.cn:80
TCP(HTTP/1.1) 1####.26.247.23:80
TCP(HTTP/1.1) adx.adi####.com:80
TCP(HTTP/1.1) c.appj####.com:80
TCP(HTTP/1.1) pic.ange####.cn:80
TCP(HTTP/1.1) adx2rt####.adi####.com:80
TCP(HTTP/1.1) reso####.msg.xi####.net:80
TCP(HTTP/1.1) 47.97.2####.214:80
TCP(HTTP/1.1) g.x.cn.####.com:80
TCP(HTTP/1.1) api.map.b####.com:80
TCP(HTTP/1.1) ecoo####.b0.upa####.com:80
TCP(HTTP/1.1) o####.ad####.cn:80
TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
TCP(TLS/1.0) regi####.xm####.xi####.com:443
TCP 4####.62.94.2:443
TCP 47.74.1####.157:5222
TCP 1####.11.61.106:443
TCP umengj####.m.ta####.com:80

Запросы DNS:

a.e####.cn
adm.dxpm####.com
adx.adi####.com
adx2rt####.adi####.com
ag####.m.ta####.com
amdc####.m.ta####.com
ap####.adi####.com
api.e####.cn
api.map.b####.com
c####.360.cn
c.appj####.com
cl####.bay####.com
cm.adi####.com
dpa.helianh####.com
dsp.zhiz####.com
g.x.cn.####.com
ima####.zhiz####.com
o####.ad####.cn
pic.ange####.cn
pic.e####.cn
plb####.u####.com
regi####.xm####.xi####.com
reso####.msg.xi####.net
rtb.m####.net
t####.zhiz####.com
tv.e####.cn
u####.u####.com
umen####.m.ta####.com
umengj####.m.ta####.com

Запросы HTTP GET:

a.e####.cn/public/getClickUrlList.shtml?lng=####&sd=####&screenheight=##...
a.e####.cn/public/getClickUrlPoList.shtml?lng=####&sd=####&screenheight=...
a.e####.cn/public/getCommonBannerAd.shtml?height=####&width=####&lng=###...
a.e####.cn/public/getCommonInformationAd.shtml?height=####&width=####&ln...
a.e####.cn/public/getCommonStartUpAd.shtml?height=####&width=####&lng=##...
a.e####.cn/public/isDebugAd.shtml?ts=####&appid=####&sign=####
a.e####.cn/public/rab.shtml?id=####&network=####&machine=####
a.e####.cn/public/showUrlVisit.shtml?os=####&osversion=####&appversion=#...
adm.i####.cn.####.cn/count/common/?idtype=####&xpos_id=####&campaign_id=...
adx.adi####.com/track=3&app=1&adid=747&ip=95.211.190.198&uuid=<IMEI>&os=...
adx2rt####.adi####.com/nc?t=####&adxid=####&id=####&adtype=####&traffic=...
ap####.adi####.com/tj?key=####&rd=####&req=####&token=####&ts=####&appid...
ap####.adi####.com/tj?key=####&rd=####&req=YWR####&token=####&ts=####&ap...
api.e####.cn/public/getSecondaryHomeData.shtml?machine=####&version=####...
api.map.b####.com/location/ip?ak=####&coor=####
cl####.bay####.com/terminal/adRequest/listener.do?t=####&data=####&ts=##...
cm.adi####.com/?t=####&d=####&k=####&rd=####&c=####&code=####&bid=####&e...
dpa.helianh####.com/webapi/apply/ope/1?uid=####&adid=####&adclass=####&a...
dsp.zhiz####.com/track/pixel?op=####&ct=####&price=####&ext=####&ts=####...
ecoo####.b0.upa####.com/o/223547616.mp4
g.x.cn.####.com/x.gif?bb=####&gg=####&be=####&bf=####&os=####&m2=####&ci...
ima####.zhiz####.com.####.com/creative/mobile/0zoTLi29XRgq_wr1NV0gAcuI_1...
o####.ad####.cn/agent/openDisplay.do?st=####&uuidEncType=####&sv=####&sr...
pic.ange####.cn/web/223317090.jpg!s4
pic.ange####.cn/web/223546275.jpg!m3
pic.ange####.cn/web/233037912.jpg!m3
pic.ange####.cn/web/245556792.jpg!s4
pic.ange####.cn/web/246791392.jpg!m4
pic.ange####.cn/web/246829518.jpg!m3
pic.ange####.cn/web/256973617.jpg
pic.ange####.cn/web/257490828.jpg!m4
pic.ange####.cn/web/258223733.jpg
pic.ange####.cn/web/258329380.jpg!s1
pic.ange####.cn/web/260290978.jpg
pic.ange####.cn/web/260303104.jpg!s1
pic.ange####.cn/web/260355587.jpg!s1
pic.ange####.cn/web/260388528.jpg
pic.e####.cn/web/223546275.jpg!m3
pic.e####.cn/web/223547147.jpg!m720
pic.e####.cn/web/223547165.jpg!m720
pic.e####.cn/web/223547195.jpg!m720
pic.e####.cn/web/223547476.jpg!m720
pic.e####.cn/web/223547500.jpg!m720
pic.e####.cn/web/223547530.jpg!m720
pic.e####.cn/web/223547540.jpg!m720
pic.e####.cn/web/223547562.jpg!m720
pic.e####.cn/web/223552667.jpg!m2
pic.e####.cn/web/238290270.jpg!s2
pic.e####.cn/web/238290451.jpg!m2
pic.e####.cn/web/246791392.jpg!m3
pic.e####.cn/web/248650022.jpg!s2
pic.e####.cn/web/46937638.jpg!m720
pic.e####.cn/web/46937639.jpg!m720
pic.e####.cn/web/46937640.jpg!m720
reso####.msg.xi####.net/gslb/?ver=####&type=####&conpt=####&uuid=####&li...
rtb.m####.net/vw?info=CN####&wp=####
t####.zhiz####.com/mad.do?zzat=####&siteid=####&zzid=####&pr=####&adx=##...

Запросы HTTP POST:

amdc####.m.ta####.com/amdc/mobileDispatch?appkey=####&deviceId=####&plat...
c####.360.cn/stra_packet
c.appj####.com/ad/splash/stats.html

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.jgrpa.xml
/data/data/####/.log.lock
/data/data/####/.log.rpa
/data/data/####/223547616
/data/data/####/246791308
/data/data/####/257490706
/data/data/####/ACCS_BINDumeng;59892dc0a40fa31228000183.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/ACCS_SDK_CHANNEL.xml.bak
/data/data/####/AGOO_BIND.xml
/data/data/####/AdloadStore.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/Ji.xml
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/XMPushServiceConfig.xml
/data/data/####/a==7.3.1&&3.32.31_1524635406487_envelope.log
/data/data/####/accs.db-journal
/data/data/####/ad_show_time.xml
/data/data/####/agoo.pid
/data/data/####/cn.ecook.xml
/data/data/####/cn.ecookad.library.xml
/data/data/####/cn.ecookthree;pushservice
/data/data/####/cn.ecookthree_preferences.xml
/data/data/####/collectiondatabase
/data/data/####/collectiondatabase-journal
/data/data/####/d==7.3.1&&3.32.31_1524635406780_envelope.log
/data/data/####/d==7.3.1&&3.32.31_1524635414688_envelope.log
/data/data/####/d==7.3.1&&3.32.31_1524635429078_envelope.log
/data/data/####/d==7.3.1&&3.32.31_1524635438628_envelope.log
/data/data/####/d==7.3.1&&3.32.31_1524635443149_envelope.log
/data/data/####/d==7.3.1&&3.32.31_1524635444843_envelope.log
/data/data/####/d==7.3.1&&3.32.31_1524635450712_envelope.log
/data/data/####/d==7.3.1&&3.32.31_1524635457333_envelope.log
/data/data/####/d==7.3.1&&3.32.31_1524635461902_envelope.log
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/ecookdatabase
/data/data/####/ecookdatabase-journal
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/geofencing.db
/data/data/####/geofencing.db-journal
/data/data/####/index
/data/data/####/info.xml
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/jg_so_upgrade_setting.xml
/data/data/####/libjiagu649597836.so
/data/data/####/lonLat.xml
/data/data/####/material.db-journal
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/mipush.xml
/data/data/####/mipush_account.xml
/data/data/####/mipush_extra.xml
/data/data/####/mipush_region
/data/data/####/mipush_region.lock
/data/data/####/multidex.version.xml
/data/data/####/p==3.3.0&&3.32.31_1524635409356_envelope.log
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/recipe.db-journal
/data/data/####/recipedatabase-journal
/data/data/####/tiny_data.data
/data/data/####/tiny_data.lock
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/.nomedia
/data/media/####/1edbplx6u1mouo724ri7wdb93.tmp
/data/media/####/22q9bylvu05dl6mcafbriwjnz.tmp
/data/media/####/24n0g3dck69l0wc5ummt77gnj.tmp
/data/media/####/2dgzfmfuxwzmvnk9zfkm4iu7l.tmp
/data/media/####/2i51c6ul2ors2uzdh09g604j2.tmp
/data/media/####/2icf6oz50oyrjzn5bn5tcwoiu.tmp
/data/media/####/2jd4fz1qfv2oa8snbyvo8ycww.tmp
/data/media/####/30a74c4d5fb84df4871f4b71e5e899e9
/data/media/####/32fh5knz3u23x5rnysko7jvt9.tmp
/data/media/####/35a412daa5474ce2b1c75d809ee7a60b
/data/media/####/36k9j3kz5wb2xnthki4cb0kz3.tmp
/data/media/####/3hk6hkavehe0zln5pzm7rdm0i.tmp
/data/media/####/4mvimhnkjpy281wd97lmm7jrc.tmp
/data/media/####/4ve4duc8arpwgbqzgr09ggs8t.tmp
/data/media/####/5082nlbvwabvq2isd4kvalsyi.tmp
/data/media/####/54xyklsxjhzekqh5kphfgz2tx.tmp
/data/media/####/588abuwmtkq0ia6anrbhm5355.tmp
/data/media/####/5a764ub9ry5hl5jtny25ha4u.tmp
/data/media/####/5j6ezvggqzrcfbyk0t964hr7x.tmp
/data/media/####/5nks3bcox4xg2ay942dqwn8e.tmp
/data/media/####/5ut451giacweo5lh10k67z87n.tmp
/data/media/####/6516c2709ce34a3f99ce1031d966cdf9
/data/media/####/69ypderw8v9iep0voms3db9gp.tmp
/data/media/####/6dhqmd0mnil8t6ma8iivqjm8k.tmp
/data/media/####/6iv689l745coek3pmdj18isqa.tmp
/data/media/####/6ruao6glv4h8ntk94acngiyr7.tmp
/data/media/####/77d9yc981eimqrsqn6g9wbwk0.tmp
/data/media/####/7i5sq7g8g4m3jr1moa4tp7aqp.tmp
/data/media/####/7k18tp2wlcurhoob46ilxrxbd.tmp
/data/media/####/8f2e65a7dba54cb4ab3fe07abaaa82c2
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/deviceToken
/data/media/####/ga66ahcl7o75jmf0496238qp.tmp
/data/media/####/log.lock
/data/media/####/log1.txt
/data/media/####/y8ekzci75zvh2du592edwjnv.tmp

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:59892dc0a40fa31228000183","utdid":"WuAXDIm+asIDAGdzx1GN9Fxg","sdkVersion":"221"} -I agoodm.m.taobao.com -O 80 -T -Z
chmod 500 <Package Folder>/files/DaemonServer
chmod 755 <Package Folder>/.jiagu/libjiagu649597836.so
ls /
ls /sys/class/thermal
sh

Загружает динамические библиотеки:

libjiagu649597836
tnet-3.1

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
RSA
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации о настроках APN.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней