Android.Spy.2119

Техническая информация

Вредоносные функции:

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.0) tcms-a####.wan####.ta####.com:80
TCP(HTTP/1.0) tcms-a####.wan####.ta####.com:443
TCP(HTTP/1.1) c.d####.mob.com:80
TCP(HTTP/1.1) api.s####.mob.com:80
TCP(HTTP/1.1) haowa####.qin####.com:80
TCP(HTTP/1.1) d####.d####.mob.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) s.haowa####.com:8900
TCP(HTTP/1.1) haowa####.oss.aliy####.com:80
TCP(HTTP/1.1) m.d####.mob.com:80
TCP(HTTP/1.1) tcms-op####.wan####.ta####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) a####.m.ta####.com:80
TCP(HTTP/1.1) w####.ta####.com:80
TCP(TLS/1.0) msg.umengc####.com:443
TCP(TLS/1.0) haowa####.oss-cn-####.aliy####.com:443
TCP(TLS/1.0) s.haowa####.com:8008
TCP(TLS/1.0) a####.a####.m.####.com:443
TCP umengj####.m.ta####.com:443
TCP ope####.m.ta####.com:443
TCP i####.wan####.ta####.com:443
TCP zhizhi####.com:5222

Запросы DNS:

_ja####._####.zhizhi####.com
_xmpp-c####._####.zhizhi####.com
a####.exc.mob.com
a####.m.ta####.com
a####.m.ta####.com
a####.u####.com
ag####.m.ta####.com
api.s####.mob.com
c.d####.mob.com
d####.d####.mob.com
haowa####.oss-cn-####.aliy####.com
haowa####.oss.aliy####.com
haowa####.qin####.com
hotp####.wan####.ta####.com
i####.wan####.ta####.com
l####.tbs.qq.com
m.d####.mob.com
msg.umengc####.com
s.haowa####.com
tcms-a####.wan####.ta####.com
tcms-op####.wan####.ta####.com
umen####.m.ta####.com
umengj####.m.ta####.com
w####.ta####.com
zhizhi####.com

Запросы HTTP GET:

haowa####.oss.aliy####.com/076d0883c4057fb2b9a24dc712598c74
haowa####.oss.aliy####.com/26b8c2c9dae2613c640fe1a9543dceb3
haowa####.oss.aliy####.com/27aff243e23129fe5cc317e6553b6c00
haowa####.oss.aliy####.com/29df979925273d5ca7bd4092b2f4d1aa
haowa####.oss.aliy####.com/33496074b45fc65b0032ec2ecf4195fe
haowa####.oss.aliy####.com/684ec432586af9f3e238aa5b6af27019
haowa####.oss.aliy####.com/73fd44a20e00b3d68363123ffbedf45f
haowa####.oss.aliy####.com/8a7e4083155b5227e3081d65422021d5
haowa####.oss.aliy####.com/8d18e040dfba2126fbcca9351c8de03e
haowa####.oss.aliy####.com/90a79ba8d5cee0efdb48af20d4d40d8c
haowa####.oss.aliy####.com/97b35cebcdbfc5a4ca17adb527e1bc57
haowa####.oss.aliy####.com/9a13d59b38867c39c7dcd020024b89b5
haowa####.oss.aliy####.com/a4f6adabfe5fd3894c05b1b687769d87
haowa####.oss.aliy####.com/c0f2c510b56b505b7d6ef599b6234dc4
haowa####.oss.aliy####.com/c79ce9861958341f452852522bee61be
haowa####.oss.aliy####.com/d7f6ff8fcea9b33993673269675f9594
haowa####.oss.aliy####.com/e64a0806b8b006f815ea63a579bd96d6
haowa####.oss.aliy####.com/ee9dd46f978d1c94dc3adedb141d86f1
haowa####.qin####.com/1f934655d02fd22f299a335000f2bb35
haowa####.qin####.com/2018-02-10-18-44-08jc5dsywl-0.png
haowa####.qin####.com/2018-05-12-00-13-089sqoi3v6-0.png
haowa####.qin####.com/58089e31c090a413928eeab1e8efd6b0
haowa####.qin####.com/5e6df9ca585e2d45c1bbd1672294051e
haowa####.qin####.com/658f8a0f6eea552f884729892f466c81
haowa####.qin####.com/6643de4be3ab9aed563ab925b222d26f
haowa####.qin####.com/6bab9f059d7aba720a91960a238d8142
haowa####.qin####.com/6c9000edb9a02640afdb565a081780fb
haowa####.qin####.com/a92108c1bae6b64d659374fc5c87a2e8
haowa####.qin####.com/b6e54390730c12db712c9ec526926311
haowa####.qin####.com/b7ed3ef785a44a86ec4fe1038bc3af4f
haowa####.qin####.com/b823febcaa4cb32ce1145fe83b08c81b
haowa####.qin####.com/bf3e1291f46f6638cad7151fb21d60e6
haowa####.qin####.com/ce11c4429160ce09f04702d3565c6730
haowa####.qin####.com/d66935a1bc82589aca7fdb19123bca0f
haowa####.qin####.com/ea86fbf4053780449f7551185c16cdc8
haowa####.qin####.com/f042e2cd3da57b2466afeffd1f9f1098
m.d####.mob.com/v4/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
s.haowa####.com:8900/RegisterDemo1/servlet/GetAppreClassInfo?jid=####
s.haowa####.com:8900/RegisterDemo1/servlet/GetAppreciation?jid=####&acti...
s.haowa####.com:8900/RegisterDemo1/servlet/GetForumInfo?forumid=####&jid...
s.haowa####.com:8900/RegisterDemo1/servlet/GetForumList?reqid=####&jid=#...
s.haowa####.com:8900/RegisterDemo1/servlet/GetInvcode?jid=####
s.haowa####.com:8900/RegisterDemo1/servlet/GetNewsList?jid=####&newsid=#...
s.haowa####.com:8900/RegisterDemo1/servlet/GetPostList?forumid=####&comt...
s.haowa####.com:8900/RegisterDemo1/servlet/GetRecomUser?page=####&subtyp...
s.haowa####.com:8900/RegisterDemo1/servlet/GetReplyList?jid=####&forumid...
s.haowa####.com:8900/RegisterDemo1/servlet/GetUserInfo?jid=####&vsjid=####
s.haowa####.com:8900/RegisterDemo1/servlet/SyncSp?jid=####
s.haowa####.com:8900/RegisterDemo1/servlet/UpLoadUmToken?jid=####&passwd...
tcms-a####.wan####.ta####.com:443/imlogingw/tcp60login?devid=####&ver=####
tcms-op####.wan####.ta####.com/getapprule?appkey=####&appId=####

Запросы HTTP POST:

a####.exc.mob.com/errconf
a####.m.ta####.com/rest/gc?dd=####&nsgs=####&ak=####&av=####&c=####&v=##...
a####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=####&...
a####.u####.com/app_logs
api.s####.mob.com/conf5
api.s####.mob.com/conn
api.s####.mob.com/log4
api.s####.mob.com/snsconf
c.d####.mob.com/v3/cdata
d####.d####.mob.com/dgen
d####.d####.mob.com/dinfo
d####.d####.mob.com/dsign
l####.tbs.qq.com/ajax?c=####&k=####
s.haowa####.com:8900/RegisterDemo1/servlet/Collecting
w####.ta####.com/api/user/getUser.json

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.duid
/data/data/####/.imprint
/data/data/####/.lock
/data/data/####/.mrecord
/data/data/####/.mrecord (deleted)
/data/data/####/.mrlock
/data/data/####/.statistics
/data/data/####/.vpl_lock
/data/data/####/0713baf5d4053e00a9d06b4f51655a6f.0.tmp
/data/data/####/0713baf5d4053e00a9d06b4f51655a6f.1.tmp
/data/data/####/0889d3004e96951453a55e38128ca313.0.tmp
/data/data/####/0889d3004e96951453a55e38128ca313.1.tmp
/data/data/####/0a20b1949f7f7a9aa8db503316c31aa0-journal
/data/data/####/1327ffe359c52eb4bb646f458e9d1ccc.0.tmp
/data/data/####/1327ffe359c52eb4bb646f458e9d1ccc.1.tmp
/data/data/####/17bc99b1898566e88f7b3c7bdc4a1c0b.0.tmp
/data/data/####/17bc99b1898566e88f7b3c7bdc4a1c0b.1.tmp
/data/data/####/19QHZ-CJ9Um7-XfHE0BFaxQJVnU.-1545369231.tmp
/data/data/####/1d2b904cbeadfb72ed9546111a231c85.0
/data/data/####/24c110e1f76093b35c3c2df1927aab79.0
/data/data/####/28369be394cd0b6239ea5951e3991b1f.0.tmp
/data/data/####/28369be394cd0b6239ea5951e3991b1f.1.tmp
/data/data/####/359dd125bf177ff6879fdb4ad3f17a5a.0.tmp
/data/data/####/359dd125bf177ff6879fdb4ad3f17a5a.1.tmp
/data/data/####/374c687e08a3c0b42143a9bba077a58c.0.tmp
/data/data/####/374c687e08a3c0b42143a9bba077a58c.1.tmp
/data/data/####/414dd2fa5602e5c4c567669f85e1a3c3.0.tmp
/data/data/####/414dd2fa5602e5c4c567669f85e1a3c3.1.tmp
/data/data/####/53XP_ZnbDXnKOS5bD7xkmLEJhrc.-550676112.tmp
/data/data/####/5d59195757d5a27a5ec9bc4dedcb03be.0.tmp
/data/data/####/5d59195757d5a27a5ec9bc4dedcb03be.1.tmp
/data/data/####/5xPJi0KCk9L46JRFtkQwa8-mdUw.859511468.tmp
/data/data/####/672a163dcf5fbfaa8805b5140034a913.0.tmp
/data/data/####/672a163dcf5fbfaa8805b5140034a913.1.tmp
/data/data/####/6ba7c842f015032e135f29dcbaa5cb76.0.tmp
/data/data/####/6ba7c842f015032e135f29dcbaa5cb76.1.tmp
/data/data/####/75faacc6d47ddb0a6f16f0a452637368.0.tmp
/data/data/####/75faacc6d47ddb0a6f16f0a452637368.1.tmp
/data/data/####/7bb40062feb6f9ca40e23d7ecbcddeee.0.tmp
/data/data/####/7bb40062feb6f9ca40e23d7ecbcddeee.1.tmp
/data/data/####/7cb3f8b171b92fbdf3df954f793510db.0.tmp
/data/data/####/7cb3f8b171b92fbdf3df954f793510db.1.tmp
/data/data/####/890c52b439b5bf833674aade003429dc.0.tmp
/data/data/####/890c52b439b5bf833674aade003429dc.1.tmp
/data/data/####/90be706394102a02980dea7807fb374e.0.tmp
/data/data/####/90be706394102a02980dea7807fb374e.1.tmp
/data/data/####/9c6b7251aa40c91ebce16658cebe4df2.0.tmp
/data/data/####/9c6b7251aa40c91ebce16658cebe4df2.1.tmp
/data/data/####/ACCS_BINDumeng;52a0242156240b5b4a0104f9.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AGOO_BIND.xml
/data/data/####/AKlFAuVDuqUIDFzgZ9fMn-yqM2U.1518530318.tmp
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/B3jf-c3SHV-NXTOUbBINPaaXAXg.1789153784.tmp
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/ESClpxND_m77TQNdDnpBudh-CAs.380832152.tmp
/data/data/####/Gkbg-hjJgcyBjKWkDcCc2FXnUl4.-1080697032.tmp
/data/data/####/HH3VsT8a8d0b_cwV8RIkQ9Wf6XE.-394151117.tmp
/data/data/####/HJFX0H4iGzqsStYHQgwbNm8ewv4.-1941230887.tmp
/data/data/####/Jl5luAAzolSAngENpbqT4zlAWLY.-771418515.tmp
/data/data/####/K2mhjXmNY1LE0IXpD6VWF35ch0U.-1281729870.tmp
/data/data/####/KeyStore.bks
/data/data/####/L4EXTTgABlyBaeG_Mx7RY-I6sME.-18026974.tmp
/data/data/####/Lz16DJNXhRD8bqO6Pjfx6FsdgdA.755457720.tmp
/data/data/####/MRQ-SbKKI1MNtEIOk596a2gFhHA.2016203423.tmp
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/N85eg2Po1J6G-wylrFht7r4ycGc.-956603083.tmp
/data/data/####/QdeaNtNBUcWjccuU6v0X_H_HxBA.-1213939346.tmp
/data/data/####/Qr-DXElLsl-PBcsScw2ilTDbbYA.-1931456538.tmp
/data/data/####/TPXFv7TXqu10oeJvygz2-lRwW4w.-1542329732.tmp
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/UTCommon.xml
/data/data/####/UTMCConf-818791854.xml
/data/data/####/UTMCLog-818791854.xml
/data/data/####/ZYcKJTlIYBtszQnG2mH1SS6ZxJY.-809124365.tmp
/data/data/####/ZYy5XBT0lzD-hG-sY-BXEFdVJvA.-1857380022.tmp
/data/data/####/_EEcIXt6fIUgfbqNC9rPu_-E0u8.-1888050450.tmp
/data/data/####/a346d4a8ab350aa12c4d05ba051dc431.0.tmp
/data/data/####/a346d4a8ab350aa12c4d05ba051dc431.1.tmp
/data/data/####/a836dc93cd02d849d9db85020b10571a.0.tmp
/data/data/####/a836dc93cd02d849d9db85020b10571a.1.tmp
/data/data/####/aOMk8xI3JyoIGu3GsvMneOrXBbA.-250554258.tmp
/data/data/####/aa47eea07905ef4bff402f953c03c71e.0.tmp
/data/data/####/aa47eea07905ef4bff402f953c03c71e.1.tmp
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/b2090604aaa47181bf69a632088981ad.0.tmp
/data/data/####/b2090604aaa47181bf69a632088981ad.1.tmp
/data/data/####/ba15a208bcb6c208410a14a74de0f930.0.tmp
/data/data/####/ba15a208bcb6c208410a14a74de0f930.1.tmp
/data/data/####/bf92d86c29394de47a66687d46e5a00f.0.tmp
/data/data/####/bf92d86c29394de47a66687d46e5a00f.1.tmp
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cc7fe2661ea62b9504fd8c8fee68b37c.0.tmp
/data/data/####/cc7fe2661ea62b9504fd8c8fee68b37c.1.tmp
/data/data/####/cf9kBwJIQnshRzoJsepHE5Jk4hI.1983893648.tmp
/data/data/####/cfeaa67c9e4e53902851e452bda509aa.0.tmp
/data/data/####/cfeaa67c9e4e53902851e452bda509aa.1.tmp
/data/data/####/channel_pre.xml
/data/data/####/cn_feng_skin_pref.xml
/data/data/####/com.haowan.huabar-1.apk.classes-1878963492.zip
/data/data/####/com.haowan.huabar-1.apk.classes-839685043.zip
/data/data/####/com.haowan.huabar_2068
/data/data/####/com.haowan.huabar_TcmsService_2126
/data/data/####/com.haowan.huabar_preferences.xml
/data/data/####/core_info
/data/data/####/d71608e6fd3966d6df3d4766026c7e67.0.tmp
/data/data/####/d71608e6fd3966d6df3d4766026c7e67.1.tmp
/data/data/####/eY9nt9SdLNZBlMpKKoKK_PGHojo.585622976.tmp
/data/data/####/eudemon
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f2a303928f27e5aa7cc471537e5745be.0.tmp
/data/data/####/f2a303928f27e5aa7cc471537e5745be.1.tmp
/data/data/####/fb055b48a44f245770786c45d91c9f05.0.tmp
/data/data/####/fb055b48a44f245770786c45d91c9f05.1.tmp
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/hnGdeRuqayIya5AwVbkhjiJimdk.-893818061.tmp
/data/data/####/hnbT5cCKYcmgcR2_dwUTtWmS8Ng.921290145.tmp
/data/data/####/ie8yIKgD0M4edBiU0mjcZQqzBuI.-1749976853.tmp
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/lsWJtq1vPf1UhCassCuJDP6uIk4.1380427497.tmp
/data/data/####/meRjMCGs6hHOZTtMVOoHEWff2Lw.1010346605.tmp
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/multidex.version.xml
/data/data/####/n9aJoUbKpmDOueR4IJq9XaJsRwk.-1995296980.tmp
/data/data/####/oKuwFOIKmfDvqflOUvCRu5z6VfU.-393852769.tmp
/data/data/####/oxFFWv0tBA94jJMN9ep3jFAfwFs.27207762.tmp
/data/data/####/paintgame.db
/data/data/####/paintgame.db-journal
/data/data/####/sYQLl_czkDtZ5ShEsua5_X2XgV0.1438755657.tmp
/data/data/####/share_sdk_1
/data/data/####/sharesdk.db-journal
/data/data/####/sp.lock
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tcms_setting_sp.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/vxHNJSPLbmHTEjPZgQMfFmnsNzY.491382444.tmp
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/ywAccount.xml
/data/data/####/ywPrefsTools.xml
/data/data/####/zxu3znWtavy65ni2wu4rMJwzKOo.-638158717.tmp
/data/media/####/.al
/data/media/####/.artc_lock
/data/media/####/.bar
/data/media/####/.dh-journal
/data/media/####/.dhlock
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.lecd
/data/media/####/.lesd_lock
/data/media/####/.nomedia
/data/media/####/.nulal
/data/media/####/.nulplt
/data/media/####/.pkg_lock
/data/media/####/.plst
/data/media/####/.rc_lock
/data/media/####/.serveruuid
/data/media/####/.slw
/data/media/####/1526280108466.db
/data/media/####/1526280119040.db
/data/media/####/2_20180514_r
/data/media/####/6c709c11d2d46a7b
/data/media/####/87bc209f86bc4a67a32d9b4fb7cdd99c
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/alsn20170807.db
/data/media/####/alsn20170807.db-journal
/data/media/####/dd7893586a493dc3
/data/media/####/deviceToken

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:52a0242156240b5b4a0104f9","utdid":"Wvkvq4SIscsDAGdzx1HlP7mh","sdkVersion":"220"} -I agoodm.m.taobao.com -O 80 -T -Z
app_process /system/bin com.android.commands.pm.Pm list packages
cat /proc/cpuinfo | grep Serial
chmod 500 <Package Folder>/files/DaemonServer
getprop
getprop ro.product.cpu.abi
grep -E -v root|shell|system
ls -l /system/xbin/su
pm list packages
sh
top -d 0 -n 1

Загружает динамические библиотеки:

fb_jpegturbo
imagepipeline
inet.2.0
securitysdk-3.1
tnet-3.1

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-NoPadding
AES-ECB-PKCS5Padding

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней