Android.Packed.37478

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.DownLoader.683.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.0) pis.al####.com:80
TCP(HTTP/1.0) 4####.92.62.1:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) pus.al####.com:80
TCP(HTTP/1.1) api.t####.cn:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) apilo####.a####.com:80
TCP(HTTP/1.1) 1####.76.224.67:80
TCP(HTTP/1.1) p####.t####.cn:2120
TCP(HTTP/1.1) cdn.img.h####.####.com:80
TCP(HTTP/1.1) cdn.app.win####.top:80
TCP(HTTP/1.1) pss.al####.com:80
TCP(HTTP/1.1) a####.a####.m.####.com:80
TCP(HTTP/1.1) cdn.app.ne####.####.com:80
TCP(HTTP/1.1) cdn.game####.org:80
TCP(TLS/1.0) ho####.h####.top:443
TCP(TLS/1.0) pns.al####.com:443
TCP umengj####.m.ta####.com:80
UDP 1####.168.62.254:4466
TCP 1####.205.160.76:443

Запросы DNS:

a####.m.ta####.com
a####.u####.com
ag####.m.ta####.com
api####.a####.com
api.t####.cn
cdn.app.ne####.top
cdn.app.win####.top
cdn.game####.org
cdn.img.h####.top
ho####.h####.top
p####.t####.cn
pis.al####.com
pns.al####.com
pss.al####.com
pus.al####.com
s0.topk####.cn
umengj####.m.ta####.com

Запросы HTTP GET:

cdn.app.ne####.####.com/swenjian/fiv
cdn.app.win####.top/upload/201805/10/app/20180510210304434.apk
cdn.game####.org/strategy/UnknownDev
cdn.game####.org/strategy/base
cdn.game####.org/strategy/dev_root
cdn.game####.org/strategy/dev_root2
cdn.game####.org/strategy/larger4.3
cdn.game####.org/strategy/loss_4.3
cdn.game####.org/strategy/sul18
cdn.game####.org/strategy/symlink-adbd
cdn.img.h####.####.com/upload/201805/10/img/20180510210257372.png
p####.t####.cn:2120/socket.io/?EIO=####&sid=####&transport=####
p####.t####.cn:2120/socket.io/?EIO=####&transport=####
pus.al####.com/kernal/sdkcontrol/vod_android-mobile_x86_9.1.1.1220.jpg
t####.c####.q####.####.com/assets/images/apps/btn/home_ab_discount_p_5_4...
t####.c####.q####.####.com/assets/images/apps/btn/home_ab_gp_p_5_4@3x.png
t####.c####.q####.####.com/assets/images/apps/btn/home_ab_quote_p_5_4@3x...
t####.c####.q####.####.com/assets/images/apps/btn/home_ab_selectcar_5_4@...
t####.c####.q####.####.com/assets/images/default_avatar/1!120x120.png
t####.c####.q####.####.com/assets/images/default_avatar/2!120x120.png
t####.c####.q####.####.com/assets/images/default_avatar/8!120x120.png
t####.c####.q####.####.com/tb/brand/80x60/pl105_80s.png
t####.c####.q####.####.com/tb/brand/80x60/pl109_80s.png
t####.c####.q####.####.com/tb/brand/80x60/pl135_80s.png
t####.c####.q####.####.com/tb/brand/80x60/pl13_80s.png
t####.c####.q####.####.com/tb/brand/80x60/pl179_80s.png
t####.c####.q####.####.com/tb/brand/80x60/pl17_80s.png
t####.c####.q####.####.com/tb/brand/80x60/pl1_80s.png
t####.c####.q####.####.com/tb/brand/80x60/pl27_80s.png
t####.c####.q####.####.com/tb/brand/80x60/pl2_80s.png
t####.c####.q####.####.com/tb/brand/80x60/pl3_80s.png
t####.c####.q####.####.com/tb/brand/80x60/pl52_80s.png
t####.c####.q####.####.com/tb/brand/80x60/pl5_80s.png
t####.c####.q####.####.com/tb/brand/80x60/pl88_80s.png
t####.c####.q####.####.com/tb/series/src/1/20141224/106678616!300x225.jpeg
t####.c####.q####.####.com/tb/series/src/2/20141224/1284689601!300x225.j...
t####.c####.q####.####.com/tb/series/src/8/20140910/2873600391!300x225.j...
t####.c####.q####.####.com/tb/series/src/s4349!300x225.jpg
t####.c####.q####.####.com/tb/series/src/s4789!300x225.jpg
t####.c####.q####.####.com/tb/series/src/s4974!300x225.jpg
t####.c####.q####.####.com/tb/series/src/s5689!300x225.jpg
t####.c####.q####.####.com/tb/series/src/s5747!300x225.jpg
t####.c####.q####.####.com/tb/series/src/s5774!300x225.jpg
t####.c####.q####.####.com/tb/series/src/s5790!300x225.jpg
t####.c####.q####.####.com/tb/series/src/s5823!300x225.jpg
t####.c####.q####.####.com/upload/images/buyer/20160429/gkdx57230df115aa...
t####.c####.q####.####.com/upload/images/buyer/20170922/3nbc59c5207251e2...
t####.c####.q####.####.com/upload/images/buyer/20180312/dwb25aa5f9e0d6c7...
t####.c####.q####.####.com/upload/images/buyer/20180321/4gr95ab1c75d2996...
t####.c####.q####.####.com/upload/images/buyer/20180501/dy055ae7bc6021d9...
t####.c####.q####.####.com/upload/images/series/20150422/4o1u55375c7a0e4...
t####.c####.q####.####.com/upload/images/series/20150731/jbwv55bb18a9d61...
t####.c####.q####.####.com/upload/images/series/20170321/l28u58d0d495e84...
t####.c####.q####.####.com/upload/images/series/20170412/dtey58edfb5e1bf...
t####.c####.q####.####.com/upload/images/series/20170412/lmjg58edfab457a...
t####.c####.q####.####.com/upload/images/series/20170516/nqvx591aa8bb604...

Запросы HTTP POST:

a####.a####.m.####.com/amdc/mobileDispatch?appkey=####&platform=####&v=#...
a####.u####.com/app_logs
api.t####.cn/topdeals/ab/get-condition
api.t####.cn/topdeals/cars/series-list
api.t####.cn/topdeals/discussions/get-list
api.t####.cn/topdeals/index/bargain-list
api.t####.cn/topdeals/users/login
api.t####.cn/topdeals/users/mainpage
api.t####.cn/topdeals/version
apilo####.a####.com/v3/log/init
pis.al####.com/p/pcdn/i.php?v=####
pss.al####.com/iku/log/acc
pss.al####.com/iku/log/acc?ver=####&flag=####&t=####&mytype=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/09c9f0cd-1798-489c-9d04-3c61bf63331d
/data/data/####/13f96d2c-e053-4c01-a7c0-48aec0c2ddf5
/data/data/####/1478aeb9-52c1-49a9-9f25-8c88327f6cde
/data/data/####/1740c449fc10be62df60ba0f18696c9f
/data/data/####/32edd79a240b5f1e461d069caab1ec3e
/data/data/####/5d5cd1ea-588e-4753-b1a3-17219c310bd8
/data/data/####/83fa26ae-b12d-4f83-ae63-f381f554d7d8
/data/data/####/8b6f263391259b7a8e5f58ee71852ca8
/data/data/####/ACCS_BIND.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/CytService.jar
/data/data/####/DaemonServer
/data/data/####/KvkActivity.xml
/data/data/####/Login_info.xml
/data/data/####/Matrix
/data/data/####/SUBOXLOG_
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/alldown.xml
/data/data/####/anony_info.xml
/data/data/####/autodata.db
/data/data/####/autodata.db-journal
/data/data/####/b0141e478b25af7c40a8cca8de6c4708
/data/data/####/b18a021d11a3004d25017230b681476b
/data/data/####/b505dcfd-823a-4717-858c-2301f23626ab
/data/data/####/bzwn.db-journal
/data/data/####/c22319d3-855c-4eb1-b441-3e2e722780b2
/data/data/####/c506c9fb-32dd-4bbf-b324-4d82e2bea87f.jar
/data/data/####/c61913b615fb6224701377a119081f36
/data/data/####/city_info.xml
/data/data/####/d58ef279-243a-4b8c-99b6-5bd15cc9c4e2
/data/data/####/ddexe
/data/data/####/debuggerd
/data/data/####/device.db
/data/data/####/discusslisthot.ser
/data/data/####/discusslistnew.ser
/data/data/####/e6daadc2-f351-4dbc-b758-dc00d2caca69
/data/data/####/ebn.xml
/data/data/####/eudemon
/data/data/####/fileWork
/data/data/####/hotSeries.er
/data/data/####/install-recovery.sh
/data/data/####/jg_so_upgrade_setting.xml
/data/data/####/last_know_location.xml
/data/data/####/libjiagu.so
/data/data/####/libpcdn_acc.zip
/data/data/####/libpcdn_acc_new.so
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/mobclick_agent_cached_com.dongchedi.com47
/data/data/####/new_buycar_main.ser
/data/data/####/pcdnconfigs.xml
/data/data/####/pcdnconfigs.xml.bak
/data/data/####/pidof
/data/data/####/root3
/data/data/####/su
/data/data/####/supolicy
/data/data/####/sysInfo.xml
/data/data/####/tapsterlib.xml
/data/data/####/tapsterlib_condition.xml
/data/data/####/toolbox
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/wsroot.sh
/data/media/####/.nomedia
/data/media/####/064bba36fcb545a87b2b003205ed3401
/data/media/####/0ab363cbb1cf023d14342340940da384
/data/media/####/1dbec5f36c06d3e3c30509fa263c98af
/data/media/####/20eee339b2cdb12c48c52679babb3fd2
/data/media/####/23603959a8794424a64d2b1e4e88acac
/data/media/####/2532398c6cf47d1a7de0511c617147b1
/data/media/####/26e82a278d33d7687989f92b78e8c933
/data/media/####/29cc5ca34d44841515806fe01b825aa1
/data/media/####/2fb174ce88da127fd37525210438e5f5
/data/media/####/35bb9f6e900e431a9eacb74524121692
/data/media/####/38a212987f6157d104155e09497861b1
/data/media/####/41a98788977254e2aba059b0cd355d84
/data/media/####/46523a2d3e36eed7048badc1b32e8a67
/data/media/####/4bf8bdbd5f199f0f2ded93d107a35017
/data/media/####/4cb36fb85bff56d757a092288077c3b0.apk
/data/media/####/5080a7e71648c4e7422a262bb23dc298
/data/media/####/61375f102679e0de9bc527aff5fef780
/data/media/####/62895f08ca88be4f6ed0c1882bd4e34e
/data/media/####/7a277fe348c36031724c730f9baf783f
/data/media/####/7b1fa367a5492364a98f6238bff3ce0b
/data/media/####/7b2153fdc06d63ef5d85e05c641c0484
/data/media/####/7c88874d781712850566640d9df68340
/data/media/####/7d105d42cd570d0e83b51ef57b2f3586
/data/media/####/7e626f0654e7152165291e52711ef493
/data/media/####/82f7a2d25c629b5d23a6c446efebb53a
/data/media/####/919b78cf9d440cc3b6228f8598d37380
/data/media/####/927828787ff4711e2364226fbea4d79e
/data/media/####/981f4560dc6a1bddfcbab98a62db3347
/data/media/####/998ae30cf8ec37a523434e6f57508281
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/a7b4a15d2d55660698e7daa2a2f15c86
/data/media/####/ac4acd054e783216cd63ee5e74c43419
/data/media/####/accs_election
/data/media/####/af27995e55d6866e319df00beee0e513
/data/media/####/ap316.tmp
/data/media/####/c017f9a169624747c41cf1bea0c93e5b
/data/media/####/c1cf399d12a5105965c91cfa44875a50
/data/media/####/c474bbda33c6d882c5360744da49d9e1
/data/media/####/cfe3e5e921968626929e651e253dc273
/data/media/####/d0b1b1caa219dff67393abd3533806be
/data/media/####/d47c0548805eb4bd90746a0542c514ef
/data/media/####/d84853e4a5621eb8acd96bbe4b7d47a5
/data/media/####/e50ebf2bca94a78ad5fcc9d847507ac2
/data/media/####/e772f02b77b081cf1e981131b024bbdb
/data/media/####/e82134ad92409
/data/media/####/e9ba810772bff8a1838babd48b5a4ff7
/data/media/####/eacce445e2312ee87d5917d6310e5f7f
/data/media/####/fa25c96e11f0688db600d7404652ce3c
/data/media/####/fddfea83bff433f0390aa07e664931aa
/data/media/####/im316.tmp
/data/media/####/journal.tmp
/data/media/####/myself.dat

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:529f4dd856240b87f80876c7","utdid":"WvVH+BMC0K0DAGdzx1FUORr6","sdkVersion":"212"} -I agoodm.m.taobao.com -O 80 -T -Z
chmod 500 <Package Folder>/files/DaemonServer
chmod 755 <Package Folder>/.jiagu/libjiagu.so
chmod 777 /storage/emulated/0/instal/4cb36fb85bff56d757a092288077c3b0.apk
chmod 777 Matrix ddexe debuggerd device.db fileWork install-recovery.sh pidof root3 su supolicy toolbox wsroot.sh
chmod 777 Matrix ddexe debuggerd fileWork install-recovery.sh pidof su supolicy toolbox wsroot.sh
sh

Загружает динамические библиотеки:

libjiagu
libpcdn_acc
pcdn_acc
tnet-3.1

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней