Android.SmsSpy.7229

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.SmsSpy.677.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) q####.qi1####.com:14302
TCP(HTTP/1.1) pg.x####.com:80
TCP(HTTP/1.1) i####.cn.com:80
TCP(HTTP/1.1) q####.qi1####.com:15302
TCP(HTTP/1.1) zxc####.wann####.com:8200
TCP(HTTP/1.1) z####.wann####.com:9500
TCP(HTTP/1.1) hangzho####.oss-cn-####.aliy####.com:80
TCP(HTTP/1.1) qyc####.qi1####.com:8200
TCP(HTTP/1.1) sdk.qi1####.com.####.com:80
TCP(HTTP/1.1) z####.wann####.com:9600
TCP(TLS/1.0) gv1.x####.com:443

Запросы DNS:

a####.u####.com
gv1.x####.com
hangzho####.oss-cn-####.aliy####.com
i####.cn.com
pg.x####.com
q####.qi1####.com
qyc####.qi1####.com
sdk.qi1####.com
z####.wann####.com
zxc####.wann####.com

Запросы HTTP GET:

hangzho####.oss-cn-####.aliy####.com/qiyi/client/sdk/so/libzxvps.so
i####.cn.com/a/3c99d6d9a19c2699cbe29901bb0c04372
qyc####.qi1####.com:8200/sdk/file?EcQMiQY####
qyc####.qi1####.com:8200/sdk/file?J5eGFLW####
qyc####.qi1####.com:8200/sdk/file?gAJMsCJ####
sdk.qi1####.com.####.com/qiyi/client/sdk/PaySDK-1.2.16.8-UR_yx.jar

Запросы HTTP POST:

a####.u####.com/app_logs
pg.x####.com/api/q/a/3c99d6d9a19c2699cbe29901bb0c04372
pg.x####.com/api/statis/3c99d6d9a19c2699cbe29901bb0c04372/game-93ED9F624...
q####.qi1####.com:14302/sdk_login?t=####
q####.qi1####.com:15302/sdk_login?t=####
z####.wann####.com:9500/
z####.wann####.com:9600/
zxc####.wann####.com:8200/qy/acceptSdkFileReq
zxc####.wann####.com:8200/qy/getOnlineLoginHttpReq

