Android.DownLoader.3601

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.SmsSpy.677.origin

Загружает из Интернета следующие детектируемые угрозы:

Android.SmsSpy.677.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) sdk.qi1####.com:80
TCP(HTTP/1.1) prelo####.hishen####.com.####.com:80
TCP(HTTP/1.1) q####.qi1####.com:14302
TCP(HTTP/1.1) pg.x####.com:80
TCP(HTTP/1.1) preload####.hishen####.com:5500
TCP(HTTP/1.1) i####.cn.com:80
TCP(HTTP/1.1) qyc####.qi1####.com:8200
TCP(HTTP/1.1) wd3.mil####.com:8000
TCP(HTTP/1.1) q####.qi1####.com:15302
TCP(HTTP/1.1) zxc####.wann####.com:8200
TCP(HTTP/1.1) z####.wann####.com:9500
TCP(HTTP/1.1) hangzho####.oss-cn-####.aliy####.com:80
TCP(HTTP/1.1) a.appj####.com:80
TCP(HTTP/1.1) z####.wann####.com:9600
TCP(TLS/1.0) gv1.x####.com:443

Запросы DNS:

a####.u####.com
a.appj####.com
gv1.x####.com
hangzho####.oss-cn-####.aliy####.com
i####.cn.com
pg.x####.com
prelo####.hishen####.com
preload####.hishen####.com
q####.qi1####.com
qyc####.qi1####.com
sdk.qi1####.com
vb####.wann####.com
wd3.mil####.com
z####.wann####.com
zxc####.wann####.com

Запросы HTTP GET:

hangzho####.oss-cn-####.aliy####.com/qiyi/client/sdk/so/libzxvps.so
i####.cn.com/a/3c1e0985093cceca4f16f5f8da551f103
prelo####.hishen####.com.####.com/project_preloaded/36dd4e9586a7461ab707...
prelo####.hishen####.com.####.com/project_preloaded/4523216e517e493ea5e9...
prelo####.hishen####.com.####.com/project_preloaded/4cb6e199a3c546b29bd5...
prelo####.hishen####.com.####.com/project_preloaded/776b0e2167ca4c7bb371...
prelo####.hishen####.com.####.com/project_preloaded/960deb337af7403bb79d...
prelo####.hishen####.com.####.com/project_preloaded/a985ab07237b49fdac8d...
prelo####.hishen####.com.####.com/project_preloaded/b0a7a2a12f4f49168816...
prelo####.hishen####.com.####.com/project_preloaded/d02a03d1db954f63905c...
prelo####.hishen####.com.####.com/project_preloaded/ed1f165d5daf4105a0a7...
qyc####.qi1####.com:8200/sdk/file?kynAUD+####
sdk.qi1####.com/qiyi/client/sdk/PaySDK-1.2.13.22-UR_yx.jar
sdk.qi1####.com/vpssdk/andrcool_1.0.1.jar

Запросы HTTP POST:

a####.u####.com/app_logs
a.appj####.com/ad-service/ad/mark
a.appj####.com/jiagu/check/upgrade
pg.x####.com/api/q/a/3c1e0985093cceca4f16f5f8da551f103
pg.x####.com/api/statis/3c1e0985093cceca4f16f5f8da551f103/game-BA79CD5E3...
preload####.hishen####.com:5500/api-log-server/userDeviceInfo/saveDevice
preload####.hishen####.com:5500/api-log-server/userDeviceInfo/saveFile
q####.qi1####.com:14302/sdk_login?t=####
q####.qi1####.com:15302/sdk_login?t=####
qyc####.qi1####.com:8200/sdk/log
wd3.mil####.com:8000/bservice/getdata.do
z####.wann####.com:9500/
z####.wann####.com:9600/
zxc####.wann####.com:8200/qy/acceptSdkFileReq
zxc####.wann####.com:8200/qy/getOnlineLoginHttpReq

