Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Xiny.20
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) www.in####.cn:80
- TCP(HTTP/1.1) oth.eve.mdt.####.com:8080
- TCP(HTTP/1.1) img.cool####.cn.####.com:80
- TCP(HTTP/1.1) oth.up####.mdt.####.com:8080
- TCP(HTTP/1.1) p####.tc.qq.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) o####.b####.cn.####.com:80
- TCP(HTTP/1.1) wapb####.b####.com:80
- TCP(HTTP/1.1) s####.e.qq.com:80
- TCP(HTTP/1.1) oth.str.mdt.####.com:8080
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) bmob-cd####.b0.upa####.com:80
- TCP(HTTP/1.1) a####.b####.qq.com:8011
- TCP(HTTP/1.1) mi.g####.qq.com:80
- TCP(HTTP/1.1) j####.l####.58.com:80
- TCP(HTTP/1.1) 5271####.cdn.uc####.####.cn:80
Запросы DNS:
- a####.b####.qq.com
- and####.b####.qq.com
- bmob-cd####.b0.upa####.com
- img.cool####.cn
- imgc####.qq.com
- j####.l####.58.com
- loc.map.b####.com
- mi.g####.qq.com
- o####.b####.cn
- oth.eve.mdt.####.com
- oth.str.mdt.####.com
- oth.up####.mdt.####.com
- s####.e.qq.com
- t.si####.net
- wapb####.b####.com
- wth####.et####.cn
- www.in####.cn
Запросы HTTP GET:
- 5271####.cdn.uc####.####.cn/WeatherApi?citykey=####
- bmob-cd####.b0.upa####.com/2016/08/30/400763f2401262f98076b07b9306be64.png
- bmob-cd####.b0.upa####.com/2016/08/30/a3e52a6540640a8a803fa09eb5348ad5.png
- bmob-cd####.b0.upa####.com/2016/09/20/2ce568824022879280912e402211f48f.png
- bmob-cd####.b0.upa####.com/2016/09/20/81171c0740a624b2806211467dd5e4ed.png
- bmob-cd####.b0.upa####.com/2016/09/22/820f1db7406d0391800dc8b95a256fce.png
- bmob-cd####.b0.upa####.com/2017/04/07/6ed6906c40a445f780796b03f6a41615.png
- img.cool####.cn.####.com/201801/8c28-ea9e37366bab.jar
- j####.l####.58.com/i/LmlPfiia1luDubj
- mi.g####.qq.com/gdt_mview.fcg?posw=####&posh=####&count=####&r=####&data...
- p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
- wapb####.b####.com/item/紫外线指数/2044758?adapt=####&fr=####
Запросы HTTP POST:
- a####.b####.qq.com:8011/rqd/async
- and####.b####.qq.com/rqd/async
- loc.map.b####.com/offline_loc
- loc.map.b####.com/sdk.php
- o####.b####.cn.####.com/8/find
- o####.b####.cn.####.com/8/init
- o####.b####.cn.####.com/8/secret
- oth.eve.mdt.####.com:8080/analytics/upload?rid=####&sid=####
- oth.str.mdt.####.com:8080/analytics/upload
- oth.str.mdt.####.com:8080/analytics/upload?sid=####
- oth.up####.mdt.####.com:8080/beacon/vercheck
- s####.e.qq.com/activate
- s####.e.qq.com/msg
- www.in####.cn/n
- www.in####.cn/t1?requestId=####&g=####&ua=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/Beacon_sig_1.lock
- /data/data/####/DENGTA_META.xml
- /data/data/####/DENGTA_META.xml.bak
- /data/data/####/GDTSDK.db
- /data/data/####/GDTSDK.db-journal
- /data/data/####/JPushSA_Config.xml
- /data/data/####/W_Key.xml
- /data/data/####/beacon_db-journal
- /data/data/####/beacontsa_cover.xml
- /data/data/####/beacontsa_cover_check.lock
- /data/data/####/bmob_sp.xml
- /data/data/####/bugly_db_-journal
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/cn.jpush.android.user.profile.xml
- /data/data/####/cn.jpush.preferences.v2.xml
- /data/data/####/com.shfor.tianqi.yubao.best.settings
- /data/data/####/com.shfor.tianqi.yubao.best_preferences.xml
- /data/data/####/com.shfor.tianqi.yubao.best_preferences.xml.bak
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/devCloudSetting.cfg
- /data/data/####/devCloudSetting.sig
- /data/data/####/downloadswc
- /data/data/####/downloadswc-journal
- /data/data/####/firll.dat
- /data/data/####/gdt_plugin.jar
- /data/data/####/gdt_plugin.jar.sig
- /data/data/####/gdt_plugin.tmp
- /data/data/####/gdt_plugin.tmp.sig
- /data/data/####/gdt_suid
- /data/data/####/index
- /data/data/####/journal.tmp
- /data/data/####/jpush_stat_cache.json
- /data/data/####/local_crash_lock
- /data/data/####/mobclick_agent_cached_com.shfor.tianqi.yubao.be...121515
- /data/data/####/ofl.config
- /data/data/####/ofl_location.db
- /data/data/####/ofl_location.db-journal
- /data/data/####/ofl_statistics.db
- /data/data/####/ofl_statistics.db-journal
- /data/data/####/sdkCloudSetting.cfg
- /data/data/####/sdkCloudSetting.sig
- /data/data/####/security_info
- /data/data/####/st.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/update_lc
- /data/data/####/weac.db-journal
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/z.so
- /data/data/####/z.xml
- /data/media/####/.cuid
- /data/media/####/10.08c28-ea9e37366bab.jar
- /data/media/####/conlts.dat
- /data/media/####/ller.dat
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/meta.dat
- /data/media/####/restime.dat
- /data/media/####/test.0
- /data/media/####/yoh.dat
- /data/media/####/yol.dat
- /data/media/####/yom.dat
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c type su
- <Package Folder>/app_bin/daemon -p <Package> -s com.youba.WeatherForecast.service.DaemonService -t 60
- getprop ro.board.platform
- getprop ro.build.fingerprint
Загружает динамические библиотеки:
- Bugly
- jpush220
- locSDK6a
- z
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS7Padding
- AES-GCM-NoPadding
- DES
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS7Padding
- AES-GCM-NoPadding
- DES
- RSA-ECB-PKCS1Padding
Осуществляет доступ к интерфейсу камеры.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
