Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.728.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) p.hfm####.com:6088
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) sdk.w####.cc:80
- TCP(HTTP/1.1) p####.tc.qq.com:80
- TCP(HTTP/1.1) w####.jd.com:80
- TCP(HTTP/1.1) cdn.1####.wang:80
- TCP(HTTP/1.1) www.j####.com:80
- TCP(HTTP/1.1) oc.u####.com:80
- TCP(HTTP/1.1) s####.e.qq.com:80
- TCP(HTTP/1.1) j####.qq.com:80
- TCP(HTTP/1.1) c.g####.qq.com:80
- TCP(HTTP/1.1) ad####.jd.com:80
- TCP(HTTP/1.1) v.g####.qq.com:80
- TCP(HTTP/1.1) z####.jd.com:80
- TCP(HTTP/1.1) mi.g####.qq.com:80
- TCP(HTTP/1.1) s####.tc.qq.com:80
- TCP(SSL/3.0) w####.jd.com:443
- TCP(TLS/1.0) 2####.58.212.238:443
- TCP(TLS/1.0) w####.jd.com:443
Запросы DNS:
- a####.u####.com
- ad####.jd.com
- c.g####.qq.com
- cdn.1####.wang
- imgc####.qq.com
- j####.qq.com
- mi.g####.qq.com
- oc.u####.com
- p####.g####.cn
- p.hfm####.com
- qzones####.g####.cn
- s####.e.qq.com
- sdk.w####.cc
- v.g####.qq.com
- w####.jd.com
- w####.jd.com
- x.360bu####.com
- z####.jd.com
Запросы HTTP GET:
- ad####.jd.com/fcgi-bin/rpttraceinfo?__jda=122270672.15258083008181829194...
- c.g####.qq.com/gdt_mclick.fcg?viewid=####&jtype=####&i=####&os=####&asi=...
- cdn.1####.wang/sc_151_2
- j####.qq.com/get?api=####
- mi.g####.qq.com/gdt_mview.fcg?posw=####&posh=####&count=####&r=####&data...
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android02/images/tsa_ad_logo.png
- p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
- p.hfm####.com:6088/c/1525808324579
- s####.tc.qq.com/gdt/0/transformer_10677250403898465049_1525786814_80.jpg...
- v.g####.qq.com/gdt_stats.fcg?viewid=####&i=####&os=####&xp=####&gap=####
- w####.jd.com/mjgj/link/GetOpenLink?callback=getOpenLink&rurl=http://wqs....
- w####.jd.com/unify.min.js
- www.j####.com/images/jdzt/jumpingToJD.png
- z####.jd.com/ad/wxappjump.shtml?turl=https://wq.jd.com/cube/front/active...
Запросы HTTP POST:
- a####.u####.com/app_logs
- oc.u####.com/v2/check_config_update
- oc.u####.com/v2/get_update_time
- p.hfm####.com:6088/p/1525808324792
- p.hfm####.com:6088/s/
- s####.e.qq.com/activate
- s####.e.qq.com/click
- s####.e.qq.com/msg
- sdk.w####.cc/WiFiUSdk/ServerTime_serverTime.action
- sdk.w####.cc/WiFiUSdk/auth/Auth_checkSdkPermission.action
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/1dfcf3f13d79a2eb50b1b40dad4f5ba2.temp
- /data/data/####/5ead7c1916e321af3ee0d7d6aa595238.temp
- /data/data/####/Alvin2.xml
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/BuglySdkInfos.xml
- /data/data/####/ContextData.xml
- /data/data/####/E50F54D1ED546D082E7876A5144F2E50.jar
- /data/data/####/E50F54D1ED546D082E7876A5144F2E50.tmp
- /data/data/####/GDTSDK.db
- /data/data/####/GDTSDK.db-journal
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/devCloudSetting.cfg
- /data/data/####/devCloudSetting.sig
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f_000001
- /data/data/####/fmcqwr
- /data/data/####/gdt_plugin.dex (deleted)
- /data/data/####/gdt_plugin.jar
- /data/data/####/gdt_plugin.jar.sig
- /data/data/####/gdt_plugin.tmp
- /data/data/####/gdt_plugin.tmp.sig
- /data/data/####/gdt_suid
- /data/data/####/index
- /data/data/####/onlineconfig_agent_online_setting_com.jiesiwang...fi.xml
- /data/data/####/sdkCloudSetting.cfg
- /data/data/####/sdkCloudSetting.sig
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/update_lc
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/wifiusdk.xml
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/adv
- /data/media/####/config
- /data/media/####/deviceId
- /data/media/####/master
- /data/media/####/master.lock
- /data/media/####/wifiu.db-journal
Другие:
Запускает следующие shell-скрипты:
- ls -l /system/bin/su
- sh
- su
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS7Padding
- DES
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS7Padding
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует повышенные привилегии.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
