Android.RemoteCode.589

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.RemoteCode.127.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) up####.sdk.jig####.cn:80
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(HTTP/1.1) psrec####.oss-cn-####.aliy####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) beacon####.aliy####.com:80
TCP(TLS/1.0) hs.cb####.com:443
TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
TCP(TLS/1.0) api.s####.com:443
TCP(TLS/1.0) w####.xhg.com:443
TCP(TLS/1.0) hs-pa####.b0.a####.com:443
TCP(TLS/1.0) s####.j####.cn:443
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) ada####.ut.ta####.com:443
TCP(TLS/1.0) sc.x####.com:4006
TCP(TLS/1.0) sh.wagbr####.ta####.com:443
TCP(TLS/1.0) et2.wagbr####.g####.com:443
TCP 1####.202.138.15:7002
UDP s.j####.cn:19000

Запросы DNS:

a####.man.aliy####.com
ada####.ut.ta####.com
adas####.ut.ta####.com
and####.b####.qq.com
api.s####.com
beacon####.aliy####.com
hs-pa####.s####.com
hs.cb####.com
log.u####.com
mt####.go####.com
plb####.u####.com
psrec####.oss-cn-####.aliy####.com
res####.a####.com
s####.j####.cn
s.j####.cn
sc.x####.com
u####.u####.com
up####.sdk.jig####.cn
w####.xhg.com
we####.a####.com

Запросы HTTP GET:

psrec####.oss-cn-####.aliy####.com/recycle/idcard/20180619/787D5AA0741BD...
psrec####.oss-cn-####.aliy####.com/recycle/idcard/20180628/0F31B9B362359...
psrec####.oss-cn-####.aliy####.com/recycle/idcard/20180704/3DFE590B68FD0...
psrec####.oss-cn-####.aliy####.com/recycle/idcard/20180704/91DCB67A4C12B...
psrec####.oss-cn-####.aliy####.com/recycle/idcard/20180704/A9EF1636320EA...
psrec####.oss-cn-####.aliy####.com/recycle/idcard/20180705/04AC5E0DC6005...
psrec####.oss-cn-####.aliy####.com/recycle/idcard/20180705/98311B2797FD2...
psrec####.oss-cn-####.aliy####.com/recycle/idcard/20180713/24EB91582B8F3...
psrec####.oss-cn-####.aliy####.com/recycle/idcard/20180713/4D6963F17B99C...
psrec####.oss-cn-####.aliy####.com/recycle/idcard/20180713/51F993A64CC30...
psrec####.oss-cn-####.aliy####.com/recycle/idcard/20180713/5883356F6A4CE...
psrec####.oss-cn-####.aliy####.com/recycle/idcard/20180713/AE04EDFB187D8...
psrec####.oss-cn-####.aliy####.com/recycle/idcard/20180719/E012935087D71...

Запросы HTTP POST:

and####.b####.qq.com/rqd/async?aid=####
beacon####.aliy####.com/beacon/fetch/config/byappkey
sh.wagbr####.aliyun####.com/man/api?ak=####&s=####
up####.sdk.jig####.cn/v1/push/sdk/postlist

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/1002
/data/data/####/1004
/data/data/####/1d2b904cbeadfb72ed9546111a231c85.0
/data/data/####/24c110e1f76093b35c3c2df1927aab79.0
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/JPushSA_Config.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/UTCommon.xml
/data/data/####/ap.Lock
/data/data/####/appPackageNames_v2
/data/data/####/bugly_db_-journal
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.preferences.v2.rid.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/com.ps.recycling2c-journal
/data/data/####/com.ps.recycling2c.BETA_VALUES.xml
/data/data/####/com.ps.recycling2c_preferences.xml
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
/data/data/####/com_alibaba_aliyun_crash_defend_sdk_info
/data/data/####/crashrecord.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/disk_entries_list_image_cache_2031277328.xml
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/i==1.2.0&&1.2.1_1532341814346_envelope.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/jb_sp.xml
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/jpush_device_info.xml
/data/data/####/jpush_local_notification.db
/data/data/####/jpush_local_notification.db-journal
/data/data/####/jpush_local_notification.db-wal
/data/data/####/jpush_stat_cache.json
/data/data/####/jpush_stat_cache_history.json
/data/data/####/jpush_statistics.db
/data/data/####/jpush_statistics.db-journal
/data/data/####/jpush_statistics.db-shm (deleted)
/data/data/####/jpush_statistics.db-wal
/data/data/####/libjiagu-2014313409.so
/data/data/####/local_crash_lock
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/native_record_lock
/data/data/####/pref.xml
/data/data/####/security_info
/data/data/####/sensorsdata.xml
/data/data/####/setting_flags.xml
/data/data/####/share.db-journal
/data/data/####/sobot_chat_20180723_log.txt
/data/data/####/sobot_config.xml
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/data/####/wakeup_cache.json
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.push_deviceid
/data/media/####/.umm.dat
/data/media/####/1532341817498.db
/data/media/####/Alvin2.xml
/data/media/####/B4bEpoWHtTytdWE-9XS_tScUbOE.488989205.tmp
/data/media/####/ContextData.xml
/data/media/####/HnIJNIyF-oeqhw-3KkjJ1V669Ag.2018436636.tmp
/data/media/####/LT8px9aeLYUmStZmH_UtFKuiJdE.1180814167.tmp
/data/media/####/NpeauZOzlX5YHYfJ0lZdpS49e68.-245992123.tmp
/data/media/####/OI8wqjy6K644IaTUXyr7SFFq5iU.1271205219.tmp
/data/media/####/RCVT5xgV_iF27LNeei578QiWmmg.1100527056.tmp
/data/media/####/Rwl8-1b56Z02B33DS7bxpcRFAbs.820002910.tmp
/data/media/####/T-bmqMcgJMWyxm8VcpA9f96lsTo.1530245081.tmp
/data/media/####/TIMGCuaF5sFUR6b47zSvH5t4oSQ.-779467393.tmp
/data/media/####/alsn20170807.db
/data/media/####/alsn20170807.db-journal
/data/media/####/me2_qWs2095wHaNN9U5AxU2nlNA.1785788464.tmp
/data/media/####/nNbXbJrFvQVwZBMTZONmii2U_zQ.373455843.tmp
/data/media/####/phone_uuid.tmp
/data/media/####/s0R1rNPtxn7Sq09ApSoC9rwywNE.-1706457702.tmp
/data/media/####/tPaLXUHQu-ygyq3wOYZq0oFl17M.-1199368085.tmp

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
/system/bin/sh -c type su
chmod 755 <Package Folder>/.jiagu/libjiagu-2014313409.so
getprop
ls /
ls /sys/class/thermal

Загружает динамические библиотеки:

Bugly
imagepipeline
jcore119
libjiagu-2014313409
ut_c_api

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-PKCS5Padding
AES-ECB-NoPadding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней