Android.Locker.5511

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.Locker.438.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) p####.yd####.com:80
TCP(HTTP/1.1) 1####.74.228.97:8080
TCP(HTTP/1.1) c.d####.mob.com:80
TCP(HTTP/1.1) www.2005####.com:8888
TCP(HTTP/1.1) wap.dss####.com:80
TCP(HTTP/1.1) api.s####.mob.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) ca####.8888####.com:88
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) pin####.qq.com:80
TCP(HTTP/1.1) 1####.91.33.52:80
TCP(HTTP/1.1) weiboi####.g####.sina####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) cou####.5####.com:80
TCP(HTTP/1.1) 20####.www00####.com:8888
TCP(HTTP/1.1) m.d####.mob.com:80
TCP(HTTP/1.1) p####.yund####.com:8181
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) m.186####.com:8888
TCP(HTTP/1.1) d####.d####.mob.com:80
TCP(HTTP/1.1) www.995####.com:8888
TCP(HTTP/1.1) wap.9####.com:80
TCP(TLS/1.0) cdn.igst####.com:443
TCP(TLS/1.0) messe####.provide####.net:443
TCP(TLS/1.0) weiboi####.g####.sina####.com:443
TCP c####.g####.ig####.com:5227
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

20####.www00####.com
a####.exc.mob.com
aexcep####.b####.qq.com
and####.b####.qq.com
api.s####.mob.com
c####.g####.ig####.com
c.d####.mob.com
ca####.8888####.com
cdn.igst####.com
cou####.5####.com
cou####.5####.com
d####.d####.mob.com
l####.tbs.qq.com
m.186####.com
m.d####.mob.com
messe####.provide####.net
p####.yd####.com
p####.yund####.com
pi####.qq.com
pin####.qq.com
pub-####.qin####.com
sdk.o####.i####.####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
wap.9####.com
wap.dss####.com
www.2005####.com
www.995####.com
wx1.sin####.cn
wx2.sin####.cn
wx3.sin####.cn
wx4.sin####.cn

Запросы HTTP GET:

20####.www00####.com:8888/app/app_k.js
20####.www00####.com:8888/app/app_zhong.js
20####.www00####.com:8888/app/app_zhong1.js
20####.www00####.com:8888/app/jquery.min.js
20####.www00####.com:8888/mb1/wap_k.js
ca####.8888####.com:88/pic/uploadimg/2017-12/2017121116591890849.jpg
ca####.8888####.com:88/pic/uploadimg/2017-12/2017122615375661010.jpg
ca####.8888####.com:88/pic/uploadimg/2018-1/201811116455735540.jpg
ca####.8888####.com:88/pic/uploadimg/2018-1/2018127149820266.jpg
ca####.8888####.com:88/pic/uploadimg/2018-2/20182238264133910.jpg
ca####.8888####.com:88/pic/uploadimg/2018-3/201831115384963281.jpg
ca####.8888####.com:88/pic/uploadimg/2018-4/20184211533113180.jpg
ca####.8888####.com:88/pic/uploadimg/2018-4/2018421748438971.jpg
ca####.8888####.com:88/pic/uploadimg/2018-5/201851315315394095.jpg
ca####.8888####.com:88/pic/uploadimg/2018-5/201851814272758327.jpg
ca####.8888####.com:88/pic/uploadimg/2018-5/201851814275751037.jpg
ca####.8888####.com:88/pic/uploadimg/2018-5/201851814282956942.jpg
ca####.8888####.com:88/pic/uploadimg/2018-5/20185181429235200.jpg
ca####.8888####.com:88/pic/uploadimg/2018-5/201851814292969483.jpg
ca####.8888####.com:88/pic/uploadimg/2018-5/201851814303653760.jpg
ca####.8888####.com:88/pic/uploadimg/2018-5/20185181430724445.jpg
ca####.8888####.com:88/pic/uploadimg/2018-5/20185181431691339.jpg
ca####.8888####.com:88/pic/uploadimg/2018-5/201851814351548887.jpg
cou####.5####.com/click.aspx?id=####&logo=####
cou####.5####.com/sa.htm?id=####&refe=####&location=####&color=####&reso...
m.186####.com:8888/Content/Views/Shared/en-US.css?version=####
m.186####.com:8888/Register?a=####
m.186####.com:8888/Scripts/_config.js?version=####
m.186####.com:8888/Scripts/_site.js?version=####
m.186####.com:8888/Scripts/i18n/labels_en-US.js
m.186####.com:8888/angular-controllers?v=####
m.186####.com:8888/angular-directives?v=####
m.186####.com:8888/angular-filters?v=####
m.186####.com:8888/angular-services?v=####
m.186####.com:8888/angular-ui-bootstrap-datetimepicker?v=####
m.186####.com:8888/angular-ui-bootstrap?v=####
m.186####.com:8888/bundles/body?v=####
m.186####.com:8888/bundles/common?v=####
m.186####.com:8888/bundles/custom?v=####
m.186####.com:8888/bundles/environment?v=####
m.186####.com:8888/bundles/register?v=####
m.186####.com:8888/bundles/site?v=####
m.d####.mob.com/cconf?appkey=####&plat=####&apppkg=####&appver=####&netw...
p####.yund####.com:8181/Default.aspx?type=####&apps_id=####&icontype_id=...
t####.c####.q####.####.com/tdata_BfO709
wap.9####.com/
wap.dss####.com/piclogo.png
weiboi####.g####.sina####.com/large/006V1cijgy1fj1xh1taj2g303d0280ti.gif
weiboi####.g####.sina####.com/mw1024/0079feohgy1frasmtkt4ij30hs05k75n.jpg
www.2005####.com:8888/
www.995####.com:8888/js/tj.js
www.995####.com:8888/wap
www.995####.com:8888/wap/
www.995####.com:8888/wap/css/init.css
www.995####.com:8888/wap/css/main.css
www.995####.com:8888/wap/images/header01.jpg
www.995####.com:8888/wap/images/index_03.png
www.995####.com:8888/wap/images/index_05.jpg
www.995####.com:8888/wap/images/index_06.jpg
www.995####.com:8888/wap/images/index_09.png
www.995####.com:8888/wap/images/index_11.png
www.995####.com:8888/wap/images/index_15.png
www.995####.com:8888/wap/images/index_16.png
www.995####.com:8888/wap/images/index_19.png
www.995####.com:8888/wap/images/index_20.png
www.995####.com:8888/wap/images/index_39.png
www.995####.com:8888/wap/js/jquery-1.7.2.js
www.995####.com:8888/wap/js/jquery.flexslider-min.js

Запросы HTTP POST:

a####.exc.mob.com/errconf
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
api.s####.mob.com/conf5
api.s####.mob.com/conn
api.s####.mob.com/log4
c.d####.mob.com/cdata
d####.d####.mob.com/dinfo
d####.d####.mob.com/dsign
l####.tbs.qq.com/ajax?c=####&k=####
m.186####.com:8888/Cdn/GetContactList
m.186####.com:8888/Home/GetLanguages
m.186####.com:8888/Home/GetLastMarquee
m.186####.com:8888/Register/GetRegisterSetting
p####.yd####.com/rest/weblsq/1.0/AddDeviceInfo.aspx
p####.yd####.com/rest/weblsq/1.0/EditGetuiUserRelationsInfo.aspx
p####.yund####.com:8181/Default.aspx?type=####&apps_id=####&icontype_id=...
pin####.qq.com/request
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.lock
/data/data/####/.mrecord
/data/data/####/.mrlock
/data/data/####/.statistics
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/bugly_db_legu-journal
/data/data/####/com.tsrj.mid.world.ro.xml
/data/data/####/com.tsrj_preferences.xml
/data/data/####/core_info
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/debug.conf
/data/data/####/download.db-journal
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/f_000015
/data/data/####/f_000016
/data/data/####/f_000017
/data/data/####/f_000018
/data/data/####/f_000019
/data/data/####/f_00001a
/data/data/####/f_00001b
/data/data/####/f_00001c
/data/data/####/f_00001d
/data/data/####/f_00001e
/data/data/####/f_00001f
/data/data/####/f_000020
/data/data/####/f_000021
/data/data/####/f_000022
/data/data/####/f_000023
/data/data/####/f_000024
/data/data/####/f_000025
/data/data/####/f_000026
/data/data/####/f_000027
/data/data/####/f_000028
/data/data/####/filename.xml
/data/data/####/first.xml
/data/data/####/headbar.xml
/data/data/####/increment.db-journal
/data/data/####/index
/data/data/####/init.pid
/data/data/####/k.bat
/data/data/####/key.bat
/data/data/####/legu_tencent_analysis.db_com.tsrj-journal
/data/data/####/libStarEngine.so
/data/data/####/libnfix.so
/data/data/####/libshella-2.10.7.1.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/mix.dex
/data/data/####/mob_commons_1.xml
/data/data/####/mob_sdk_exception_1.xml
/data/data/####/native_record_lock
/data/data/####/pri_legu_tencent_analysis.db_com.tsrj-journal
/data/data/####/push.pid
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/share_sdk_1.xml
/data/data/####/share_sdk_1.xml.bak (deleted)
/data/data/####/sharesdk.db-journal
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/.al
/data/media/####/.ccLock
/data/media/####/.ccc
/data/media/####/.dh-journal
/data/media/####/.dhlock
/data/media/####/.dic_lock
/data/media/####/.dk
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.mid.txt
/data/media/####/.mid.txt1000001
/data/media/####/.nulal
/data/media/####/.nulplt
/data/media/####/.pkg_lock
/data/media/####/.plst
/data/media/####/.rcTag
/data/media/####/.rc_lock
/data/media/####/app.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.tsrj.db
/data/media/####/tdata_BfO709.jar
/data/media/####/tdata_BfO709.tmp

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
app_process /system/bin com.android.commands.pm.Pm list packages
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.10.7.1.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
grep -E -v root|shell|system
logcat -d -v threadtime
pm list packages
sh
su
top -d 0 -n 1

Загружает динамические библиотеки:

Bugly
MtaNativeCrash
libnfix
libshella-2.10.7.1
libufix
neh
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CFB-NoPadding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-PKCS1PADDING

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CFB-NoPadding
AES-ECB-NoPadding
AES-GCM-NoPadding

Использует повышенные привилегии.

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней