Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Plague.1.origin
Предлагает установить сторонние приложения.
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.0) th.pen####.com:80
- TCP(HTTP/1.1) ji####.jieme####.com:8152
- TCP(HTTP/1.1) pa.angs####.com:8003
- TCP(HTTP/1.1) v####.api.eeric####.com:80
- TCP(HTTP/1.1) f-12521####.f####.myqc####.com:80
- TCP(HTTP/1.1) i####.api.zhifa####.net:10001
- TCP(HTTP/1.1) e.angs####.com:6284
- TCP(HTTP/1.1) p1.i####.cc:80
- TCP(HTTP/1.1) 1####.100.207.231:80
- TCP(HTTP/1.1) 2####.73.211.68:5292
- TCP(HTTP/1.1) d.angs####.com:5284
- TCP(HTTP/1.1) api.y####.com:8080
- TCP(HTTP/1.1) q####.a####.com:80
- TCP(HTTP/1.1) adf####.b0.a####.com:80
Запросы DNS:
- a####.angs####.com
- api.y####.com
- c####.api.zhifa####.net
- d.angs####.com
- e.angs####.com
- f-12521####.f####.myqc####.com
- i####.api.zhifa####.net
- i####.api.zhifa####.net
- ji####.dl####.com
- ji####.jieme####.com
- p1.i####.cc
- pa.angs####.com
- pv.s####.com
- s.pen####.com
- th.pen####.com
- th1.pen####.com
- th2.pen####.com
- v####.api.eeric####.com
Запросы HTTP GET:
- adf####.b0.a####.com/1492487703964.png
- adf####.b0.a####.com/1496386056993.png
- adf####.b0.a####.com/1496386062675.jpg
- adf####.b0.a####.com/1501667756496.png
- adf####.b0.a####.com/1501668177364.png
- adf####.b0.a####.com/1501668178810.jpg
- adf####.b0.a####.com/1511247852630.png
- adf####.b0.a####.com/1517995636965.png
- adf####.b0.a####.com/1517995638108.jpg
- adf####.b0.a####.com/1521795484983.png
- adf####.b0.a####.com/1524728970953.png
- adf####.b0.a####.com/1526032856632.png
- adf####.b0.a####.com/1526035135246.jpg
- adf####.b0.a####.com/1528274187604.apk
- adf####.b0.a####.com/1529999465336.apk
- adf####.b0.a####.com/1530778983807.apk
- adf####.b0.a####.com/1531119146125.png
- api.y####.com:8080/sdk/mobile-area?model=####&cellid=####&osbuild=####&i...
- f-12521####.f####.myqc####.com/1525935942398.png
- f-12521####.f####.myqc####.com/1525935942929.apk
- f-12521####.f####.myqc####.com/1526021328365.png
- f-12521####.f####.myqc####.com/1529649253670.apk
- f-12521####.f####.myqc####.com/1529658013926.png
- f-12521####.f####.myqc####.com/1530760600821.apk
- q####.a####.com/jieplginf/wchenhddats23
Запросы HTTP POST:
- d.angs####.com:5284/android.frontserver/pcsvc
- e.angs####.com:6284/android.frontserver/pcsvc?r=####
- i####.api.zhifa####.net:10001/v2/sdk/init?app_id=####&t=####
- ji####.jieme####.com:8152/ryf_webserver/payment/checkupdate.html
- p1.i####.cc/index.php/MC/HB
- p1.i####.cc/index.php/MC/UPM
- pa.angs####.com:8003/pps
- th.pen####.com/a
- th.pen####.com/b
- v####.api.eeric####.com/api/payment/mobileInit.html
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/1B3A2967E5FD862EFD957606C65C8122
- /data/data/####/30592A6B8B0C769E3F7FDE6E1A033DF5
- /data/data/####/347781996620052-journal
- /data/data/####/F85C58A2196623557E8A00D8A4680702
- /data/data/####/ads2085299585.jar
- /data/data/####/app_vfqxdclasses.jar
- /data/data/####/com.qho.qbh.com.sdk.a.a_mseg.db
- /data/data/####/com.qho.qbh.com.sdk.a.a_mseg.db-journal
- /data/data/####/com.qho.qbh.xml
- /data/data/####/com.qho.qbh.xml.bak
- /data/data/####/com.qho.qbh_preferences.xml
- /data/data/####/com_android_command_nn_v.xml
- /data/data/####/config50151.xml
- /data/data/####/dbnxf-journal
- /data/data/####/jiepay_config.xml
- /data/data/####/jiepayplugin.apk
- /data/data/####/jiepayplugin.apkdata
- /data/data/####/jiepaysmspay.db
- /data/data/####/jiepaysmspay.db-journal
- /data/data/####/kb_idle.ini
- /data/data/####/kb_sn.ini
- /data/data/####/kv_cf.ini
- /data/data/####/libjiagu1925864940.so
- /data/data/####/nn.jaru
- /data/data/####/nn_app.xml
- /data/data/####/pay
- /data/data/####/pay.jar
- /data/data/####/shunpay_config
- /data/data/####/sms_db
- /data/data/####/sms_db-journal
- /data/data/####/t2w5e0w092z6e6h9c9o1k8p7b7g433.xml
- /data/data/####/webview.db-journal
- /data/data/####/ydn
- /data/data/####/yf.apk
- /data/data/####/{6109AB2B-769CFABF}_{A13ACBD4-B9D6D0C7}.P2
- /data/data/####/{A13ACBD4-B9D6D0C7}.P1
- /data/data/####/{A13ACBD4-B9D6D0C7}.P3
- /data/data/####/{BE2355DB-D785E335}.PC1
- /data/media/####/1492487703964.png.dat
- /data/media/####/1496386056993.png.dat
- /data/media/####/1496386062675.jpg.dat
- /data/media/####/1501667756496.png.dat
- /data/media/####/1501668177364.png.dat
- /data/media/####/1501668178810.jpg.dat
- /data/media/####/1511247852630.png.dat
- /data/media/####/1517995636965.png.dat
- /data/media/####/1517995638108.jpg.dat
- /data/media/####/1521795484983.png.dat
- /data/media/####/1524728970953.png.dat
- /data/media/####/1525935942398.png.dat
- /data/media/####/1525935942929.apk.dat
- /data/media/####/1526021328365.png.dat
- /data/media/####/1526032856632.png.dat
- /data/media/####/1526035135246.jpg.dat
- /data/media/####/1528274187604.apk.dat
- /data/media/####/1529649253670.apk.dat
- /data/media/####/1529658013926.png.dat
- /data/media/####/1529999465336.apk.dat
- /data/media/####/1530778983807.apk.dat
- /data/media/####/1531119146125.png.dat
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- cat /proc/cpuinfo
- cat /sys/block/mmcblk0/device/cid
- chmod 755 /data/data/com.qho.qbh/.jiagu/libjiagu1925864940.so
- chmod 777 /storage/emulated/0/download/apk/1528274187604.apk.dat
- chmod 777 /storage/emulated/0/download/apk/1529999465336.apk.dat
- chmod 777 /storage/emulated/0/download/apk/1530778983807.apk.dat
Загружает динамические библиотеки:
- cocos2dcpp
- davb
Использует следующие алгоритмы для шифрования данных:
- DES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