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/01fengmian.csb
/data/data/####/15.png
/data/data/####/250026699187743|account_file.xml
/data/data/####/4xue.png
/data/data/####/6xue.png
/data/data/####/8xue.png
/data/data/####/Alvin2.xml
/data/data/####/Archer01.ExportJson
/data/data/####/Archer01.csb
/data/data/####/Archer010.plist
/data/data/####/Archer010.png
/data/data/####/Archer02.ExportJson
/data/data/####/Archer02.csb
/data/data/####/Archer020.plist
/data/data/####/Archer020.png
/data/data/####/Archer03.ExportJson
/data/data/####/Archer03.csb
/data/data/####/Archer030.plist
/data/data/####/Archer030.png
/data/data/####/Archer04.ExportJson
/data/data/####/Archer04.csb
/data/data/####/Archer040.plist
/data/data/####/Archer040.png
/data/data/####/Archer05.ExportJson
/data/data/####/Archer05.csb
/data/data/####/Archer050.plist
/data/data/####/Archer050.png
/data/data/####/Aren.png
/data/data/####/Bren.png
/data/data/####/BulletData.json
/data/data/####/Button_Disable.png
/data/data/####/Button_Press.png
/data/data/####/ContextData.xml
/data/data/####/Cren.png
/data/data/####/Dren.png
/data/data/####/FigureData.json
/data/data/####/HELP.png
/data/data/####/MainScene.csb
/data/data/####/PaySDK-1.2.13.22-UR_yx.dex
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TextAtlas.png
/data/data/####/UpgradeData.json
/data/data/####/VpsSdk.jar
/data/data/####/__gather_impl-32555751599243914364.jar
/data/data/####/__gather_impl.jar
/data/data/####/a.db
/data/data/####/a.db-journal
/data/data/####/andrcool.jar
/data/data/####/anniu_1.mp3
/data/data/####/archer01_018.png
/data/data/####/archer01_019.png
/data/data/####/archer01_020.png
/data/data/####/archer01_022.png
/data/data/####/arrow.png
/data/data/####/baidu
/data/data/####/bangzhu.csb
/data/data/####/beijing.png
/data/data/####/bgm.mp3
/data/data/####/bianda.png
/data/data/####/bianshen.png
/data/data/####/cache67124687099243476304
/data/data/####/cache96925350499243744267
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/ch111g_kefu1.png
/data/data/####/chacha.png
/data/data/####/chg_kefu1.png
/data/data/####/chuanqiang_2.mp3
/data/data/####/chuanqiangde.png
/data/data/####/chuanqiangtexiaok.plist
/data/data/####/com.ifj.aib.oc_preferences.xml
/data/data/####/cover_kefu1.png
/data/data/####/dafeibiao.png
/data/data/####/dafeibiao_3.mp3
/data/data/####/device_info.xml
/data/data/####/dici.png
/data/data/####/didi.png
/data/data/####/effect.ExportJson
/data/data/####/effect.csb
/data/data/####/effect0.plist
/data/data/####/effect0.png
/data/data/####/emo.png
/data/data/####/ershiyuan.png
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/fangkuai.png
/data/data/####/fazhang.png
/data/data/####/feibiao.png
/data/data/####/fingerAnimation.ExportJson
/data/data/####/fingerAnimation.csb
/data/data/####/fingerAnimation0.plist
/data/data/####/fingerAnimation0.png
/data/data/####/floor.png
/data/data/####/game.csb
/data/data/####/gangling.png
/data/data/####/gangling_4.mp3
/data/data/####/getprop
/data/data/####/gongjian.png
/data/data/####/gongjian.tmx
/data/data/####/gongjian_5.mp3
/data/data/####/gongjian_51.mp3
/data/data/####/gou1.png
/data/data/####/guanbi.png
/data/data/####/haitanboy.png
/data/data/####/houjia.png
/data/data/####/huoqiu_6.mp3
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/jiguang_7.mp3
/data/data/####/jiguang_71.mp3
/data/data/####/jiguangqiang.png
/data/data/####/jindu.png
/data/data/####/jindudi.png
/data/data/####/jingyan.png
/data/data/####/jingyan1_5.png
/data/data/####/kaishi.png
/data/data/####/lianxugongji.png
/data/data/####/libao1.csb
/data/data/####/libao1.png
/data/data/####/libao2.csb
/data/data/####/libao2.png
/data/data/####/libao3.csb
/data/data/####/libao4.csb
/data/data/####/libao5.csb
/data/data/####/libao6.csb
/data/data/####/libao7.csb
/data/data/####/libao8.csb
/data/data/####/libaotu_01.png
/data/data/####/libaotu_02.png
/data/data/####/libaotu_03.png
/data/data/####/libaotu_04.png
/data/data/####/libaotu_05.png
/data/data/####/libaotu_06.png
/data/data/####/libaotu_07.png
/data/data/####/libaotu_09.png
/data/data/####/libaotu_10.png
/data/data/####/libaotu_11.png
/data/data/####/libgather.xml
/data/data/####/libjiagu.so
/data/data/####/libzxsessionsafe.so
/data/data/####/libzxvps_32_.so
/data/data/####/libzxvps_64_.so
/data/data/####/lizi_21.plist
/data/data/####/lizi_24.plist
/data/data/####/lizi_9.plist
/data/data/####/loding.png
/data/data/####/luoli.png
/data/data/####/lv1.png
/data/data/####/mingzi_1.png
/data/data/####/mmm.png
/data/data/####/mngzi.png
/data/data/####/music_2.png
/data/data/####/paihang_5.png
/data/data/####/paihang_jin.png
/data/data/####/paihang_tong.png
/data/data/####/paihang_yin.png
/data/data/####/paihangshezhi.png
/data/data/####/pid
/data/data/####/plist01.plist
/data/data/####/plist01.png
/data/data/####/plushp.png
/data/data/####/pref_file.xml
/data/data/####/qian_1.png
/data/data/####/qian_2.png
/data/data/####/qian_3.png
/data/data/####/qian_4.png
/data/data/####/qian_5.png
/data/data/####/qian_zong.png
/data/data/####/qianjia.png
/data/data/####/qiehuan.png
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/qy_db_pay
/data/data/####/qy_db_pay-journal
/data/data/####/qy_device_info_sdk_update.jar
/data/data/####/renzhe1.png
/data/data/####/renzhe2.png
/data/data/####/report.jar
/data/data/####/report_control.xml
/data/data/####/run_move_panel.png
/data/data/####/run_move_point.png
/data/data/####/shangdi.png
/data/data/####/shangdi1.png
/data/data/####/shangdian.csb
/data/data/####/shengli.csb
/data/data/####/shengli_10.png
/data/data/####/shengli_13.png
/data/data/####/shengli_14.png
/data/data/####/shengli_15.png
/data/data/####/shengli_16.png
/data/data/####/shengli_19.png
/data/data/####/shengli_2.png
/data/data/####/shengli_20.png
/data/data/####/shengli_21.png
/data/data/####/shengli_22.png
/data/data/####/shengli_23.png
/data/data/####/shengli_24.png
/data/data/####/shengli_25.png
/data/data/####/shengli_26.png
/data/data/####/shengli_27.png
/data/data/####/shengli_28.png
/data/data/####/shengli_29.png
/data/data/####/shengli_30.png
/data/data/####/shengli_31.png
/data/data/####/shengli_32.png
/data/data/####/shengli_33.png
/data/data/####/shengli_34.png
/data/data/####/shengli_35.png
/data/data/####/shengli_36.png
/data/data/####/shengli_37.png
/data/data/####/shengli_38.png
/data/data/####/shengli_4.png
/data/data/####/shengli_5.png
/data/data/####/shengli_7.png
/data/data/####/shengli_8.png
/data/data/####/shengli_9.png
/data/data/####/shezhi.png
/data/data/####/shijian_1.png
/data/data/####/shijian_2.png
/data/data/####/shiliuyuan.png
/data/data/####/shiyuan.png
/data/data/####/shop.png
/data/data/####/shoushang_8.mp3
/data/data/####/shuzi3.png
/data/data/####/sousuo.png
/data/data/####/splayer_name.png
/data/data/####/talkingdata_app.db
/data/data/####/talkingdata_app.db-journal
/data/data/####/talkingdata_app_process_preferences_file
/data/data/####/talkingdata_app_version_preferences_file
/data/data/####/td_database_push
/data/data/####/td_pefercen_profile.xml
/data/data/####/tdandroidgame
/data/data/####/tdid.xml
/data/data/####/tmp_jar
/data/data/####/tmp_so
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml.bak
/data/data/####/umeng_it.cache
/data/data/####/unknown.xml
/data/data/####/video_ad_sdk_update.jar
/data/data/####/video_brush_test_update.jar
/data/data/####/wCross0.png
/data/data/####/wCross1.png
/data/data/####/wEndlong0.png
/data/data/####/wEndlong1.png
/data/data/####/wEndlong3.png
/data/data/####/web_page_sdk_update.jar
/data/data/####/webview.db-journal
/data/data/####/wuxianhuoli.png
/data/data/####/xiala.png
/data/data/####/xiaofeibiao_9.mp3
/data/data/####/xiaofeibiao_90.mp3
/data/data/####/xiaoguo.ExportJson
/data/data/####/xiaoguo.csb
/data/data/####/xiaoguo0.plist
/data/data/####/xiaoguo0.png
/data/data/####/xuanzhuangong.png
/data/data/####/xue.png
/data/data/####/xuebar.png
/data/data/####/yaogan.png
/data/data/####/yaogan2.png
/data/data/####/yinying2.png
/data/data/####/youxishibai.csb
/data/data/####/yxsousuo.png
/data/data/####/zanting.csb
/data/data/####/zidantexiao.ExportJson
/data/data/####/zidantexiao.csb
/data/data/####/zidantexiao0.plist
/data/data/####/zidantexiao0.png
/data/data/####/ziliao.csb
/data/data/####/ziliao.png
/data/data/####/zouluyan.plist
/data/media/####/.cfg
/data/media/####/.tcookieid
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/device

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
app_process /system/bin com.android.commands.am.Am startservice --user 0 -n <Package>/com.google.android.gms.analytics.CampaignTrackingService
cat /sys/block/mmcblk0/device/cid
cat /sys/class/android_usb/android0/iManufacturer
cat /sys/class/android_usb/android0/iProduct
cat /sys/class/android_usb/android0/iSerial
cat /sys/class/android_usb/android0/idProduct
cat /sys/class/android_usb/android0/idVendor
chmod 755 <Package Folder>/.jiagu/libjiagu.so
chmod 777 <Package Folder>/lib/helper
dd if=<Package Folder>/lib/libhelper.so of=<Package Folder>/lib/helper
df
getprop
ls -l /system/bin/su
ps | grep <Package>
sh

Загружает динамические библиотеки:

game
libgame
libhelper
libjiagu
libsmsmanager
libzxsessionsafe
libzxvps

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
DES-ECB-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
DES-ECB-NoPadding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к интерфейсу камеры.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Парсит информацию из смс сообщений.

Осуществляет доступ к информации об отправленых/принятых смс.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней