Android.Packed.40977

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.DownLoader.392.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) www.webdiss####.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) new####.c####.com:80
TCP(HTTP/1.1) aa####.c####.com.####.net:80
TCP(HTTP/1.1) rec####.gridsum####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) loc.map.b####.com:443
TCP(TLS/1.0) new####.c####.com:443
TCP c####.g####.ig####.com:5224
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
a####.exc.mob.com
a####.u####.com
and####.b####.qq.com
api.map.b####.com
c####.g####.ig####.com
c-h####.g####.com
i####.c####.com
i####.c####.com
l####.tbs.qq.com
loc.map.b####.com
new####.c####.com
rec####.gridsum####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
www.webdiss####.com

Запросы HTTP GET:

aa####.c####.com.####.net/201811/11/1aafa4f593815022e246d2b977646f91.jpeg
aa####.c####.com.####.net/201811/11/1b9299a345df77d4534454b76d40cceb.jpeg
aa####.c####.com.####.net/201811/11/2dc85536fe796cca11d2fbbbbd47d965.jpeg
aa####.c####.com.####.net/201811/11/3950e69ac4b3cb51f928b3828529c0a2.jpeg
aa####.c####.com.####.net/201811/11/4525997ad4a9c8dcbfa0cd19418af0b6.jpeg
aa####.c####.com.####.net/201811/11/6903aa2f346318c52be563795ca80944.jpeg
aa####.c####.com.####.net/201811/11/817f2adc94ae6d09c68b94a9c6b4dbd6.png
aa####.c####.com.####.net/201811/11/96bcc85b9de98d0965ee98124e6a916b.jpeg
aa####.c####.com.####.net/201811/11/984b2aecc8c2d12d55cb81711be4956e.jpeg
aa####.c####.com.####.net/201811/11/a299ae91ef6ed8369aedf3bbd7fed5ec.jpeg
aa####.c####.com.####.net/201811/11/db6581dcfd15f7f960c4e2a022949f28.jpeg
aa####.c####.com.####.net/201811/11/de5875dc473342d96e63e65ca54121bc.jpeg
aa####.c####.com.####.net/201811/11/fc99366039446725d0dd8beb5032e6a8.jpeg
new####.c####.com/clt/image/4/586/738.png
new####.c####.com/clt/publish/clt//image/4/846/647.jpg
rec####.gridsum####.com/gs.gif?gsdelay=####&gsver=####&gscmd=####&gssrvi...
rec####.gridsum####.com/gs.gif?gsdelay=1303&gsver=3.5.2.5&gscmd=spv&gssr...
rec####.gridsum####.com/gs.gif?gsdelay=24&gsver=3.5.2.5&gscmd=launch&gss...
t####.c####.q####.####.com/config/hz-hzv3.conf
t####.c####.q####.####.com/tdata_YYn966
t####.c####.q####.####.com/tdata_eOt091
www.webdiss####.com/recv/gs.gif?gsdelay=####&gsver=####&gscmd=####&gssrv...
www.webdiss####.com/recv/gs.gif?gsdelay=2208&gsver=3.5.2.5&gscmd=spv&gss...
www.webdiss####.com/recv/gs.gif?gsdelay=25&gsver=3.5.2.5&gscmd=launch&gs...

Запросы HTTP POST:

a####.exc.mob.com/errconf
a####.u####.com/app_logs
and####.b####.qq.com/rqd/async
c-h####.g####.com/api.php?format=####&t=####
l####.tbs.qq.com/ajax?c=####&k=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.duid
/data/data/####/.imprint
/data/data/####/.lock
/data/data/####/.vpl_lock
/data/data/####/Cookies_Prefs.xml
/data/data/####/MultiDex.lock
/data/data/####/ProConfig.xml
/data/data/####/SP_AROUTER_CACHE.xml
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/authStatus_com.hoge.android.chinablue;remote.xml
/data/data/####/bugly_db_legu-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/clt_clt_isFavorite.msp
/data/data/####/clt_publish_clt_resource_portal_v1_commonNews.jsp
/data/data/####/clt_publish_clt_resource_portal_v1_navigation.jsp
/data/data/####/com.hoge.android.chinablue_preferences.xml
/data/data/####/core_info
/data/data/####/domain_1
/data/data/####/e0fbb3e78650f10aeed7ce174e084fc7.0.tmp
/data/data/####/e0fbb3e78650f10aeed7ce174e084fc7.1.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/firll.dat
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/journal.tmp
/data/data/####/libcuid.so
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.2.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/mix.dex
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/notes-db-journal
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdata_YYn966
/data/data/####/tdata_YYn966.jar
/data/data/####/tdata_eOt091
/data/data/####/tdata_eOt091.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/webview.db-journal
/data/media/####/.artc_lock
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.im_lock
/data/media/####/.lesd_lock
/data/media/####/.mn_-1464060969
/data/media/####/.nomedia
/data/media/####/.pkg_lock
/data/media/####/.pkgs_lock
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/.ss_lock
/data/media/####/14a7406bc60b90cb89f5275d06b2393b79627c8358dd83....0.tmp
/data/media/####/164c694c2a18410e0d222578c075c0e24c88795379c429....0.tmp
/data/media/####/1b35151eb44133e3971af1bbc92c9ef01de0f344fcf096....0.tmp
/data/media/####/1e52382f0e7a8343138e97f541e6ed87c8a40ac3ac3e51....0.tmp
/data/media/####/2230b34af7fee634b8fe3b93b51bb1314120602df03970....0.tmp
/data/media/####/25332a49a160ddc2b7a33d2993f25071e2983fab01c293....0.tmp
/data/media/####/2f08c5e592fb3d1674d06720ddf7fdf54e25c195c906e5....0.tmp
/data/media/####/61cbc8a999b1c021931653d7172132bff91298605d88af....0.tmp
/data/media/####/7196b42bb1e4c53ae28bb039e1c3f8bca222f5454ef416....0.tmp
/data/media/####/7ff848173c413cac41e4d37b15802cf1201f3a1e609f13....0.tmp
/data/media/####/867fd1fd9007a6e4637d645858394a1574f8af66fd02a2....0.tmp
/data/media/####/9d252d398d92be8ea391273e8e42c168a2acc5af218583....0.tmp
/data/media/####/app.db
/data/media/####/b4766201b4c70e8f9f982f433d054863ac5750fb03a9b5....0.tmp
/data/media/####/c2287dd9f21f0e94bc62591ac75f88a5.0.tmp
/data/media/####/c8037d43afc17e431c82c1aeaac651cb33f39f9df7749f....0.tmp
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.hoge.android.chinablue.bin
/data/media/####/com.hoge.android.chinablue.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/d11f979031699a81e672a9bacb03dd72fa5a8617ff1754....0.tmp
/data/media/####/d3613f0e720bc635026c2f8e0906e95710502d7495914a....0.tmp
/data/media/####/e2acd7de02c15ec38f4613975ba102835f4ec974d9d22f....0.tmp
/data/media/####/fe57099cb0895408491a436398780ff7d7abeed54f8f43....0.tmp
/data/media/####/journal
/data/media/####/journal.tmp
/data/media/####/tdata_YYn966
/data/media/####/tdata_eOt091
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.cztv.chinabluenews.push.LocalPushService 25552 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.cztv.chinabluenews.push.LocalPushService 25552 300 0

Загружает динамические библиотеки:

Bugly
getuiext2
libnfix
libshella-2.9.0.2
libufix
locSDK7b
nfix
pl_droidsonroids_gif
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-NoPadding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней