Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.683.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) w####.xinma####.net:80
- TCP(HTTP/1.1) x####.tc.qq.com:80
- TCP(HTTP/1.1) a####.qq.com:80
- TCP(HTTP/1.1) api.xinma####.net:80
- TCP(HTTP/1.1) a####.exc.mob.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) p####.tc.qq.com:80
- TCP(HTTP/1.1) re####.xinma####.net:80
- TCP(HTTP/1.1) www.xinma####.net:80
- TCP(HTTP/1.1) openmo####.qq.com:80
- TCP(HTTP/1.1) 47.92.1####.96:80
- TCP(HTTP/1.1) 1####.76.224.67:80
- TCP(HTTP/1.1) appsup####.qq.com:80
- TCP(HTTP/1.1) 3####.tc.qq.com:80
- TCP(HTTP/1.1) pub.idq####.com.####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) da####.c####.qini####.com:80
- TCP(HTTP/1.1) c.isds####.qq.com:80
- TCP(HTTP/1.1) cgi.con####.qq.com:80
- TCP(HTTP/1.1) thi####.q####.cn:80
- TCP(HTTP/1.1) tvaxw####.g####.sina####.com:80
- TCP(TLS/1.0) k####.onetwo####.top:443
Запросы DNS:
- a####.91.com
- a####.exc.mob.com
- a####.qq.com
- a####.qq.com
- a####.u####.com
- api.xinma####.net
- app.onetwo####.top
- appsup####.qq.com
- c.isds####.qq.com
- cdn.img.p####.top
- cgi.con####.qq.com
- com####.xinma####.net
- fb.u####.com
- i####.dd.qq.com
- i.g####.cn
- k####.onetwo####.top
- openmo####.qq.com
- pub.idq####.com
- q####.qq.com
- qzones####.g####.cn
- re####.xinma####.net
- s####.sms.mob.com
- t####.sin####.cn
- t####.sin####.cn
- thi####.q####.cn
- w####.xinma####.net
- www.xinma####.net
Запросы HTTP GET:
- 3####.tc.qq.com/16891/0FA332757820B0B6CCBA57FCCD15B4D6.apk?fsname=####&c...
- a####.qq.com/detail/com.tencent.mobileqq?autodownload=####&norecommend=#...
- appsup####.qq.com/cgi-bin/appstage/mstats_report?report_type=####&platfo...
- c.isds####.qq.com/code.cgi?domain=####&cgi=####&type=####&code=####&time...
- cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?sdkv=####&appid=###...
- da####.c####.qini####.com/upload/201809/25/img/20180925182241271.png
- openmo####.qq.com/oauth2.0/m_authorize?status_userip=####&scope=####&red...
- p####.tc.qq.com/c/=/open/mobile/login/js/login_browser_jump.js
- p####.tc.qq.com/open/mobile/common_detail/img/basic.png
- p####.tc.qq.com/open/mobile/common_detail/img/sprites.png
- p####.tc.qq.com/open/mobile/login/qzsjump.html?status_userip=####&scope=...
- p####.tc.qq.com/open_proj/qqconnect/h5login/css/jump2.css?t=####
- p####.tc.qq.com/open_proj/qqconnect/h5login/css/sprite/jump2.png?max_age...
- pub.idq####.com.####.com/qconn/widget/mobile/login/images/loading.gif?ma...
- t####.c####.q####.####.com/swenjian/ac
- thi####.q####.cn/mmopen/vi_32/a2DMykiaMicDYEYCvfJUCRy6pvCzg3yh9GSAkNvSHq...
- tvaxw####.g####.sina####.com/crop.0.0.996.996.50/006mi4xbly8fi3ijurkwcj3...
- tvaxw####.g####.sina####.com/default/images/default_avatar_female_50.gif
- w####.xinma####.net/299669339/res/logo_detail.jpg?ver=####
- w####.xinma####.net/317164645/res/logo_detail.jpg?ver=####
- w####.xinma####.net/417966161/res/logo_detail.jpg?ver=####
- w####.xinma####.net/441956185/res/logo_thumb.jpg?ver=####
- w####.xinma####.net/445435549/res/logo_detail.jpeg?ver=####
- w####.xinma####.net/484443093/res/logo_detail.jpg?ver=####
- w####.xinma####.net/494394807/res/logo_detail.jpg?ver=####
- w####.xinma####.net/501982938/res/logo_detail.jpeg?ver=####
- w####.xinma####.net/504723361/res/logo_detail.jpeg?ver=####
- w####.xinma####.net/518332279/res/logo_thumb.jpeg?ver=####
- w####.xinma####.net/524402933/res/logo_detail.jpg?ver=####
- w####.xinma####.net/527871028/res/logo_detail.jpeg?ver=####
- w####.xinma####.net/579310404/res/logo_detail.jpeg?ver=####
- w####.xinma####.net/626911702/res/logo_detail.jpeg?ver=####
- w####.xinma####.net/common/avatars/13.jpg?ver=1472113007?ver=####
- w####.xinma####.net/common/avatars/16.jpg?ver=1472112939?ver=####
- w####.xinma####.net/common/avatars/xmh6af150c4cfcf24b97dab587bd28ccf27.p...
- w####.xinma####.net/common/subscript/xmh8f085874a13b108d0a4678dad24f0404...
- w####.xinma####.net/common/xmh_common_1454480961.png
- w####.xinma####.net/rolling/exception/robber_map.jpg?_=####
- w####.xinma####.net/uploads/splash/November2018/xmh_egO9oCVWEyCAA7hBe90F...
- w####.xinma####.net/uploads/worksinfo/August2018/xmh_sg9a962Q9B4RX4Q0SU6...
- w####.xinma####.net/uploads/worksinfo/October2018/xmh_VKb1NHdl5hukGxQiuD...
- w####.xinma####.net/uploads/worksinfo/September2018/xmh_2DagZNcca82I5CRV...
- x####.tc.qq.com/open/app_icon/00/68/68/48/100686848_100_m.png?max_age=####
- x####.tc.qq.com/open/app_icon/00/68/68/48/100686848_android_preview_p0.j...
- x####.tc.qq.com/open/app_icon/00/68/68/48/100686848_android_preview_p1.j...
- x####.tc.qq.com/open/app_icon/00/68/68/48/100686848_android_preview_p2.j...
Запросы HTTP POST:
- a####.exc.mob.com/errconf
- a####.u####.com/app_logs
- api.xinma####.net/v2/recommend?devid=####&userid=####&xid=####&iver=####...
- api.xinma####.net/v2/rolling?devid=####&userid=####&xid=####&iver=####&n...
- api.xinma####.net/v2/splash?devid=####&userid=####&xid=####&iver=####&ne...
- api.xinma####.net/v2/weekpage?devid=####&userid=####&xid=####&iver=####&...
- appsup####.qq.com/cgi-bin/appstage/mstats_batch_report
- re####.xinma####.net/v2/getcomment?devid=####&userid=####&xid=####&iver=...
- re####.xinma####.net/v2/getpreview?devid=####&userid=####&xid=####&iver=...
- re####.xinma####.net/v2/getrecommend?devid=####&userid=####&xid=####&ive...
- re####.xinma####.net/v2/recommend?devid=####&userid=####&xid=####&iver=#...
- re####.xinma####.net/v2/worksfeature?devid=####&userid=####&xid=####&ive...
- re####.xinma####.net/v2/worksinfo?devid=####&userid=####&xid=####&iver=#...
- re####.xinma####.net/v2/xwreport?devid=####&userid=####&xid=####&iver=##...
- www.xinma####.net/api/commoncfg?devid=####&userid=####&xid=####&iver=###...
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-107814063.tmp
- /data/data/####/-1120205362.tmp
- /data/data/####/-1148372614.tmp
- /data/data/####/-1244047492.tmp
- /data/data/####/-1446574951.tmp
- /data/data/####/-1470474800.tmp
- /data/data/####/-1593886608-54949887
- /data/data/####/-2085593558-939264393
- /data/data/####/-3272295851426311343
- /data/data/####/-42583911.tmp
- /data/data/####/-599282490.tmp
- /data/data/####/-959791116-1129897809
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/1015876247.tmp
- /data/data/####/1071439219.tmp
- /data/data/####/1112551171-81631514
- /data/data/####/1462104844.tmp
- /data/data/####/1601909042-1352023564
- /data/data/####/1774723111-526014577
- /data/data/####/18594270571150436865
- /data/data/####/1887275358-764133859
- /data/data/####/1891115324.tmp
- /data/data/####/1916024063.tmp
- /data/data/####/1918001702.tmp
- /data/data/####/2079845090.tmp
- /data/data/####/2143181663.tmp
- /data/data/####/2298675921978378296
- /data/data/####/234563911.tmp
- /data/data/####/419455146.tmp
- /data/data/####/522773740397286592
- /data/data/####/615950764.tmp
- /data/data/####/797764473-1036073118
- /data/data/####/860873095.tmp
- /data/data/####/AppStore.xml
- /data/data/####/MuzService.jar
- /data/data/####/MuzService.xml
- /data/data/####/SMSSDK_2.xml
- /data/data/####/SMSSDK_VCODE_1.xml
- /data/data/####/SUBOXLOG_
- /data/data/####/ThrowalbeLog.db-journal
- /data/data/####/UmengLocalNotificationStore.db-journal
- /data/data/####/XcActivity.xml
- /data/data/####/a3f80a84-ee8e-476e-b179-1f347cd88ec2.jar
- /data/data/####/alldown.xml
- /data/data/####/bdp_pref.xml
- /data/data/####/com.tencent.open.config.json.1104663120
- /data/data/####/commoncfg.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/e88cfc6e-03c4-454d-8bee-b0da7292b025
- /data/data/####/ebn.xml
- /data/data/####/index
- /data/data/####/jsondata.xml
- /data/data/####/libjiagu.so
- /data/data/####/libwbsafeedit.so
- /data/data/####/mobclick_agent_online_setting_com.hcryx.gohg.xml
- /data/data/####/newcomic.db
- /data/data/####/newcomic.db-journal
- /data/data/####/pqwn.db-journal
- /data/data/####/sdk_report.db
- /data/data/####/sdk_report.db-journal
- /data/data/####/secure_lib.xml
- /data/data/####/sms_sdk_0.xml
- /data/data/####/smssdk.db-journal
- /data/data/####/splash_1.jpg
- /data/data/####/umeng_feedback_conversations.xml
- /data/data/####/umeng_feedback_user_info.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_message_state.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.ba
- /data/media/####/.cuid
- /data/media/####/.nomedia
- /data/media/####/.slock
- /data/media/####/c4229935f64f5
- /data/media/####/com.tencent.mobileqq_7.8.8_942.apk
- /data/media/####/im314.tmp
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
- libwbsafeedit
- neh
- smssdk
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DESede-CBC-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