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/01fengmian.csb
/data/data/####/02main.csb
/data/data/####/03tongji.csb
/data/data/####/04mushi.csb
/data/data/####/05shangcheng.csb
/data/data/####/06shezhi.csb
/data/data/####/07zanting.csb
/data/data/####/08libao1.csb
/data/data/####/08libao2.csb
/data/data/####/08libao3.csb
/data/data/####/08libao4.csb
/data/data/####/08libao5.csb
/data/data/####/08libao6.csb
/data/data/####/08libao7.csb
/data/data/####/1.lrc
/data/data/####/1.mp3
/data/data/####/2.mp3
/data/data/####/250026699187743|account_file.xml
/data/data/####/3.lrc
/data/data/####/3.mp3
/data/data/####/4.mp3
/data/data/####/5.mp3
/data/data/####/6.mp3
/data/data/####/7.mp3
/data/data/####/Alvin2.xml
/data/data/####/Button_Disable.png
/data/data/####/Button_Normal.png
/data/data/####/Button_Press.png
/data/data/####/ContextData.xml
/data/data/####/DemoPlayer.ExportJson
/data/data/####/DemoPlayer0.plist
/data/data/####/DemoPlayer0.png
/data/data/####/PaySDK-1.2.16.8-UR_yx.dex
/data/data/####/PaySDK-1.2.16.8-UR_yx.jar
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/a.db
/data/data/####/a.db-journal
/data/data/####/baidu
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.yingxiong.her_preferences.xml
/data/data/####/cover_kefu.png
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/fengmian0.png
/data/data/####/fengmian00.png
/data/data/####/fengmian000.png
/data/data/####/fengmian1.png
/data/data/####/fengmian10.png
/data/data/####/fengmian11.png
/data/data/####/fengmian12.png
/data/data/####/fengmian2.png
/data/data/####/fengmian3.png
/data/data/####/fengmian5.png
/data/data/####/fengmian6.png
/data/data/####/fengmian7.png
/data/data/####/fengmian8.png
/data/data/####/fengmian9.png
/data/data/####/getprop
/data/data/####/guang.png
/data/data/####/guanzirenlizi.plist
/data/data/####/hat1.png
/data/data/####/hat10.png
/data/data/####/hat2.png
/data/data/####/hat3.png
/data/data/####/hat4.png
/data/data/####/hat5.png
/data/data/####/hat6.png
/data/data/####/hat7.png
/data/data/####/hat8.png
/data/data/####/hat9.png
/data/data/####/heixian.png
/data/data/####/help0.png
/data/data/####/help1.png
/data/data/####/help10.png
/data/data/####/help11.png
/data/data/####/help12.png
/data/data/####/help13.png
/data/data/####/help14.png
/data/data/####/help15.png
/data/data/####/help16.png
/data/data/####/help17.png
/data/data/####/help18.png
/data/data/####/help2.png
/data/data/####/help3.png
/data/data/####/help4.png
/data/data/####/help5.png
/data/data/####/help6.png
/data/data/####/help8.png
/data/data/####/help9.png
/data/data/####/jiage.png
/data/data/####/jiao1.png
/data/data/####/jiao2.png
/data/data/####/jiao3.png
/data/data/####/jiao4.png
/data/data/####/jiao5.png
/data/data/####/kuai1.png
/data/data/####/kuai10.png
/data/data/####/kuai2.png
/data/data/####/kuai3.png
/data/data/####/kuai4.png
/data/data/####/kuai5.png
/data/data/####/kuai6.png
/data/data/####/kuai7.png
/data/data/####/kuai8.png
/data/data/####/kuai9.png
/data/data/####/libao0.png
/data/data/####/libao1.png
/data/data/####/libao10.png
/data/data/####/libao11.png
/data/data/####/libao12.png
/data/data/####/libao13.png
/data/data/####/libao14.png
/data/data/####/libao15.png
/data/data/####/libao16.png
/data/data/####/libao17.png
/data/data/####/libao18.png
/data/data/####/libao19.png
/data/data/####/libao2.png
/data/data/####/libao20.png
/data/data/####/libao21.png
/data/data/####/libao22.png
/data/data/####/libao23.png
/data/data/####/libao3.png
/data/data/####/libao4.png
/data/data/####/libao5.png
/data/data/####/libao6.png
/data/data/####/libao7.png
/data/data/####/libao8.png
/data/data/####/libao9.png
/data/data/####/libjiagu.so
/data/data/####/libzxvps.so
/data/data/####/lizi_1.plist
/data/data/####/lizi_21.plist
/data/data/####/lizi_4.plist
/data/data/####/lizi_8.plist
/data/data/####/maliao.ExportJson
/data/data/####/maliao.csb
/data/data/####/maliao0.plist
/data/data/####/maliao0.png
/data/data/####/maliao1.plist
/data/data/####/maliao1.png
/data/data/####/movei1.png
/data/data/####/movei2.png
/data/data/####/movei3.png
/data/data/####/name.ExportJson
/data/data/####/name0.plist
/data/data/####/name0.png
/data/data/####/pid
/data/data/####/pref_file.xml
/data/data/####/qy_db_pay
/data/data/####/qy_db_pay-journal
/data/data/####/sc0.png
/data/data/####/sc1.png
/data/data/####/sc10.png
/data/data/####/sc2.png
/data/data/####/sc3.png
/data/data/####/sc4.png
/data/data/####/sc5.png
/data/data/####/sc6.png
/data/data/####/sc7.png
/data/data/####/sc8.png
/data/data/####/sc9.png
/data/data/####/shuzi1.png
/data/data/####/talkingdata_app.db
/data/data/####/talkingdata_app.db-journal
/data/data/####/talkingdata_app_process_preferences_file
/data/data/####/talkingdata_app_version_preferences_file
/data/data/####/td_database_push
/data/data/####/td_pefercen_profile.xml
/data/data/####/tdandroidgame
/data/data/####/tdid.xml
/data/data/####/tmp_jar
/data/data/####/tmp_so
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/ui0.png
/data/data/####/ui1.png
/data/data/####/ui10.png
/data/data/####/ui11.png
/data/data/####/ui12.png
/data/data/####/ui13.png
/data/data/####/ui14.png
/data/data/####/ui15.png
/data/data/####/ui16.png
/data/data/####/ui17.png
/data/data/####/ui18.png
/data/data/####/ui19.png
/data/data/####/ui2.png
/data/data/####/ui20.png
/data/data/####/ui21.png
/data/data/####/ui22.png
/data/data/####/ui23.png
/data/data/####/ui24.png
/data/data/####/ui25.png
/data/data/####/ui26.png
/data/data/####/ui3.png
/data/data/####/ui4.png
/data/data/####/ui5.png
/data/data/####/ui6.png
/data/data/####/ui7.png
/data/data/####/ui8.png
/data/data/####/ui9.png
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/unknown.xml
/data/data/####/xinglizi.png
/data/media/####/.cfg
/data/media/####/.tcookieid
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/device
/data/media/####/sysid.dat

Другие:

Запускает следующие shell-скрипты:

app_process /system/bin com.android.commands.am.Am startservice --user 0 -n <Package>/com.google.android.gms.analytics.CampaignTrackingService
cat /sys/block/mmcblk0/device/cid
chmod 755 <Package Folder>/.jiagu/libjiagu.so
chmod 777 <Package Folder>/lib/helper
dd if=<Package Folder>/lib/libhelper.so of=<Package Folder>/lib/helper
df
getprop
ls -l /system/bin/su
sh

Загружает динамические библиотеки:

game
libhelper
libjiagu
libsmsmanager
libzxvps

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
DES-ECB-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
DES-ECB-NoPadding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Парсит информацию из смс сообщений.

Осуществляет доступ к информации об отправленых/принятых смс.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней