Android.DownLoader.3841

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.Backdoor.627.origin
Android.Backdoor.683.origin

Загружает из Интернета следующие детектируемые угрозы:

Android.Backdoor.683.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) pi####.qq.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) wifi-b####.com:8080
TCP(HTTP/1.1) sjup####.sj.soupin####.com:80
TCP(HTTP/1.1) key.gg####.com:1210
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) a####.umengc####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) pc5.sj.soupin####.com:80
TCP(HTTP/1.1) bos.p####.com:80
TCP(HTTP/1.1) acc####.gg####.com.####.com:80
TCP(TLS/1.0) rep####.crashly####.com:443
TCP(TLS/1.0) e.crashly####.com:443
TCP(TLS/1.0) 2####.58.211.110:443
TCP(TLS/1.0) ssl.google-####.com:443
TCP(TLS/1.0) p####.ou####.com:4433
TCP(TLS/1.0) abc.abcdse####.com:8888
TCP(TLS/1.0) sett####.crashly####.com:443
TCP c####.g####.ig####.com:5227
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.u####.com
a####.umengc####.com
abc.abcdse####.com
acc####.gg####.com
ap####.sj.soupin####.com
appup####.sj.soupin####.com
bos.p####.com
c####.g####.ig####.com
c-h####.g####.com
e.crashly####.com
key.gg####.com
p####.ou####.com
pc5.sj.soupin####.com
pi####.qq.com
rep####.crashly####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
sett####.crashly####.com
sjup####.sj.soupin####.com
ssl.google-####.com
wifi-b####.com

Запросы HTTP GET:

bos.p####.com/cloudsto/weitest/junior-v1.7.apk
sjup####.sj.soupin####.com/checkupdate.ashx?Softid=####&VersionType=####...
t####.c####.q####.####.com/config/hz-hzv3.conf
t####.c####.q####.####.com/tdata_MkX219
t####.c####.q####.####.com/tdata_iGj879
wifi-b####.com:8080/app/checkconfig

Запросы HTTP POST:

a####.u####.com/app_logs
a####.umengc####.com/app_logs
acc####.gg####.com.####.com/getSDKConfig
c-h####.g####.com/api.php?format=####&t=####
key.gg####.com:1210/doSdkReg
pc5.sj.soupin####.com/v6/config
pi####.qq.com/mstat/report/?index=####
sdk.o####.p####.####.com/api.php?format=####&t=####
sjup####.sj.soupin####.com/api2.ashx
sjup####.sj.soupin####.com/service.ashx?act=####&platform=####&increment...
sjup####.sj.soupin####.com/v6/config

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.b9448240-5126-4ba5-a515-259fa5f15f19.xml
/data/data/####/.imprint
/data/data/####/0.xml
/data/data/####/03d32029402c9b99d56b2d0eea04bf2318082417a076a6a....0.tmp
/data/data/####/1885473001325400194
/data/data/####/303c22a024b8dcf617969e2bf3ac3315f5d8333dee2b38a....0.tmp
/data/data/####/3324109.jar
/data/data/####/5BB253740169-0001-08DC-8A2E51CB2CF0BeginSession.cls_temp
/data/data/####/5BB253740169-0001-08DC-8A2E51CB2CF0BeginSession.json
/data/data/####/5BB253740169-0001-08DC-8A2E51CB2CF0SessionApp.cls_temp
/data/data/####/5BB253740169-0001-08DC-8A2E51CB2CF0SessionApp.json
/data/data/####/5BB253740169-0001-08DC-8A2E51CB2CF0SessionDevice.cls_temp
/data/data/####/5BB253740169-0001-08DC-8A2E51CB2CF0SessionDevice.json
/data/data/####/5BB253740169-0001-08DC-8A2E51CB2CF0SessionOS.cls_temp
/data/data/####/5BB253740169-0001-08DC-8A2E51CB2CF0SessionOS.json
/data/data/####/5BB253750219-0001-091F-8A2E51CB2CF0BeginSession.cls_temp
/data/data/####/5BB253750219-0001-091F-8A2E51CB2CF0BeginSession.json
/data/data/####/5BB253750219-0001-091F-8A2E51CB2CF0SessionApp.cls_temp
/data/data/####/5BB253750219-0001-091F-8A2E51CB2CF0SessionApp.json
/data/data/####/5BB253750219-0001-091F-8A2E51CB2CF0SessionDevice.cls_temp
/data/data/####/5BB253750219-0001-091F-8A2E51CB2CF0SessionDevice.json
/data/data/####/5BB253750219-0001-091F-8A2E51CB2CF0SessionOS.cls_temp
/data/data/####/5BB253750219-0001-091F-8A2E51CB2CF0SessionOS.json
/data/data/####/5BB2537502FB-0001-093B-8A2E51CB2CF0BeginSession.cls_temp
/data/data/####/5BB2537502FB-0001-093B-8A2E51CB2CF0BeginSession.json
/data/data/####/5BB2537502FB-0001-093B-8A2E51CB2CF0SessionApp.cls_temp
/data/data/####/5BB2537502FB-0001-093B-8A2E51CB2CF0SessionApp.json
/data/data/####/5BB2537502FB-0001-093B-8A2E51CB2CF0SessionDevice.cls_temp
/data/data/####/5BB2537502FB-0001-093B-8A2E51CB2CF0SessionDevice.json
/data/data/####/5BB2537502FB-0001-093B-8A2E51CB2CF0SessionOS.cls_temp
/data/data/####/5BB2537502FB-0001-093B-8A2E51CB2CF0SessionOS.json
/data/data/####/5BB2537502FB-0001-093B-8A2E51CB2CF0SessionUser.cls_temp
/data/data/####/5BB25375031E-0001-0903-8A2E51CB2CF0BeginSession.cls_temp
/data/data/####/5BB25375031E-0001-0903-8A2E51CB2CF0BeginSession.json
/data/data/####/5BB25375031E-0001-0903-8A2E51CB2CF0SessionApp.cls_temp
/data/data/####/5BB25375031E-0001-0903-8A2E51CB2CF0SessionApp.json
/data/data/####/5BB25375031E-0001-0903-8A2E51CB2CF0SessionDevice.cls_temp
/data/data/####/5BB25375031E-0001-0903-8A2E51CB2CF0SessionDevice.json
/data/data/####/5BB25375031E-0001-0903-8A2E51CB2CF0SessionOS.cls_temp
/data/data/####/5BB25375031E-0001-0903-8A2E51CB2CF0SessionOS.json
/data/data/####/5BB25375031E-0001-0903-8A2E51CB2CF0SessionUser.cls_temp
/data/data/####/5BB25376027C-0001-0968-8A2E51CB2CF0BeginSession.cls_temp
/data/data/####/5BB25376027C-0001-0968-8A2E51CB2CF0BeginSession.json
/data/data/####/5BB25376027C-0001-0968-8A2E51CB2CF0SessionApp.cls_temp
/data/data/####/5BB25376027C-0001-0968-8A2E51CB2CF0SessionApp.json
/data/data/####/5BB25376027C-0001-0968-8A2E51CB2CF0SessionDevice.cls_temp
/data/data/####/5BB25376027C-0001-0968-8A2E51CB2CF0SessionDevice.json
/data/data/####/5BB25376027C-0001-0968-8A2E51CB2CF0SessionOS.cls_temp
/data/data/####/5BB25376027C-0001-0968-8A2E51CB2CF0SessionOS.json
/data/data/####/5BB2537801AA-0001-09D1-8A2E51CB2CF0BeginSession.cls_temp
/data/data/####/5BB2537801AA-0001-09D1-8A2E51CB2CF0BeginSession.json
/data/data/####/5BB2537801AA-0001-09D1-8A2E51CB2CF0SessionApp.cls_temp
/data/data/####/5BB2537801AA-0001-09D1-8A2E51CB2CF0SessionApp.j...leted)
/data/data/####/5BB2537801AA-0001-09D1-8A2E51CB2CF0SessionDevice.cls_temp
/data/data/####/5BB2537801AA-0001-09D1-8A2E51CB2CF0SessionDevice.json
/data/data/####/5BB2537801AA-0001-09D1-8A2E51CB2CF0SessionOS.cls_temp
/data/data/####/5BB2537801AA-0001-09D1-8A2E51CB2CF0SessionOS.json
/data/data/####/5BB2537801AA-0001-09D1-8A2E51CB2CF0SessionUser.cls_temp
/data/data/####/5BB2537801AC-0001-0A0E-8A2E51CB2CF0BeginSession.cls_temp
/data/data/####/5BB2537801AC-0001-0A0E-8A2E51CB2CF0BeginSession.json
/data/data/####/5BB2537801AC-0001-0A0E-8A2E51CB2CF0SessionApp.cls_temp
/data/data/####/5BB2537801AC-0001-0A0E-8A2E51CB2CF0SessionApp.json
/data/data/####/5BB2537801AC-0001-0A0E-8A2E51CB2CF0SessionDevice.cls_temp
/data/data/####/5BB2537801AC-0001-0A0E-8A2E51CB2CF0SessionDevice.json
/data/data/####/5BB2537801AC-0001-0A0E-8A2E51CB2CF0SessionOS.cls_temp
/data/data/####/5BB2537801AC-0001-0A0E-8A2E51CB2CF0SessionOS.json
/data/data/####/6eba15dbac24b5a1e6821a5518e189876f1d45f29b34001....0.tmp
/data/data/####/708782336-1442051054
/data/data/####/73fc5fa0bae7e9226d0d701db6780c159c99263a989d58a....0.tmp
/data/data/####/7e9c321e8aef133afce50634d041553171175909492a3b8....0.tmp
/data/data/####/818d636ca47fb3df68e93a20ba7f1e10f91cc39a77907a5....0.tmp
/data/data/####/8f1608818b0a7f8043581ce71fc5796b84c625bdad67385....0.tmp
/data/data/####/91Analytics_Config.xml
/data/data/####/91Analytics_Relay_Session.xml
/data/data/####/91analytics_v3.db
/data/data/####/91analytics_v3.db-journal
/data/data/####/MultiDex.lock
/data/data/####/TwitterAdvertisingInfoPreferences.xml
/data/data/####/appstore.db-journal
/data/data/####/assistance.db-journal
/data/data/####/b2d21408de5ef087e597b4170510b2d4968977c424ae6e4....0.tmp
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/channel.ini
/data/data/####/com.crashlytics.prefs.xml
/data/data/####/com.crashlytics.sdk.android.crashlytics-core;co...re.xml
/data/data/####/com.crashlytics.sdk.android;answers;settings.xml
/data/data/####/com.crashlytics.settings.json
/data/data/####/com.google.android.gms.analytics.prefs.xml
/data/data/####/com.google.android.gms.appid-no-backup
/data/data/####/com.google.android.gms.appid.xml
/data/data/####/com.google.android.gms.measurement.prefs.xml
/data/data/####/com.google.android.gms.measurement.prefs.xml (deleted)
/data/data/####/com.google.android.gms.measurement.prefs.xml.bak
/data/data/####/com.google.android.gms.measurement.prefs.xml.bak (deleted)
/data/data/####/com.nd.assistance.mid.world.ro.xml
/data/data/####/com.nd.assistance_preferences.xml
/data/data/####/com.nd.assistance_preferences.xml (deleted)
/data/data/####/com.nd.assistance_preferences.xml.bak
/data/data/####/core_info
/data/data/####/deep_clean.db
/data/data/####/dms_sp.xml
/data/data/####/e95386857fe67478d1986ee033ed400270bacc41eddecaf....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/gaClientId
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/google_analytics_v4.db-journal
/data/data/####/google_app_measurement_local.db
/data/data/####/google_app_measurement_local.db-journal
/data/data/####/gx_sp.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/initialization_marker
/data/data/####/io.fabric.sdk.android;fabric;io.fabric.sdk.android.n.xml
/data/data/####/journal.tmp
/data/data/####/junior_plugin.apk
/data/data/####/junior_plugin_new.apk
/data/data/####/lock_dm
/data/data/####/lock_gt
/data/data/####/multidex.version.xml
/data/data/####/ndmonitor
/data/data/####/pri_tencent_analysis.db_com.nd.assistance-journal
/data/data/####/pri_tencent_analysis.db_com.nd.assistance.Downl...ournal
/data/data/####/pri_tencent_analysis.db_com.nd.assistance.JunkS...ournal
/data/data/####/pri_tencent_analysis.db_com.nd.assistance.Serve...ournal
/data/data/####/pri_tencent_analysis.db_com.nd.assistance;mibo-journal
/data/data/####/pri_tencent_analysis.db_com.nd.assistance;pushs...ournal
/data/data/####/pri_tencent_analysis.db_com.nd.assistance;x-journal
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/residual_dir.db
/data/data/####/run.pid
/data/data/####/sa_6e621a40-666b-4284-8c27-c28cf3d1dd87_1538413428573.tap
/data/data/####/sa_b4920a86-eae3-4590-bda8-ad99475427d6_1538413432210.tap
/data/data/####/session_analytics.tap
/data/data/####/session_analytics.tap.tmp
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_MkX219
/data/data/####/tdata_MkX219.jar
/data/data/####/tdata_iGj879
/data/data/####/tdata_iGj879.jar
/data/data/####/tencent_analysis.db_com.nd.assistance-journal
/data/data/####/tencent_analysis.db_com.nd.assistance.DownloadS...ournal
/data/data/####/tencent_analysis.db_com.nd.assistance.JunkService-journal
/data/data/####/tencent_analysis.db_com.nd.assistance.ServerSer...ournal
/data/data/####/tencent_analysis.db_com.nd.assistance;mibo-journal
/data/data/####/tencent_analysis.db_com.nd.assistance;pushservice-journal
/data/data/####/tencent_analysis.db_com.nd.assistance;x-journal
/data/data/####/tmp-com.nd.assistance-1.apk.classes-1604235244.zip
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/userlist.xml
/data/data/####/webview.db-journal
/data/data/####/wifiPassword-db-journal
/data/data/####/wifi_info.xml
/data/media/####/.cuid
/data/media/####/0d955d983c8171961d8785ce4c27f079.xml
/data/media/####/5900
/data/media/####/app.db
/data/media/####/cleargod
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.nd.assistance.bin
/data/media/####/com.nd.assistance.db
/data/media/####/log.txt
/data/media/####/tdata_MkX219
/data/media/####/tdata_iGj879
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.service.GeTuiPushService 24691 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017
getprop ro.product.cpu.abi
sh

Загружает динамические библиотеки:

MtaNativeCrash_v2
WiFiSdk
getuiext2

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
DESede-CBC-PKCS7Padding
Des-ECB-NoPadding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-PKCS7Padding
DESede
Des-ECB-NoPadding

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о зарегистрированных на устройстве аккаунтах (Google, Facebook и тд.).

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Осуществляет доступ к информации о входящих/исходящих звонках.

Осуществляет доступ к информации об отправленых/принятых смс.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней