Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.170
- Android.Triada.247.origin
- Android.Triada.248.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 2####.228.102.212:80
- TCP(HTTP/1.1) cfg.s####.g.####.cn:80
- TCP(HTTP/1.1) msg.s####.g.####.cn:80
- TCP(HTTP/1.1) sgsdkac####.9####.cn:80
- TCP(HTTP/1.1) log.s####.g.####.cn:80
- TCP(HTTP/1.1) t####.qq.com:14000
- TCP(HTTP/1.1) 2####.103.82.251:8080
- TCP(HTTP/1.1) log.pay.9####.cn:8080
- TCP(HTTP/1.1) 1####.161.46.159:8080
- TCP(HTTP/1.1) usdp####.g####.u####.com:80
- TCP(HTTP/1.1) api.q####.cn:8083
- TCP(HTTP/1.1) leve####.s####.9####.cn:80
- TCP(HTTP/1.1) 1####.150.182.233:8080
- TCP(HTTP/1.1) b####.s####.g.####.cn:80
- TCP(HTTP/1.1) 1####.254.116.117:80
- TCP(TLS/1.0) payce####.9####.cn:443
- TCP(TLS/1.0) 1####.217.20.78:443
- TCP t####.qq.com:8080
Запросы DNS:
- api.q####.cn
- b####.s####.g.####.cn
- cfg.s####.g.####.cn
- l.ace####.com
- leve####.s####.9####.cn
- log.pay.9####.cn
- log.s####.g.####.cn
- msg.s####.g.####.cn
- payce####.9####.cn
- pi####.qq.com
- sgsdkac####.9####.cn
- t####.qq.com
- up####.s####.g.####.cn
- usdp####.g####.u####.com
Запросы HTTP GET:
- usdp####.g####.u####.com/ugc/paysdk-jy-prod-4.9.5.1.zip
Запросы HTTP POST:
- api.q####.cn:8083/WebService.asmx/RegisterUser
- b####.s####.g.####.cn/client/base.channel.check?ver=####&df=####&cver=##...
- b####.s####.g.####.cn/client/base.config.check?ver=####&df=####&cver=###...
- b####.s####.g.####.cn/client/system.getSecurityKey?ver=####&df=####&cver...
- cfg.s####.g.####.cn/client/update.module.check?ver=####&df=####&cver=###...
- cfg.s####.g.####.cn/sg/client/res.msgtempl.get?ver=####&df=####&cver=###...
- cfg.s####.g.####.cn/sg/client/res.pkginfo.get?ver=####&df=####&cver=####...
- leve####.s####.9####.cn/sg/client/board.recommend.topic?ver=####&df=####...
- log.pay.9####.cn:8080/psdk/logv3.htm
- log.s####.g.####.cn/sglog/client/sg.log.collect?ver=####&df=####&cver=##...
- msg.s####.g.####.cn/sgmsg/client/msg.list.get?ver=####&df=####&cver=####...
- sgsdkac####.9####.cn/sg/client/collect.getRealNameStrategy?ver=####&df=#...
- t####.qq.com:14000/203.205.146.122:14000/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-sVsau6N1rR77NY0m09ZRXg8cZn_9KXq.new
- /data/data/####/.com.xzuson.game.chess.wdj;xg_service_v3.xg.stat..xml
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/.tpns.service.xml.xml
- /data/data/####/.tpns.settings.xml.xml
- /data/data/####/.tpush_mta.xml
- /data/data/####/0x4-3B3wiDU7XkX2GaXB66hn5hNQA5nl.new
- /data/data/####/14AnqlxsohlEb8Up8cZQY1uRaF_xa8z2.new
- /data/data/####/1v3u2qHG_fGOmo9s.zip
- /data/data/####/Alvin2.xml
- /data/data/####/CIVIIuxAbP-cPk6hvoTiAA==.new
- /data/data/####/ContextData.xml
- /data/data/####/D1VSLLEJiaIhzvmds-Huvan6vt24kbqe.new
- /data/data/####/Gkh7cLGwpVF1IFyQLRsFWYxBWpg=
- /data/data/####/HHYxFzk3mcZUNIdp-TOceSyyEd2Lx7OSyvdHhg==.new
- /data/data/####/Jwrhu_eyzPUdb3Kh
- /data/data/####/MGn9cmTdMF57wxVNX5AcXVQ7vdvR5ZSs-nUtXg==.new
- /data/data/####/MHuzg1r1h295z9RGLSD1rg==.new
- /data/data/####/NSXH6rPj-zg8gFYuZ4YXB-CNSor3YQPV3a-vmQ==.new
- /data/data/####/NbkNI5aolqZuXzmWgz2iMA==.new
- /data/data/####/OV2mb_SitE6KpUEmuki8rw==
- /data/data/####/QvDMF6PfYy6HDi4swnwJ4Q==.new
- /data/data/####/SDKORDERDB.db-journal
- /data/data/####/UVaz4-gFaZJ3MBgIfC4dnSkz0d8=.new
- /data/data/####/Yy30KA9EG-nkWAR-R_PbKuVqOdT8r-jm.new
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/_mU9xCqOiT6hWRBuptMkix12xGiF5EUHH10XrtjfC2g=.new
- /data/data/####/aEAJRiinpf7eNEjEuJyVbluKHik=.new
- /data/data/####/account_yTxwhiWgusaW8kNZYPlMWh8VoqA4GnL9_2a3974...81e5a6
- /data/data/####/cCJybplGAbI-r4ohWM5lpBZHIxQ=.new
- /data/data/####/channellist.xml
- /data/data/####/chess_game_prefs.xml
- /data/data/####/cn.uc.gamesdk.pref.xml
- /data/data/####/cn.uc.paysdk.pref.xml
- /data/data/####/com.xzuson.game.chess.wdj_preferences.xml
- /data/data/####/data.dat.tmp
- /data/data/####/device_id.xml
- /data/data/####/dgIYAe6jeAFUozFgoHJa291pLjATL1OafirA9xgy1gA=.new
- /data/data/####/display_mode.config
- /data/data/####/entry.xml
- /data/data/####/fOnoKwo-wwemMpZ7YhplM0FspjEtuKHz.new
- /data/data/####/floater.config
- /data/data/####/floater.config.tmp
- /data/data/####/floater.config.updated.tmp
- /data/data/####/floater_db-journal
- /data/data/####/gameSetting.xml
- /data/data/####/hHlCRmx76ZP2RnUGZpZqZjwdBhc=.new
- /data/data/####/hf4B9nhLrSl0WynRt8OLdhyS0vp1fS6Z_YFQVk7nG4vAt3z...ournal
- /data/data/####/hf4B9nhLrSl0WynRt8OLdhyS0vp1fS6Z_YFQVk7nG4vAt3zVmkLUN6A==
- /data/data/####/hf4B9nhLrSl0WynRt8OLdhyS0vp1fS6Z_ZQDcY5JIYsZRLp...j7wyE=
- /data/data/####/hf4B9nhLrSl0WynRt8OLdhyS0vp1fS6Z_ZQDcY5JIYsZRLp...ournal
- /data/data/####/hf4B9nhLrSl0WynRt8OLdhyS0vp1fS6Z_a__kEDUMA4xUi6...ournal
- /data/data/####/hf4B9nhLrSl0WynRt8OLdhyS0vp1fS6Z_a__kEDUMA4xUi6Fq4HcN8w==
- /data/data/####/hf4B9nhLrSl0WynRt8OLdhyS0vp1fS6Z_gCS52oDxkiWqEerM
- /data/data/####/hf4B9nhLrSl0WynRt8OLdhyS0vp1fS6Z_gCS52oDxkiWqEerM-journal
- /data/data/####/imei
- /data/data/####/kdMna7yo5as=.jar
- /data/data/####/libjiagu.so
- /data/data/####/libugpsdk.sdk
- /data/data/####/libugpsdk.so
- /data/data/####/msg.apk
- /data/data/####/nFGvKoKGOW485DYvW9UTuvOvrncv7TVj.new
- /data/data/####/ojWVL0j0meP9AL79g6QA8SeDEYE=.new
- /data/data/####/pVmD41fxyy88rQB7
- /data/data/####/pay__.png
- /data/data/####/pm
- /data/data/####/rdata_comczpvcunh.new
- /data/data/####/resource.zip
- /data/data/####/runner_info.prop.new
- /data/data/####/sdkplugin_account.apk
- /data/data/####/sdkplugin_floater.apk
- /data/data/####/sdkplugin_init.apk
- /data/data/####/sdkplugin_lib.apk
- /data/data/####/sdkplugin_log.apk
- /data/data/####/sdkplugin_msg.apk
- /data/data/####/sdkplugin_root.apk
- /data/data/####/sdkplugin_update.apk
- /data/data/####/sdkplugin_utils.apk
- /data/data/####/serviceMemory.xml
- /data/data/####/tbepua_f.zip
- /data/data/####/tpush.shareprefs.xml
- /data/data/####/uc_systemConfig.json
- /data/data/####/ucgame_sdk.db-journal
- /data/data/####/ugpsdk-core.jar
- /data/data/####/ugpsdk-lib.jar
- /data/data/####/ugpsdk-upgrade.jar
- /data/data/####/userdata.xml
- /data/data/####/ver.txt
- /data/data/####/wDXLxR0Kjs1fPcElImwXnh647Vs6W9eF67hnPw==.new
- /data/data/####/wNPe-1PHlLNkAIHbbncJAHWL3_bnkZc39fFUAmFvphk=.new
- /data/data/####/xg_message.db
- /data/data/####/xg_message.db-journal
- /data/media/####/.mid.txt
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/config
- /data/media/####/r_pkDgN4OhnkSa0D
- /data/media/####/stat_-1174151968
- /data/media/####/stat_-2121280537
- /data/media/####/stat_1643149882
- /data/media/####/stat_20180507_log
- /data/media/####/ucgame_sdk.db-journal
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-1441707/Jwrhu_eyzPUdb3Kh -p <Package> -c com.czpv.cunh.vwqquq.a.a.d.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- sh <Package Folder>/code-1441707/Jwrhu_eyzPUdb3Kh -p <Package> -c com.czpv.cunh.vwqquq.a.a.d.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- sh <Package Folder>/lib/libxguardian.so <Package>,2100260689; 55766 203.205.128.130 [{ idx :0, ts :%d, et :2000, si :0, ui : <IMEI> , ky : Axg%lu , mid : 0 , ev :{ ov : 18 , sr : 600*752 , md : <System Property> , lg : en , sv : 3.1 , mf : unknown , apn : %s }}] 0 18
Загружает динамические библиотеки:
- libjiagu
- libugpsdk
- tpnsSecurity
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CFB8-NoPadding
- RSA-ECB-PKCS1PADDING
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CFB8-NoPadding
- DES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
