Android.RemoteCode.1020

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.DownLoader.363.origin
Android.RemoteCode.41.origin
Android.Xiny.20

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) bi.vip.wando####.com:80
TCP(HTTP/1.1) p.a####.net:80
TCP(HTTP/1.1) v####.6####.com:80
TCP(HTTP/1.1) www.ye####.org:80
TCP(HTTP/1.1) en####.tui####.com:80
TCP(HTTP/1.1) 1####.171.140.78:80
TCP(HTTP/1.1) p2.ai####.com:80
TCP(HTTP/1.1) ob.nic####.cn:80
TCP(HTTP/1.1) m.h####.com:80
TCP(HTTP/1.1) z####.heyc####.net:80
TCP(HTTP/1.1) do.soi####.com.####.com:80
TCP(HTTP/1.1) z.no####.net:80
TCP(HTTP/1.1) im####.nic####.cn:80
TCP(HTTP/1.1) sdk.91a####.com:80
TCP(HTTP/1.1) b####.www.ye####.org:80
TCP(HTTP/1.1) m1.laogeda####.com:80
TCP(HTTP/1.1) cd.kw####.com:80
TCP(HTTP/1.1) m.jls####.com:80
TCP(HTTP/1.1) artel####.com:80
TCP(HTTP/1.1) w####.5####.com:80
TCP(TLS/1.0) hotfix####.oss-cn-####.aliy####.com:443
TCP(TLS/1.0) res.ad####.cn:443
TCP(TLS/1.0) log.cuda####.com:10090
TCP(TLS/1.0) m.cuda####.com:443
TCP(TLS/1.0) st####.adhu####.com.####.com:443
TCP(TLS/1.0) act.ad####.cn:443
TCP(TLS/1.0) yun.tuit####.com.####.com:443
TCP(TLS/1.0) 2b.tand####.com:443
TCP(TLS/1.0) g####.gl:443
TCP(TLS/1.0) acti####.tui####.com:443
TCP(TLS/1.0) fp.ton####.net:443
TCP(TLS/1.0) bd.go####.com:443
TCP(TLS/1.0) dis####.in####.com:443
TCP(TLS/1.0) api.nic####.cn:443
TCP(TLS/1.0) s####.tc.qq.com:443
TCP(TLS/1.0) adsc####.tand####.com:443
TCP(TLS/1.0) yun.d####.com.cn:443
TCP(TLS/1.0) gm.mm####.com:443
TCP(TLS/1.0) embe####.d####.com.cn:443
TCP(TLS/1.0) st####.sel####.com:443
TCP(TLS/1.0) yun.tuis####.com:443
TCP(TLS/1.0) yun.tui####.com.####.com:443
TCP(TLS/1.0) z.c####.com:443
TCP(TLS/1.0) c.c####.com:443
TCP(TLS/1.0) fp-st####.b0.a####.com:443
TCP(TLS/1.0) fp.fraudme####.cn:443
TCP(TLS/1.0) aliyuns####.oss-cn-####.aliy####.com:443
TCP(TLS/1.0) aliyuno####.oss-cn-####.aliy####.com:443
TCP(TLS/1.0) i.tand####.com:443
TCP(TLS/1.0) hm.b####.com:443
TCP(TLS/1.0) 1####.217.20.110:443

Запросы DNS:

2b.tand####.com
act.ad####.cn
acti####.tui####.com
ads####.wando####.com
adsc####.tand####.com
aliyuno####.oss-cn-####.aliy####.com
aliyuns####.oss-cn-####.aliy####.com
aliyuns####.oss-cn-####.aliy####.com
api.nic####.cn
artel####.com
b####.www.ye####.org
bd.go####.com
c####.mm####.com
c.c####.com
cd.kw####.com
dis####.in####.com
do.soi####.com
embe####.d####.com.cn
en####.tui####.com
fp.fraudme####.cn
fp.ton####.net
g####.gl
hm.b####.com
hotfix####.oss-cn-####.aliy####.com
i.tand####.com
im####.nic####.cn
ip.ch####.com
l.wando####.com
log.cuda####.com
m.cuda####.com
m.h####.com
m.jls####.com
m1.laogeda####.com
ob.nic####.cn
p.a####.net
p2.ai####.com
r####.wx.qq.com
res.ad####.cn
s19.c####.com
s22.c####.com
sdk.91a####.com
st####.adhu####.com
st####.fraudme####.cn
st####.sel####.com
v####.6####.com
w####.5####.com
w####.5####.com
www.ye####.org
yun.d####.com.cn
yun.tui####.com
yun.tuis####.com
yun.tuit####.com
z####.heyc####.net
z.no####.net
z1.c####.com
z8.c####.com

Запросы HTTP GET:

artel####.com/sys/config_ad.php?app=####
artel####.com/sys/news.php?app=####
do.soi####.com.####.com/201809/wli.jar
en####.tui####.com/index/activity?appKey=####&adslotId=####
im####.nic####.cn/group1/M00/00/B1/rBGXxFsx12GAK2a8AABxfTvvDoQ512.png
im####.nic####.cn/group1/M00/00/B1/rBGXxFsx13OAKhyWAABsthN7xTA711.png
im####.nic####.cn/group1/M00/00/B1/rBGXxFsx14OALIuEAABognsSgTg081.png
im####.nic####.cn/group1/M00/00/B1/rBGXxFsx156ABgWwAAApDUKlSW4286.png
im####.nic####.cn/group1/M00/00/B1/rBGXxFsx15GAfzsRAAB0Njqj8XU043.png
im####.nic####.cn/group1/M00/00/B2/rBGXxFsx5bKAVAraAACOyVvfnX8462.png
im####.nic####.cn/group1/M00/00/B2/rBGXxFsx5dKALzakAAB4HWZl6PE388.png
im####.nic####.cn/group1/M00/00/B2/rBGXxFsx5fOAeC6sAABRGwwyzY4050.png
im####.nic####.cn/group1/M00/00/B2/rBGXxFsx5gWANdYEAACoMm-mPuA542.png
im####.nic####.cn/group1/M00/00/B2/rBGXxFsx5hiAJTxjAACQe16GvTQ600.png
im####.nic####.cn/group1/M00/00/B2/rBGXxFsx5j-Ad3NRAABVpHwRFyI177.png
im####.nic####.cn/group1/M00/01/97/rBGXxFvECCuALAvIAAIsQgiYVQg578.gif
im####.nic####.cn/h5-mami/activity/hand.png
im####.nic####.cn/h5-mami/activity/smashg/1.0/images/N11mK1472645269925....
im####.nic####.cn/h5-mami/activity/smashg/1.0/images/rule.png
im####.nic####.cn/h5/activity/turntable_circle/images/radius-1.png
im####.nic####.cn/h5/activity/turntable_circle/images/radius-2.png
im####.nic####.cn/h5/activity/turntable_circle/images/rule.png
im####.nic####.cn/mami-media/img/1caitucmps.png
im####.nic####.cn/mami-media/img/4upwij1pvd.png
im####.nic####.cn/mami-media/img/5z98phiixj.png
im####.nic####.cn/mami-media/img/8yerkcirqt.jpg
im####.nic####.cn/mami-media/img/ki8oh4d06a.png
im####.nic####.cn/mami-media/img/kw9osqy83k.png
im####.nic####.cn/mami-media/img/oadohu9wyu.png
im####.nic####.cn/mami-media/img/uavmizn8x0.png
im####.nic####.cn/mami-media/img/uns1vypa75.png
im####.nic####.cn/mami-media/img/v6e2r7c087.png
im####.nic####.cn/mami-media/img/xpno2znamk.png
m.h####.com/gjKOrLoAhg02.php?o=####&i=####&s=####&ad=####
m.h####.com/yulebagua/14/799.html
m.jls####.com/MnAkemO7g1H7.php?o=####&i=####&s=####&ad=####
m.jls####.com/jiancaixuangou/12/5909.html
m1.laogeda####.com/ads/admaster24.php?o=####
m1.laogeda####.com/ads/admaster240.php?o=####
m1.laogeda####.com/templets/tui/js/jquery-1.8.3.min.js
ob.nic####.cn/huodong/Production/20180809/images/projects/widget/PrizeMo...
ob.nic####.cn/huodong/Production/20180809/node_modules/fastclick/lib/fas...
ob.nic####.cn/huodong/Production/20180809/node_modules/iscroll/build/isc...
ob.nic####.cn/huodong/Production/20180809/pkg/Common.js
ob.nic####.cn/huodong/Production/20180809/pkg/Vendor.js
ob.nic####.cn/huodong/Production/20180809/projects/page/SmashGoldenEgg/S...
ob.nic####.cn/huodong/Production/20180809/projects/page/SmashGoldenEgg/c...
ob.nic####.cn/huodong/Production/20180809/projects/page/TurntableLottery...
ob.nic####.cn/huodong/Production/20180809/projects/widget/PrizeModal/Tur...
p.a####.net/eppu
p.a####.net/l/go/?time=6&url=http://engine.tuicoco.com/index/activity?ap...
p2.ai####.com/activity/index?key=####
sdk.91a####.com/static/20180829152952mod.enc

Запросы HTTP POST:

b####.www.ye####.org/i?requestId=####&g=####
bi.vip.wando####.com/muce/data/sink?profile=####&vc=####&vn=####&gzip=##...
bi.vip.wando####.com/network/v2/init?networkExtraInfo=####&networkType=#...
bi.vip.wando####.com/network/v3/app/list?networkExtraInfo=####&networkTy...
cd.kw####.com/c
ob.nic####.cn/niceapi/getactivity
ob.nic####.cn/niceapi/getactivitybuoy
ob.nic####.cn/niceapi/getadvertorder
ob.nic####.cn/niceapi/orderdatainfo
sdk.91a####.com/api/DeviceReport.ashx
v####.6####.com/0/ca477c3b25914a5f821296be846eca73.html
v####.6####.com/18/a41844eff5ff4a0a96c9603142acfcf6.html
v####.6####.com/20/8c10c5184b36491eb6ed32bdbafb1eb4.html
v####.6####.com/api/CheckModule.ashx
v####.6####.com/api/GetLockAppOpenTask.ashx
v####.6####.com/api/GetModuleConfig.ashx
v####.6####.com/api/GetPkNameList.ashx
v####.6####.com/api/ReportAppLog.ashx
w####.5####.com/0/76179c31f5d04e21bcf7fee1debf1df1.html
www.ye####.org/i?requestId=####&g=####
z####.heyc####.net/getlist
z####.heyc####.net/xlogin
z.no####.net/m/a/f
z.no####.net/m/a/t

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/1316344265797252379
/data/data/####/744193751563547164
/data/data/####/JSON.xml
/data/data/####/KBM8NOxB.jar
/data/data/####/Lha2byok2.jar
/data/data/####/ShrG0Gpb.jar
/data/data/####/W_Key.xml
/data/data/####/WebViewSettings.xml
/data/data/####/_has_set_default_values.xml
/data/data/####/base.js
/data/data/####/com.artelplus.howtodraw.Main.xml
/data/data/####/com.tuk.HashitteNeko_preferences.xml
/data/data/####/com_tuk_HashitteNeko_adnetwork_.log
/data/data/####/common.js
/data/data/####/countClickIP.xml
/data/data/####/cpro.baidu.com.js
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/downloadswc
/data/data/####/downloadswc-journal
/data/data/####/dpi
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/f_000015
/data/data/####/f_000016
/data/data/####/f_000017
/data/data/####/f_000018
/data/data/####/f_000019
/data/data/####/f_00001a
/data/data/####/f_00001b
/data/data/####/f_00001c
/data/data/####/f_00001d
/data/data/####/f_00001e
/data/data/####/f_00001f
/data/data/####/f_000020
/data/data/####/f_000021
/data/data/####/f_000022
/data/data/####/f_000023
/data/data/####/f_000024
/data/data/####/f_000025
/data/data/####/f_000026
/data/data/####/f_000027
/data/data/####/f_000028
/data/data/####/f_000029
/data/data/####/f_00002a
/data/data/####/f_00002b
/data/data/####/f_00002c
/data/data/####/f_00002d
/data/data/####/f_00002e
/data/data/####/f_00002f
/data/data/####/f_000030
/data/data/####/f_000031
/data/data/####/f_000032
/data/data/####/gaClientId
/data/data/####/google_analytics_v2.db-journal
/data/data/####/hid.db
/data/data/####/index
/data/data/####/libjiagu-1796756340.so
/data/data/####/log_module.xml
/data/data/####/m.baidu.com.js
/data/data/####/m.chinebuy.com.js
/data/data/####/max_pref.xml
/data/data/####/mod.dec
/data/data/####/mod.dex
/data/data/####/mod.enc
/data/data/####/p3g9VzR.jar
/data/data/####/phan.xml
/data/data/####/st.xml
/data/data/####/start.js
/data/data/####/vtz6VJ.jar
/data/data/####/wdj_ads_config.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/.nid
/data/media/####/.udid
/data/media/####/5.1wli.jar.u
/data/media/####/id.tmp
/data/media/####/restime.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh
cat /sys/class/android_usb/android0/idProduct
cat /sys/class/android_usb/android0/idVendor
chmod 755 <Package Folder>/.jiagu/libjiagu-1796756340.so
chmod 777 /data/local/tmp
getprop
ls -l /dev
ls -l /dev/block
ls -l /dev/block/vold
ls -l /dev/com.android.settings.daemon
ls -l /dev/cpuctl
ls -l /dev/cpuctl/apps
ls -l /dev/cpuctl/apps/bg_non_interactive
ls -l /dev/graphics
ls -l /dev/input
ls -l /dev/log
ls -l /dev/pts
ls -l /dev/snd
ls -l /dev/socket
ps

Загружает динамические библиотеки:

libjiagu-1796756340
wdj_adnetwork

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
DES

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации об установленных приложениях.

Осуществляет доступ к информации о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней