Android.Backdoor.1172

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.Backdoor.657.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) as.lie####.cn:80
TCP(HTTP/1.1) 1####.55.28.235:80
TCP(HTTP/1.1) c####.360.cn:80
TCP(HTTP/1.1) al####.bay####.com:80
TCP(HTTP/1.1) ga####.lotu####.com:80
TCP(HTTP/1.1) al####.lie####.cn:80
TCP(HTTP/1.1) i####.j####.com:80
TCP(HTTP/1.1) a.e####.cn:80
TCP(HTTP/1.1) cl####.bay####.com:80
TCP(HTTP/1.1) w####.x.jd.com:80
TCP(HTTP/1.1) pic.e####.cn:80
TCP(HTTP/1.1) s####.ray####.com:80
TCP(HTTP/1.1) u####.bfsspad####.8l####.com:80
TCP(HTTP/1.1) api.e####.cn:80
TCP(HTTP/1.1) 1####.26.247.23:80
TCP(HTTP/1.1) c.appj####.com:80
TCP(HTTP/1.1) pic.ange####.cn:80
TCP(HTTP/1.1) ga####.lotu####.com:88
TCP(HTTP/1.1) api.map.b####.com:80
TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
TCP(TLS/1.0) 2####.58.212.174:443

Запросы DNS:

a.e####.cn
al####.bay####.com
al####.lie####.cn
api.e####.cn
api.map.b####.com
as.lie####.cn
c####.360.cn
c.appj####.com
cl####.bay####.com
ga####.lotu####.com
i####.360bu####.com
i####.jd.com
on####.lotu####.com
pic.ange####.cn
pic.e####.cn
plb####.u####.com
s####.ray####.com
u####.bfsspad####.8l####.com
u####.u####.com
w####.x.jd.com

Запросы HTTP GET:

a.e####.cn/public/getClickUrlList.shtml?lng=####&sd=####&screenheight=##...
a.e####.cn/public/getClickUrlPoList.shtml?lng=####&sd=####&screenheight=...
a.e####.cn/public/getCommonBannerAd.shtml?height=####&width=####&lng=###...
a.e####.cn/public/getCommonInformationAd.shtml?height=####&width=####&ln...
a.e####.cn/public/getCommonStartUpAd.shtml?height=####&width=####&lng=##...
a.e####.cn/public/isDebugAd.shtml?ts=####&appid=####&sign=####
a.e####.cn/public/rab.shtml?id=####&network=####&machine=####
a.e####.cn/public/showUrlVisit.shtml?os=####&osversion=####&appversion=#...
al####.bay####.com/adv/1930/1890/20171023210244_375.jpg
al####.lie####.cn/sentshow/imgs/tmp/kailedoudizhu_ly171023.apk
al####.lie####.cn/sentshow/imgs/tmp/quanminzhushou_ly171012.apk
api.e####.cn/public/getSecondaryHomeData.shtml?machine=####&version=####...
api.map.b####.com/location/ip?ak=####&coor=####
as.lie####.cn/v2/forward/click/ch/103?tcid=1&guid=707b4e<SMS Address>a51...
as.lie####.cn/v2/forward/click/ch/103?tcid=1&guid=b30dc7fb91194964936fd6...
as.lie####.cn/v2/forward/imp/ch/103?tcid=####&guid=####&sspaid=####&stci...
as.lie####.cn/v3/click/ch/103?version=####&pid=####&aid=####&sid=####&ci...
as.lie####.cn/v3/imp/ch/103?version=####&pid=####&aid=####&sid=####&cid=...
cl####.bay####.com/terminal/adRequest/listener.do?t=####&data=####&ts=##...
i####.j####.com/pop/jfs/t17431/338/1938162661/263648/348f9f5c/5add8400N4...
pic.ange####.cn/web/13967560.jpg!s4
pic.ange####.cn/web/15985846.jpg!m3
pic.ange####.cn/web/16329075.jpg!s1
pic.ange####.cn/web/223325685.jpg!s4
pic.ange####.cn/web/233246219.jpg!m3
pic.ange####.cn/web/243711432.jpg!m3
pic.ange####.cn/web/244826502.jpg!s1
pic.ange####.cn/web/249074342.jpg!m3
pic.ange####.cn/web/256496609.jpg!m3
pic.ange####.cn/web/257233952.jpg!m3
pic.ange####.cn/web/257476962.jpg!s4
pic.ange####.cn/web/257584084.jpg
pic.ange####.cn/web/257584084.jpg!m3
pic.ange####.cn/web/258399675.jpg!s4
pic.ange####.cn/web/258839484.jpg!s4
pic.ange####.cn/web/259565682.jpg!s4
pic.ange####.cn/web/260145101.jpg
pic.e####.cn/web/257584084.jpg!m3
pic.e####.cn/web/257584307.jpg!m720
pic.e####.cn/web/257584381.jpg!m720
pic.e####.cn/web/257584384.jpg!m720
pic.e####.cn/web/257584395.jpg!m720
pic.e####.cn/web/257584413.jpg!m720
pic.e####.cn/web/257584608.jpg!m720
pic.e####.cn/web/257584620.jpg!m720
pic.e####.cn/web/257584625.jpg!m720
pic.e####.cn/web/257584630.jpg!m720
pic.e####.cn/web/257584656.jpg!m720
pic.e####.cn/web/257584658.jpg!m720
pic.e####.cn/web/257584663.jpg!m720
pic.e####.cn/web/257584667.jpg!m720
pic.e####.cn/web/257584675.jpg!m720
pic.e####.cn/web/257584677.jpg!m720
pic.e####.cn/web/257584682.jpg!m720
pic.e####.cn/web/257584687.jpg!m720
pic.e####.cn/web/257584698.jpg!m720
pic.e####.cn/web/257584701.jpg!m720
pic.e####.cn/web/257584703.jpg!m720
pic.e####.cn/web/257584707.jpg!m720
s####.ray####.com/impression?k=####&p=fHx8f####&q=a_i09####&x=####&r=eyJ...
u####.bfsspad####.8l####.com/adShow?v=####&b=####&i=####&r=####&bid=####...
w####.x.jd.com/adx/nurl/rgyun?price=####&v=####&ad=####&info=####&ts=###...

Запросы HTTP POST:

c####.360.cn/stra_packet
c.appj####.com/ad/splash/stats.html
ga####.lotu####.com/?st=####&sv=####&tm=####&sid=GyA####&apn=####&ct=###...
ga####.lotu####.com:88/?mid=####&st=####&sv=####&tm=####&sid=GyA####&apn...

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.jgrpa.xml
/data/data/####/.log.lock
/data/data/####/.log.rpa
/data/data/####/000219dee2ab5047a3f3fe0ca62838a1.0.tmp
/data/data/####/000219dee2ab5047a3f3fe0ca62838a1.1.tmp
/data/data/####/02f6a1cccfb89cff94bdffc6c62b13a4.0.tmp
/data/data/####/02f6a1cccfb89cff94bdffc6c62b13a4.1.tmp
/data/data/####/07f2c92320b7679c9fd6866ea2008464.0.tmp
/data/data/####/07f2c92320b7679c9fd6866ea2008464.1.tmp
/data/data/####/1aff31504c1fb3190d7791ced17d3cf5.0.tmp
/data/data/####/1aff31504c1fb3190d7791ced17d3cf5.1.tmp
/data/data/####/20dd82d80b6b9921d926ad84d17a1b72.0.tmp
/data/data/####/20dd82d80b6b9921d926ad84d17a1b72.1.tmp
/data/data/####/2502d4db6811b9d32348a924568d4c2c.0.tmp
/data/data/####/2502d4db6811b9d32348a924568d4c2c.1.tmp
/data/data/####/250ff9de05bfe2fce312a55a7c42f356.0.tmp
/data/data/####/250ff9de05bfe2fce312a55a7c42f356.1.tmp
/data/data/####/3d6e229a926b3d26db44246845b7ad7b.0.tmp
/data/data/####/3d6e229a926b3d26db44246845b7ad7b.1.tmp
/data/data/####/40a3d63282e07aaa5b307a03d4b65504.0.tmp
/data/data/####/40a3d63282e07aaa5b307a03d4b65504.1.tmp
/data/data/####/40cba36347c1fa5ffeea22e883310da2.0.tmp
/data/data/####/40cba36347c1fa5ffeea22e883310da2.1.tmp
/data/data/####/41b7a8c8c677418faa90ab548c187720.0.tmp
/data/data/####/41b7a8c8c677418faa90ab548c187720.1.tmp
/data/data/####/42710f0e690831f4baf8903c20cf665e.0.tmp
/data/data/####/42710f0e690831f4baf8903c20cf665e.1.tmp
/data/data/####/46bc287f84d85598934cbf51381276b3.0.tmp
/data/data/####/46bc287f84d85598934cbf51381276b3.1.tmp
/data/data/####/4c439f11949217a05d1212459b99ada4.0.tmp
/data/data/####/4c439f11949217a05d1212459b99ada4.1.tmp
/data/data/####/58d273a3c5b09d35bfd008b0e2878ae9.0.tmp
/data/data/####/58d273a3c5b09d35bfd008b0e2878ae9.1.tmp
/data/data/####/66cf669b2ee594465766ebc992b47cdc.0.tmp
/data/data/####/66cf669b2ee594465766ebc992b47cdc.1.tmp
/data/data/####/6c82941fbe11ae2aff5a35c9a2587682.0.tmp
/data/data/####/6c82941fbe11ae2aff5a35c9a2587682.1.tmp
/data/data/####/7074ddae0ea8b280a640d5dccef021e9.0.tmp
/data/data/####/7074ddae0ea8b280a640d5dccef021e9.1.tmp
/data/data/####/7353c1be337622ded09e2fcda1dcee71.0.tmp
/data/data/####/7353c1be337622ded09e2fcda1dcee71.1.tmp
/data/data/####/8741c1e2104144c239ab2c701781a056.0.tmp
/data/data/####/8741c1e2104144c239ab2c701781a056.1.tmp
/data/data/####/88821c60f38ccc923c568eb7d8305d25.0.tmp
/data/data/####/88821c60f38ccc923c568eb7d8305d25.1.tmp
/data/data/####/9821a33e428134204b82fde0b5837956.0.tmp
/data/data/####/9821a33e428134204b82fde0b5837956.1.tmp
/data/data/####/9ceb91abfa0a6f40dd1786fc05a69cd9.0.tmp
/data/data/####/9ceb91abfa0a6f40dd1786fc05a69cd9.1.tmp
/data/data/####/AdloadStore.xml
/data/data/####/Alvin2.xml
/data/data/####/ApplicationCache.db-journal
/data/data/####/ApplicationCache.db-journal (deleted)
/data/data/####/ContextData.xml
/data/data/####/Ji.xml
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/a09e47767252a09474cae9560a2e0c73.0.tmp
/data/data/####/a09e47767252a09474cae9560a2e0c73.1.tmp
/data/data/####/a==7.3.1&&4.31.36_1524696929663_envelope.log
/data/data/####/ab8d6c1701c751508a56b413b499b5cf.0.tmp
/data/data/####/ab8d6c1701c751508a56b413b499b5cf.1.tmp
/data/data/####/ad_show_time.xml
/data/data/####/aef77ca0de3b1a681294bcd84ade09f0.0.tmp
/data/data/####/aef77ca0de3b1a681294bcd84ade09f0.1.tmp
/data/data/####/b14b906d5a41f0065def1469ab761e60.0.tmp
/data/data/####/b14b906d5a41f0065def1469ab761e60.1.tmp
/data/data/####/b4dcea300a9cecd805e103456b359677.0.tmp
/data/data/####/b4dcea300a9cecd805e103456b359677.1.tmp
/data/data/####/b6e59cf78112b521297c9f1f84913669.0.tmp
/data/data/####/b6e59cf78112b521297c9f1f84913669.1.tmp
/data/data/####/bdc352539b5bafc4217b99bfe39b7202.0.tmp
/data/data/####/bdc352539b5bafc4217b99bfe39b7202.1.tmp
/data/data/####/be585dddb0def07426ae8507b659e4e7.0.tmp
/data/data/####/be585dddb0def07426ae8507b659e4e7.1.tmp
/data/data/####/bf77326fdd1d624c01967d2111b6788d.0.tmp
/data/data/####/bf77326fdd1d624c01967d2111b6788d.1.tmp
/data/data/####/c0db1972bf9a9c8cedf83e1774036b9d.0.tmp
/data/data/####/c0db1972bf9a9c8cedf83e1774036b9d.1.tmp
/data/data/####/ce808e14ffaddd2fd9da9c3e79ba2548.0.tmp
/data/data/####/ce808e14ffaddd2fd9da9c3e79ba2548.1.tmp
/data/data/####/cn.ecook.xml
/data/data/####/cn.ecookad.library.xml
/data/data/####/collectiondatabase
/data/data/####/collectiondatabase-journal
/data/data/####/d5292d05e2a57ffcd735c9c71185bad7.0.tmp
/data/data/####/d5292d05e2a57ffcd735c9c71185bad7.1.tmp
/data/data/####/d8c9cee3691a911eb79fc3ae693f368c.0.tmp
/data/data/####/d8c9cee3691a911eb79fc3ae693f368c.1.tmp
/data/data/####/d935365baf64970d29b295e78b4c25be.0.tmp
/data/data/####/d935365baf64970d29b295e78b4c25be.1.tmp
/data/data/####/d==7.3.1&&4.31.36_1524696929966_envelope.log
/data/data/####/d==7.3.1&&4.31.36_1524696932321_envelope.log
/data/data/####/d==7.3.1&&4.31.36_1524696934149_envelope.log
/data/data/####/d==7.3.1&&4.31.36_1524696937060_envelope.log
/data/data/####/d==7.3.1&&4.31.36_1524696942306_envelope.log
/data/data/####/d==7.3.1&&4.31.36_1524696946653_envelope.log
/data/data/####/d==7.3.1&&4.31.36_1524696967978_envelope.log
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/dca9012000b7e25c9a00b60872e487fa.0.tmp
/data/data/####/dca9012000b7e25c9a00b60872e487fa.1.tmp
/data/data/####/e0a7f6b5d2165dbd3b47981f85d9f6ff.0.tmp
/data/data/####/e0a7f6b5d2165dbd3b47981f85d9f6ff.1.tmp
/data/data/####/e4cf5c936ce14afc28925bac87c5447c.0.tmp
/data/data/####/e4cf5c936ce14afc28925bac87c5447c.1.tmp
/data/data/####/ecookdatabase
/data/data/####/ecookdatabase-journal
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/f_000001 (deleted)
/data/data/####/f_000002
/data/data/####/f_000002 (deleted)
/data/data/####/fde5e0edc27aca5a2538145b9cad91c5.0.tmp
/data/data/####/fde5e0edc27aca5a2538145b9cad91c5.1.tmp
/data/data/####/index
/data/data/####/info.xml
/data/data/####/jg_so_upgrade_setting.xml
/data/data/####/journal.tmp
/data/data/####/libjiagu2063946030.so
/data/data/####/lonLat.xml
/data/data/####/lotuseed.apps
/data/data/####/lotuseed.s
/data/data/####/lotuseed.task
/data/data/####/lotuseed_global.xml
/data/data/####/material.db-journal
/data/data/####/multidex.version.xml
/data/data/####/recipe.db-journal
/data/data/####/recipedatabase-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/1ljdad7iiqv0n9vjpz1k0oqnp.tmp
/data/media/####/1ly6sfkxh40oo17ssqqhmgosk.tmp
/data/media/####/1uswgz7f7ewes7hdci9pa55hd.tmp
/data/media/####/1y1mrjmcv2gutthorft3ejer6.tmp
/data/media/####/23bhu2skc73u44whzn5vo0mx2.tmp
/data/media/####/26vq143n69ckb4n48cgj6tzqk.tmp
/data/media/####/26znutkevpo9zvexhbila39zq.tmp
/data/media/####/2aodmuffhrlc06gff8kg7gsaq.tmp
/data/media/####/2bkkhjbnheoq0x462y72jhq44.tmp
/data/media/####/2jaw3goi21f3u0xaiope4v7s9.tmp
/data/media/####/2xhscd6klbkz2jftpf8vodk1k.tmp
/data/media/####/3mxbcqzxl4d4d2jzb820ir0jf.tmp
/data/media/####/3qkth4cz7kr7m68lj8augrmub.tmp
/data/media/####/3tjhj8uvmnp19oiq6ompg8j8z.tmp
/data/media/####/3trl7vlrzgeulf6la92jd3nyc.tmp
/data/media/####/3u3inv95fgt1irtba30zhxz8i.tmp
/data/media/####/3vxgbx8gt9clgo2owzn72fp5l.tmp
/data/media/####/3w298uhizw7jy75msa4lerbxc.tmp
/data/media/####/3x64h2ecgd4b3cknc7e496m0u.tmp
/data/media/####/3xltn16xjgfu5aih7k1u7ui5a.tmp
/data/media/####/46r8izuimtwdf42svibkm6i0j.tmp
/data/media/####/4bsximc8zq1rvnip774tqtaqf.tmp
/data/media/####/4g4znymvl1uftjd7m51qimnbd.tmp
/data/media/####/4ha4wuxfbbnijujqu9mxolyz.tmp
/data/media/####/4ijgv7vt8817q7pxo6kipezs4.tmp
/data/media/####/4nqqe2ti11uf09fu25eu74ejk.tmp
/data/media/####/4spdunorg2ry14m18c3s05dzk.tmp
/data/media/####/4zzcp0oi8wyrqbz0cmpkfqnu9.tmp
/data/media/####/59azqdtgm7m2zfyfc2nyakezt.tmp
/data/media/####/5naafzjrztev3sy7b4jn3phfx.tmp
/data/media/####/5v613u1ee4fv2uw66rq604g87.tmp
/data/media/####/6348vz7ygjh3wg3miu3dh5b6k.tmp
/data/media/####/65dggrt0k5sml2iqkq4uegiay.tmp
/data/media/####/6bdd82edlpygi6oczzuwdrc4.tmp
/data/media/####/6f9kw5f7od39xye6tetnuoneq.tmp
/data/media/####/6nodj3twqqe0gi7vbj15fugh5.tmp
/data/media/####/6tsmqmcu6haslv65qsa7yag6p.tmp
/data/media/####/72o5xagpaenbepv77v0wg62mz.tmp
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/gxulv2hdupgxvsdjjtx7r9lw.tmp
/data/media/####/lotuseed.devid
/data/media/####/mo3vc96j3kzwuf4v4nimch.tmp

Другие:

Запускает следующие shell-скрипты:

chmod 755 <Package Folder>/.jiagu/libjiagu2063946030.so
df
ls /
ls /sys/class/thermal
ps

Загружает динамические библиотеки:

libjiagu2063946030

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
RSA
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к интерфейсу камеры.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации о настроках APN.

Осуществляет доступ к информации об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней