Android.Packed.37145

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.DownLoader.683.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) nav.cn.ron####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) api.5ika####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) l####.5####.com:80
TCP(HTTP/1.1) idu####.qini####.com:80
TCP(HTTP/1.1) pss.al####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) pus.al####.com:80
TCP(HTTP/1.1) cdn.app.4####.####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) api.365l####.cn:80
TCP(HTTP/1.1) cdn.game####.org:80
TCP(HTTP/1.1) 1####.76.224.67:80
TCP(TLS/1.0) s####.cn.ron####.com:443
TCP(TLS/1.0) q####.4####.top:443
TCP(TLS/1.0) pns.al####.com:443
TCP c####.g####.ig####.com:5225
TCP sdk.o####.t####.####.com:5224
TCP 1####.92.122.155:8609

Запросы DNS:

7j####.c####.z0.####.com
7x####.c####.z0.####.com
a####.u####.com
and####.b####.qq.com
api.365l####.cn
api.5####.com
api.5ika####.com
c####.g####.ig####.com
c-h####.g####.com
cdn.app.4####.top
cdn.game####.org
im####.9l####.com
l####.5####.com
nav.cn.ron####.com
pns.al####.com
pss.al####.com
pus.al####.com
q####.4####.top
s####.cn.ron####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

api.365l####.cn/v1/version
api.365l####.cn/v1/video/moment/latest?since=####&slipType=####&pageSize...
api.365l####.cn/v3/appoint/recommend?since=####&slipType=####&pageSize=#...
api.5ika####.com/v1/domain/info
api.5ika####.com/v1/im/user/token
api.5ika####.com/v1/user/info
api.5ika####.com/v3/appoint/skill/list
cdn.app.4####.####.com/swenjian/you
cdn.game####.org/strategy/UnknownDev
cdn.game####.org/strategy/base
cdn.game####.org/strategy/dev_root
cdn.game####.org/strategy/dev_root2
cdn.game####.org/strategy/larger4.3
cdn.game####.org/strategy/loss_4.3
cdn.game####.org/strategy/sul18
cdn.game####.org/strategy/symlink-adbd
idu####.qini####.com/image/1525315108650.jpg
idu####.qini####.com/image/1525316522584.jpg
idu####.qini####.com/image/1525328664255.jpg
idu####.qini####.com/image/1525328852353.jpg
idu####.qini####.com/image/1525337269156.jpg
idu####.qini####.com/image/1525339849248.jpg
idu####.qini####.com/image/201712/31/710c07aa028d911ba0fc33ede746c4fd?im...
idu####.qini####.com/image/201712/31/c4448505b7b158e88619149e5cb84439?im...
idu####.qini####.com/image/201712/31/f9458c555188ce64459469a32c328b97?im...
l####.5####.com/v1/video/list?pageSize=####&cursor=####&slipType=####
l####.5####.com/v2/video/list?pageSize=####&cursor=####&slipType=####&ch...
pus.al####.com/kernal/sdkcontrol/vod_android-mobile_x86_9.1.1.1220.jpg
t####.c####.q####.####.com/image/1525308378787.jpg
t####.c####.q####.####.com/image/1525312444075.jpg
t####.c####.q####.####.com/image/1525321192887.jpg
t####.c####.q####.####.com/image/1525321310449.jpg
t####.c####.q####.####.com/image/1525321517642.jpg
t####.c####.q####.####.com/image/1525332332344.jpg
t####.c####.q####.####.com/image/1525337164021.jpg
t####.c####.q####.####.com/image/1525339893630.jpg
t####.c####.q####.####.com/image/1525346959456.jpg
t####.c####.q####.####.com/image/1525347418902.jpg
t####.c####.q####.####.com/tdata_MkX219
t####.c####.q####.####.com/tdata_OWn962
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

a####.u####.com/app_logs
and####.b####.qq.com/rqd/async?aid=####
c-h####.g####.com/api.php?format=####&t=####
l####.5####.com/v1/user/register/device
nav.cn.ron####.com/navipush.json
pss.al####.com/iku/log/acc
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/05f0fe6a-54f9-4c26-99e3-568e84c17061
/data/data/####/1002
/data/data/####/1004
/data/data/####/13548dee-1075-4813-a10f-3223a244a865.jar
/data/data/####/1740c449fc10be62df60ba0f18696c9f
/data/data/####/1rbi8DD3YHJFFJNH8ipeCEZ8CZ0.-1751577449.tmp
/data/data/####/32edd79a240b5f1e461d069caab1ec3e
/data/data/####/39VGGSJhL-7jRHYlLCDvRaIo1zQ.-371338655.tmp
/data/data/####/3a7M5ntNxrdyt-M8upa6HaXreIQ.-1517014935.tmp
/data/data/####/51eb7dc8-cb22-4652-a224-1ec9af4b4144
/data/data/####/56eebc9c-d7a1-45dc-9fe8-685033f2e688
/data/data/####/6e96dd72-4e79-4b79-9a8c-162a677e62a8
/data/data/####/8b6f263391259b7a8e5f58ee71852ca8
/data/data/####/97d59276-43c6-48d7-942e-bb51c81df1dd
/data/data/####/ADskFBO-0nWUQqoy-FcNkZ4O-0A.955862000.tmp
/data/data/####/B4EbcFISQrm13s7x5qcJoDSK4rI.-1158112335.tmp
/data/data/####/BUGLY_COMMON_VALUES.xml
/data/data/####/COUNTLY_STORE.xml
/data/data/####/CblfPYKxiCVSTDHK5UPCOLqeMok.-1751623134.tmp
/data/data/####/CuLU9x-3b8skjUFfU8ixXAV_C6A.-1845708735.tmp
/data/data/####/Matrix
/data/data/####/MultiDex.lock
/data/data/####/OTCxAD_5LaHtQQVq7g2gHJOT8_Q.1933694887.tmp
/data/data/####/QeBjzveXBpRWoo2CfvFJ3ZtoBik.1274527075.tmp
/data/data/####/RongPush.xml
/data/data/####/RongPushAppConfig.xml
/data/data/####/SUBOXLOG_
/data/data/####/Statistics.xml
/data/data/####/UuAIYAV5L24uh5fmxG5euvL7w2A.336793497.tmp
/data/data/####/a2810e2a-b078-4d60-91fc-cb7d44250aa3
/data/data/####/astraea.db-journal
/data/data/####/b0141e478b25af7c40a8cca8de6c4708
/data/data/####/b18a021d11a3004d25017230b681476b
/data/data/####/b3dc35a4-5f0e-459b-b040-9ca291d9df91
/data/data/####/bugly_db_-journal
/data/data/####/c61913b615fb6224701377a119081f36
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.jfdksvcx.hhhvhdeuueuf.BETA_VALUES.xml
/data/data/####/crashrecord.xml
/data/data/####/d2a2cc9e-265d-49e2-9c4b-5729455a88bd
/data/data/####/ddexe
/data/data/####/debuggerd
/data/data/####/device.db
/data/data/####/e36ae2df-3e00-4250-8c06-f0b39f3ee5be
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/fileWork
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/h.jar
/data/data/####/h.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/install-recovery.sh
/data/data/####/journal.tmp
/data/data/####/libjiagu1725174143.so
/data/data/####/local_crash_lock
/data/data/####/mivmi.xml
/data/data/####/mivmi.xml.bak (deleted)
/data/data/####/mrgyCf0mfT-lgKxFUwM3u_r3EAg.1200214819.tmp
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/pcdnconfigs.xml
/data/data/####/pidof
/data/data/####/pref_core.xml
/data/data/####/pref_user.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/rAkF2GDrSTZv-1UXcjg5UKahTyM.-312897345.tmp
/data/data/####/root3
/data/data/####/run.pid
/data/data/####/s4NPJ5Vpu39RDgaO9UY1N9O9K7c.-1935741387.tmp
/data/data/####/security_info
/data/data/####/skills.dat
/data/data/####/su
/data/data/####/supolicy
/data/data/####/tdata_MkX219
/data/data/####/tdata_MkX219.jar
/data/data/####/tdata_OWn962
/data/data/####/tdata_OWn962.jar
/data/data/####/toolbox
/data/data/####/u8EQAJ2yW_dg53zPR4LqJCdNbFI.-1941006548.tmp
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/vmeni1.db-journal
/data/data/####/wsroot.sh
/data/media/####/RongLog_2_8_16.log
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.jfdksvcx.hhhvhdeuueuf.bin
/data/media/####/com.jfdksvcx.hhhvhdeuueuf.db
/data/media/####/tdata_MkX219
/data/media/####/tdata_OWn962
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.interesting.shortvideo.service.GetuiService 25567 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu1725174143.so
chmod 777 Matrix ddexe debuggerd device.db fileWork install-recovery.sh pidof root3 su supolicy toolbox wsroot.sh
chmod 777 Matrix ddexe debuggerd fileWork install-recovery.sh pidof su supolicy toolbox wsroot.sh
getprop
getprop ro.miui.ui.version.name
sh
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.interesting.shortvideo.service.GetuiService 25567 300 0

Загружает динамические библиотеки:

Bugly
RongIMLib
agorasdk2
getuiext2
imagepipeline
libjiagu1725174143
pcdn_acc

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней