Android.Packed.38374

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.DownLoader.463.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) s####.s####.b####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) cgi.con####.qq.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) pi####.qq.com:80
TCP(TLS/1.0) fp.fraudme####.cn:443
TCP(TLS/1.0) dot.007f####.com:443
TCP(TLS/1.0) api.w####.com:443
TCP(TLS/1.0) ve####.baid####.com:443
TCP(TLS/1.0) lbs.net####.im:443
TCP(TLS/1.0) m.007f####.com:443
TCP(TLS/1.0) wfd.net####.im:443
TCP(TLS/1.0) nim.qi####.com:443
TCP(TLS/1.0) api.51dat####.com:443
TCP(TLS/1.0) qy-swa####.qi####.com:443
TCP(TLS/1.0) down####.007f####.com:443
TCP l####.net####.im:8080

Запросы DNS:

and####.b####.qq.com
api.51dat####.com
api.w####.com
cgi.con####.qq.com
dot.007f####.com
down####.007f####.com
fp.fraudme####.cn
l####.net####.im
lbs.net####.im
m.007f####.com
nim.qi####.com
pi####.qq.com
qy-swa####.qi####.com
s####.s####.b####.com
sdk.o####.p####.####.com
ve####.baid####.com
wfd.net####.im

Запросы HTTP GET:

cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?sdkv=####&appid=###...

Запросы HTTP POST:

and####.b####.qq.com/rqd/async?aid=####
pi####.qq.com/mstat/report
s####.s####.b####.com/cgi-bin/queryLicense.py
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/anr/traces.txt
/data/data/####/.jg.ic
/data/data/####/1002
/data/data/####/1004
/data/data/####/20180607.log
/data/data/####/3f68fca2c2e17ff225b2e92c51728199
/data/data/####/NIMSDK_Config_eefb5ea6ac24151e7e356c7001b1a4a6.xml
/data/data/####/NIMSDK_Config_eefb5ea6ac24151e7e356c7001b1a4a6_...9f.xml
/data/data/####/RKStorage-journal
/data/data/####/Unicorn.eefb5ea6ac24151e7e356c7001b1a4a6.xml
/data/data/####/aa6ace57cad1104700e13eec55f93eb4
/data/data/####/alipay_vkey_random.xml
/data/data/####/bugly_db_-journal
/data/data/####/com.google.InstanceId.properties
/data/data/####/com.google.android.gms.appid-no-backup
/data/data/####/com.google.android.gms.appid.xml
/data/data/####/com.llq.linglingqihd.BETA_VALUES.xml
/data/data/####/com.llq.linglingqihd_preferences.xml
/data/data/####/com.llq.linglingqihd_preferences.xml.bak
/data/data/####/com.qiyukf.analytics.xml
/data/data/####/crashrecord.xml
/data/data/####/device_feature_prefs_name.xml
/data/data/####/dso_deps
/data/data/####/dso_lock
/data/data/####/dso_manifest
/data/data/####/dso_state
/data/data/####/ef7c876f00f3acddd00fa671f52d0b1f
/data/data/####/fm_shared.xml
/data/data/####/getui_sp.xml
/data/data/####/init_c1.pid
/data/data/####/init_er.pid
/data/data/####/k.store
/data/data/####/libjiagu975856408.so
/data/data/####/local_crash_lock
/data/data/####/msg.db-journal
/data/data/####/native_record_lock
/data/data/####/ocr_sdk_uuid.xml
/data/data/####/qiyu_save_eefb5ea6ac24151e7e356c7001b1a4a6.xml
/data/data/####/security_info
/data/data/####/tencent_analysis.db-journal
/data/data/####/unicorn#cheese#
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/.fraudmetrixid
/data/media/####/.nomedia
/data/media/####/Combined Shape.png
/data/media/####/activity_banner.png
/data/media/####/activity_bg.png
/data/media/####/activity_buy.png
/data/media/####/activity_icon1.png
/data/media/####/activity_icon2.png
/data/media/####/activity_icon3.png
/data/media/####/activity_rule.png
/data/media/####/activity_subscript.png
/data/media/####/activity_subscript2.png
/data/media/####/activity_subscript3.png
/data/media/####/activity_title1.png
/data/media/####/activity_title2.png
/data/media/####/activitymain.png
/data/media/####/alipay.png
/data/media/####/apply.png
/data/media/####/applyBtn.png
/data/media/####/arrow_down.png
/data/media/####/arrow_right.png
/data/media/####/auth-credit.png
/data/media/####/authening.png
/data/media/####/auto_deduct_off.png
/data/media/####/auto_deduct_on.png
/data/media/####/bac.png
/data/media/####/banner.png
/data/media/####/bg-login.png
/data/media/####/bg-notLogin.png
/data/media/####/bg.png
/data/media/####/bgColor.png
/data/media/####/blanknote-banner.png
/data/media/####/blanknote-graduate.png
/data/media/####/blanknote-hua.png
/data/media/####/bottom-line.png
/data/media/####/bounce.png
/data/media/####/btn_enter.png
/data/media/####/button.png
/data/media/####/buy.png
/data/media/####/camera.png
/data/media/####/car-nomale.png
/data/media/####/card.png
/data/media/####/card_choose.png
/data/media/####/card_unchoose.png
/data/media/####/cash.png
/data/media/####/cashActivity.png
/data/media/####/close.png
/data/media/####/code_dialog.png
/data/media/####/confirm-document.png
/data/media/####/contact.png
/data/media/####/controls_approve_bar2@3x.png
/data/media/####/controls_approve_bar3@2x.png
/data/media/####/controls_approve_bar3@3x.png
/data/media/####/controls_approve_bar@2x.png
/data/media/####/controls_approve_bar@3x.png
/data/media/####/coupon-bg.png
/data/media/####/coupon-bg1.png
/data/media/####/coupon-bg2.png
/data/media/####/coupon-bgS.png
/data/media/####/coupon-expired.png
/data/media/####/coupon-fetched.png
/data/media/####/coupon-fetched1.png
/data/media/####/coupon-use.png
/data/media/####/credit-null.png
/data/media/####/creditCard.png
/data/media/####/creditRating.png
/data/media/####/device_feature_file_name
/data/media/####/empty-img.png
/data/media/####/empty.png
/data/media/####/evaluate.png
/data/media/####/favorite.png
/data/media/####/flash.png
/data/media/####/get-coupon.png
/data/media/####/getGift.png
/data/media/####/gold.png
/data/media/####/goods_empty.png
/data/media/####/head_boy.png
/data/media/####/head_girl.png
/data/media/####/help.png
/data/media/####/hongbao.png
/data/media/####/ic-collection-normal.png
/data/media/####/ic-collection-selected.png
/data/media/####/ic-comment-normal.png
/data/media/####/ic-comment-selected.png
/data/media/####/ic-head-bg.png
/data/media/####/ic-head-bg2.png
/data/media/####/icon.png
/data/media/####/icon_approve_add.png
/data/media/####/icon_approve_alipay.png
/data/media/####/icon_approve_idcard_negative.png
/data/media/####/icon_approve_idcard_positive.png
/data/media/####/icon_approve_qq.png
/data/media/####/icon_approve_student_select.png
/data/media/####/icon_approve_student_unselect.png
/data/media/####/icon_approve_taobao.png
/data/media/####/icon_approve_work_select.png
/data/media/####/icon_approve_work_unselect.png
/data/media/####/icon_approve_xuexin.png
/data/media/####/icon_approve_yunying.png
/data/media/####/icon_approve_zhima.png
/data/media/####/icon_bill_black.png
/data/media/####/icon_cardpay.png
/data/media/####/icon_credit_linglingqi_byj.png
/data/media/####/icon_credit_linglingqi_lhh.png
/data/media/####/icon_credit_strip_byj.png
/data/media/####/icon_credit_strip_lhh.png
/data/media/####/icon_indexptg_nextday.png
/data/media/####/icon_indexptg_rules.png
/data/media/####/icon_money.png
/data/media/####/icon_my_approve_lose.png
/data/media/####/icon_my_approve_status_noapplied.png
/data/media/####/icon_my_approve_status_nopass.png
/data/media/####/icon_my_approve_status_pass.png
/data/media/####/icon_my_approve_status_review.png
/data/media/####/icon_my_improve_gongjijin.png
/data/media/####/icon_my_improve_jingdong.png
/data/media/####/icon_my_improve_shebao.png
/data/media/####/icon_my_improve_taobao.png
/data/media/####/icon_my_improve_weixin.png
/data/media/####/icon_my_improve_yinhangliushui.png
/data/media/####/icon_my_improve_zhifubao.png
/data/media/####/icon_recharge.png
/data/media/####/icon_refund.png
/data/media/####/icon_tuxedodetails_close.png
/data/media/####/icon_tuxedodetails_line.png
/data/media/####/icon_tuxedodetails_nobody.png
/data/media/####/image_approve_background.jpg
/data/media/####/image_approve_identify.png
/data/media/####/image_approve_identify_tick.png
/data/media/####/image_approve_nopass.png
/data/media/####/image_credit_cardbg_biyejin.png
/data/media/####/image_credit_cardbg_linghuahua.png
/data/media/####/image_default_avatar.png
/data/media/####/image_indexptg_banner.png
/data/media/####/image_my_approve_banner.jpg
/data/media/####/image_my_approve_lose.png
/data/media/####/image_my_improve_banner.jpg
/data/media/####/image_my_quota_nothing.png
/data/media/####/image_myptg_miss.png
/data/media/####/image_myptg_ptcg.png
/data/media/####/image_myptg_ptsb.png
/data/media/####/image_myptg_ptz.png
/data/media/####/image_nothing.png
/data/media/####/image_pay_success.png
/data/media/####/image_ptgrules.png
/data/media/####/image_ptgrules_bg.png
/data/media/####/image_ptgrules_bgpaper.png
/data/media/####/image_select_identity.png
/data/media/####/image_tomorrow_nothing.png
/data/media/####/image_tuxedodetails_nothing.png
/data/media/####/img_submit_success.png
/data/media/####/imgae_ptgrules_title.png
/data/media/####/index.jsbundle
/data/media/####/index.jsbundle.meta
/data/media/####/informationAuth.png
/data/media/####/invitePig.png
/data/media/####/invite_reward.png
/data/media/####/invite_rule.png
/data/media/####/invited_reward.png
/data/media/####/invited_reward_bg.png
/data/media/####/jd.png
/data/media/####/label-jd.png
/data/media/####/label-wy.png
/data/media/####/label-yx.png
/data/media/####/loading-normal.gif
/data/media/####/loading.gif
/data/media/####/loan_banner.png
/data/media/####/loan_hot.png
/data/media/####/msg.png
/data/media/####/my-advice.png
/data/media/####/my-bill.png
/data/media/####/my-card.png
/data/media/####/my-coupon.png
/data/media/####/my-identification.png
/data/media/####/my-join.png
/data/media/####/my-order.png
/data/media/####/my-red.png
/data/media/####/my-student.png
/data/media/####/my-wallet.png
/data/media/####/myCoupon-bg1.png
/data/media/####/myCoupon-bg2.png
/data/media/####/myRed-bg1.png
/data/media/####/myfriends.png
/data/media/####/myvisitcode.png
/data/media/####/nav-aging-selected.png
/data/media/####/nav-aging.png
/data/media/####/nav-blanknote-selected.png
/data/media/####/nav-blanknote.png
/data/media/####/nav-earn-selected.png
/data/media/####/nav-earn.png
/data/media/####/nav-enter-selected.png
/data/media/####/nav-enter.png
/data/media/####/nav-numeral.png
/data/media/####/nav-profile-selected.png
/data/media/####/nav-profile.png
/data/media/####/norealname.png
/data/media/####/notice.png
/data/media/####/order_nothing.png
/data/media/####/passed.png
/data/media/####/pay_failed.png
/data/media/####/pay_success.png
/data/media/####/person.png
/data/media/####/phone.png
/data/media/####/pig.png
/data/media/####/prompt.png
/data/media/####/qq.png
/data/media/####/qrcode.png
/data/media/####/quota.png
/data/media/####/quotaBanner.png
/data/media/####/qzone.png
/data/media/####/ranking_bg.png
/data/media/####/ranking_d.png
/data/media/####/ranking_m.png
/data/media/####/ranking_w.png
/data/media/####/red.png
/data/media/####/reject.png
/data/media/####/rule_dialog.png
/data/media/####/safety.png
/data/media/####/sale.png
/data/media/####/scratchBtn.png
/data/media/####/setting.png
/data/media/####/shadow.png
/data/media/####/shouchi.png
/data/media/####/slide-bg1.png
/data/media/####/slide-bg2.png
/data/media/####/slide-bg3.png
/data/media/####/slide-bg4.png
/data/media/####/store_bg_default.png
/data/media/####/store_logo_default.png
/data/media/####/timeline.png
/data/media/####/title_invited_reward.png
/data/media/####/title_ranking.png
/data/media/####/title_withdraw.png
/data/media/####/topic-banner.png
/data/media/####/topic-like-select.png
/data/media/####/topic-like-unselect.png
/data/media/####/userlogo.png
/data/media/####/visitfriend.png
/data/media/####/weibo.png
/data/media/####/weixin-code.jpg
/data/media/####/weixin.png
/data/media/####/withdraw_arrow.png
/data/media/####/withdraw_bg.png

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
cat /proc/cpuinfo | grep Serial
chmod 444 /storage/emulated/0/.fraudmetrixid
chmod 444 /storage<SD-Card>0/.fraudmetrixid
chmod 755 <Package Folder>/.jiagu/libjiagu975856408.so
getprop
getprop dalvik.vm.heapgrowthlimit
getprop dalvik.vm.heapsize
getprop dalvik.vm.heapstartsize
getprop net.dns1
getprop ro.build.characteristics
ls -l /system/bin/su
ls -l /system/xbin/su

Загружает динамические библиотеки:

Bugly
FaceSDK
MtaNativeCrash
getuiext2
idl_license
libfb
libgifimage
libimagepipeline
libjiagu975856408
libreactnativejni
libyoga
ocr-sdk
weibosdkcore

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS5Padding
AES-ECB-NoPadding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-NoPadding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации о настроках APN.

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней