Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Xiny.20
Загружает из Интернета следующие детектируемые угрозы:
- Android.Xiny.20
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) t####.qq.com:14000
- TCP(HTTP/1.1) img.cool####.cn:80
- TCP(HTTP/1.1) ei.ni.enjoyfi####.cn:80
- TCP(HTTP/1.1) img.52####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) api.52####.com:80
- TCP(HTTP/1.1) cd.kw####.com:80
- TCP(HTTP/1.1) pi####.qq.com:80
- TCP(HTTP/1.1) 1####.254.116.117:80
- TCP(TLS/1.0) aliyuno####.oss-cn-####.aliy####.com:443
- TCP t####.qq.com:14000
Запросы DNS:
- a####.u####.com
- aliyuno####.oss-cn-####.aliy####.com
- and####.b####.qq.com
- api.52####.com
- cd.kw####.com
- ei.ni.enjoyfi####.cn
- img.52####.com
- img.cool####.cn
- pi####.qq.com
- t####.qq.com
Запросы HTTP GET:
- api.52####.com/constellation/Article/articleDetail?article_id=####
- api.52####.com/constellation/css/css.css
- api.52####.com/constellation/detail.html?aid=####
- api.52####.com/constellation/js/detail.js
- api.52####.com/constellation/js/jquery-1.10.2.min.js
- img.52####.com/constellation/2018/06/06122515ybIbg.jpg
- img.52####.com/constellation/2018/06/08094557AitLi.png
- img.52####.com/constellation/2018/06/08094754cQ1Gr.jpg
- img.52####.com/constellation/2018/06/11114722GRPii.jpg
- img.52####.com/constellation/2018/06/11114832eZGxH.jpg
- img.52####.com/constellation/2018/06/111149580wf7d.jpg
- img.52####.com/constellation/2018/06/121411230T2w2.png
- img.52####.com/constellation/2018/06/12141533DQPUK.jpg
- img.52####.com/constellation/2018/06/12141645OxX7o.jpg
- img.52####.com/constellation/2018/06/13112920p9M3K.jpg
- img.52####.com/constellation/2018/06/13113044sCX5Q.jpg
- img.52####.com/constellation/2018/06/131142356s7uu.jpg
- img.52####.com/constellation/2018/06/14115429jtWOK.jpg
- img.52####.com/constellation/2018/06/14115721W6pBQ.jpg
- img.52####.com/constellation/2018/06/14115831n32by.jpeg
- img.52####.com/constellation/2018/06/15122445977Np.jpg
- img.52####.com/constellation/2018/06/151227296Jvqc.jpg
- img.52####.com/constellation/2018/06/15140511bdFai.jpg
- img.52####.com/constellation/2018/06/19162119r8X8j.jpg
- img.52####.com/constellation/2018/06/19162336kN1Oa.jpg
- img.52####.com/constellation/2018/06/19162622AQCg6.jpg
- img.52####.com/constellation/2018/06/20102652Y4fJh.jpeg
- img.52####.com/constellation/2018/06/20102828BdLUz.jpg
- img.52####.com/constellation/2018/06/2010305609UkR.jpg
- img.52####.com/constellation/article/20180509060012nloh.jpg
- img.52####.com/constellation/article/20180516060010s3R9.jpg
- img.52####.com/constellation/article/20180605060016UeY6.jpg
- img.52####.com/constellation/article/20180605060017Fj1W.jpg
- img.52####.com/constellation/article/20180605060019CBzh.jpg
- img.52####.com/constellation/article/20180607060002W8PD.jpg
- img.52####.com/constellation/article/20180607060003BgXQ.jpg
- img.52####.com/ueditor/2018/0620/26831529461816.jpg
- img.52####.com/ueditor/2018/0620/4111529461816.jpg
- img.52####.com/ueditor/2018/0620/73621529461816.jpg
- img.cool####.cn/201806/dfe.jar
Запросы HTTP POST:
- a####.u####.com/app_logs
- and####.b####.qq.com/rqd/async?aid=####
- api.52####.com/common/Index/start_app
- api.52####.com/common/User/init
- api.52####.com/constellation/Article/articleList
- api.52####.com/constellation/fortune/getFortune
- cd.kw####.com/c
- cd.kw####.com/d?requestId=####&g=####
- ei.ni.enjoyfi####.cn/l/lgq/h24
- pi####.qq.com/mstat/report/?index=####
- t####.qq.com:14000/203.205.146.122:14000/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.tpns.service.xml.xml
- /data/data/####/.tpush_mta.xml
- /data/data/####/1004
- /data/data/####/1134082897-1919428261
- /data/data/####/1134082897-64591746
- /data/data/####/1134082897-776405415
- /data/data/####/1134082897-899370226
- /data/data/####/11340828971142272940
- /data/data/####/11340828971889999746
- /data/data/####/1134082897316546500
- /data/data/####/1368776350-1611810588
- /data/data/####/1368776350-992816817
- /data/data/####/1845269390-1251495586
- /data/data/####/1845269390-1577570005
- /data/data/####/1845269390-1649525589
- /data/data/####/1845269390-1789265279
- /data/data/####/1845269390-1939910063
- /data/data/####/1845269390-2091661104
- /data/data/####/1845269390-223106894
- /data/data/####/1845269390-399592983
- /data/data/####/1845269390-416655117
- /data/data/####/1845269390-855239515
- /data/data/####/1845269390-89645459
- /data/data/####/1845269390132329894
- /data/data/####/1845269390148929597
- /data/data/####/18452693901657877322
- /data/data/####/18452693901687409210
- /data/data/####/18452693901755771188
- /data/data/####/18452693901883939263
- /data/data/####/18452693902098908255
- /data/data/####/1845269390260354566
- /data/data/####/184526939050565358
- /data/data/####/1845269390767238403
- /data/data/####/1845269390788454350
- /data/data/####/W_Key.xml
- /data/data/####/aHZj1Tl.png
- /data/data/####/bugly_db_-journal
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.smapp.jdxz_preferences.xml
- /data/data/####/constellation.xml
- /data/data/####/crashrecord.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/device_id.xml
- /data/data/####/device_info.xml
- /data/data/####/downloadswc
- /data/data/####/downloadswc-journal
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/index
- /data/data/####/local_crash_lock
- /data/data/####/security_info
- /data/data/####/st.xml
- /data/data/####/tpush.shareprefs.xml
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.mid.txt
- /data/media/####/5.1dfe.jar.u
- /data/media/####/restime.dat
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop
- /system/bin/sh -c type su
- <Package Folder>/lib/libxguardian.so <Package>,2100264574; 55581 203.205.128.130 [{ idx :0, ts :%d, et :2000, si :0, ui : <IMEI> , ky : Axg%lu , mid : 0 , ev :{ ov : 18 , sr : 600*752 , md : <System Property> , lg : en , sv : 3.1 , mf : unknown , apn : %s }}] 0 18
- getprop
- getprop ro.miui.ui.version.name
Загружает динамические библиотеки:
- Bugly
- tpnsSecurity
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-CFB8-NoPadding
- AES-GCM-NoPadding
- DES
- RSA-ECB-PKCS1PADDING
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CFB8-NoPadding
- AES-ECB-PKCS5Padding
- AES-GCM-NoPadding
- DES
- DES-ECB-PKCS5Padding
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
