Android.RemoteCode.1644

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.DownLoader.691.origin
Android.RemoteCode.907
Android.Triada.2018
Android.Triada.373.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) l.ace####.com:80
TCP(HTTP/1.1) img.ace####.com:80
TCP(HTTP/1.1) l####.bigb####.com:6099
TCP(HTTP/1.1) s####.tc.qq.com:80
TCP(HTTP/1.1) 1####.78.31.198:8030
TCP(HTTP/1.1) 47.1####.16.11:8030
TCP(HTTP/1.1) p####.tc.qq.com:80
TCP(HTTP/1.1) 1####.196.191.233:6700
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) v.g####.qq.com:80
TCP(HTTP/1.1) q####.a####.com:80
TCP(HTTP/1.1) z####.heyc####.net:80
TCP(HTTP/1.1) pa.angs####.com:8003
TCP(HTTP/1.1) d####.top:91
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) d.angs####.com:5284
TCP(HTTP/1.1) fy.bigb####.com:6099
TCP(HTTP/1.1) ji####.jieme####.com:8152
TCP(HTTP/1.1) da####.c####.qini####.com:80
TCP(HTTP/1.1) 1####.196.191.233:6600
TCP(HTTP/1.1) 39.1####.149.135:80
TCP(HTTP/1.1) wb.mults####.com:80
TCP(HTTP/1.1) mi.g####.qq.com:80
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) analy####.map.qq.com:443
TCP(TLS/1.0) s####.e.qq.com:443

Запросы DNS:

analy####.map.qq.com
cdn.app.12####.top
d####.top
d.angs####.com
fy.bigb####.com
img.ace####.com
imgc####.qq.com
ji####.dl####.com
ji####.jieme####.com
l####.bigb####.com
l.ace####.com
loc.map.b####.com
mi.g####.qq.com
p####.ugd####.com
pa.angs####.com
plb####.u####.com
qzones####.g####.cn
s####.e.qq.com
u####.u####.com
v.g####.qq.com
wb.mults####.com
z####.heyc####.net

Запросы HTTP GET:

da####.c####.qini####.com/swenjian/y
img.ace####.com/ando-res/ads/4/20/631b3284-4282-4a0c-a490-4c2b3dc0e58d/5...
img.ace####.com/ando-res/ads/5/6/3f7084c5-2ba3-44bb-a565-c2e1cf969203/ad...
mi.g####.qq.com/gdt_mview.fcg?posw=####&spsa=####&posh=####&count=####&r...
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android02/images/tsa_ad_logo.png
p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
q####.a####.com/jieplginf/wchzfdat27
s####.tc.qq.com/gdt/0/DAAfs1OAKAAPAABaBb7hw5Dmffnrt_.jpg/0?ck=####
v.g####.qq.com/gdt_stats.fcg?viewid=####&i=####&os=####&xp=####&gap=####

Запросы HTTP POST:

d####.top:91/d111/bf1b0
d####.top:91/de6/b620
d####.top:91/od8a8c/7798800
d####.top:91/s79f5/27643b
d####.top:91/se2353/a3d72
d.angs####.com:5284/android.frontserver/pcsvc
fy.bigb####.com:6099/aps/
ji####.jieme####.com:8152/ryf_webserver/payment/checkupdate.html
l####.bigb####.com:6099/aps/
l.ace####.com/ando/v2/ap?app_id=####&r=####
l.ace####.com/ando/v2/lv?app_id=####&r=####
l.ace####.com/ando/v2/qa?app_id=####&r=####
loc.map.b####.com/sdk.php
pa.angs####.com:8003/pps
s####.e.qq.com/activate
s####.e.qq.com/launch
s####.e.qq.com/msg
wb.mults####.com/a?v=####&r=####&z=####
z####.heyc####.net/getlist
z####.heyc####.net/xlogin

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-2ZzHrmnRIguLO7rRRpwJp5tDiYKg90MEt-aLYUU1Qc=.new
/data/data/####/.dex
/data/data/####/.edata
/data/data/####/.imprint
/data/data/####/.jar
/data/data/####/1B3A2967E5FD862EFD957606C65C8122
/data/data/####/2nNCi5feO_fjPyT_UD9d9XoQcMUcYSC5.new
/data/data/####/30592A6B8B0C769E3F7FDE6E1A033DF5
/data/data/####/4015.yaqcookie
/data/data/####/48ff399a-95fa-46c5-b4e8-ae1519aac404.pic
/data/data/####/5ead7c1916e321af3ee0d7d6aa595238.temp
/data/data/####/7aa65ca0fb7759c4b0d445df44b7f76b.temp
/data/data/####/8VK-2IXedH5eo9iBBHGTpKPdD6JPLE8V.new
/data/data/####/9Er6hY67u5PxVHqkPtttgH4sQ60=.new
/data/data/####/Al1EVnVIIE311k387CIviUNBP014kP7FVn2PjQ==.new
/data/data/####/BuglySdkInfos.xml
/data/data/####/CK9zk3K1bZ3AuVWl
/data/data/####/DLEYqVY_T9jedqrn1Jl8JWwLWuA=.new
/data/data/####/DP6jA0grFjiWRkuw.new
/data/data/####/DkRN5zsNIfDrJPV7z3rrZHavpVosizpt.new
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/JhNr8MvnAhkm7lgKXiJi_zQD1_4=
/data/data/####/JiePay.xml
/data/data/####/KlspRNshy6tCXBc-ousnOfLUytFVnH_yVS0Rkw==.new
/data/data/####/L642mNxzcxnIjK8LV6luomtYO5A=.new
/data/data/####/LTAJyB7zPDq6hBO7IF5wmQ==
/data/data/####/MIdflcJ1IakOV4u15BCxTeOcUffpFPfO.new
/data/data/####/MjzS7-SnoFd4BNf_vr4Cnw==
/data/data/####/Setting.xml
/data/data/####/TCLb7aMcpE5LesNiXHG2UG0BXFw=.new
/data/data/####/UvwjvFKQP74XWByPbKtoY6juHQU=.new
/data/data/####/XinZFsmspay.db
/data/data/####/XinZFsmspay.db-journal
/data/data/####/_xmGJzFw656Ia7f_UGFday9qEZ8=.new
/data/data/####/aA-4A-07lyxml57ijHqO5jx6uX13QKH2.new
/data/data/####/a_tmp
/data/data/####/ac22b269-b5b3-41c9-9f32-6b7efacdce82.pic.temp
/data/data/####/bRjv2YFpsmQGUhMmz-MVzw==.new
/data/data/####/bp_cEISeNOFeOKRN1IEq1Vhr4dsYdQiDpm7xpOi1gmA=.new
/data/data/####/classes.dex
/data/data/####/classes.dve
/data/data/####/classes.jar
/data/data/####/com.SecShell.tmp2280
/data/data/####/com.SecShell.tmp2338
/data/data/####/com.SecShell.tmp2384
/data/data/####/com.SecShell.tmp2443
/data/data/####/com.SecShell.tmp2490
/data/data/####/com.SecShell.tmp2559
/data/data/####/com.SecShell.tmp2619
/data/data/####/com.SecShell.tmp2692
/data/data/####/com.SecShell.tmp2738
/data/data/####/com.SecShell.tmp2807
/data/data/####/com.SecShell.tmp3057
/data/data/####/com.SecShell.tmp3095
/data/data/####/com.SecShell.tmp3137
/data/data/####/com.SecShell.tmp3195
/data/data/####/com.SecShell.tmp3235
/data/data/####/com.SecShell.tmp3273
/data/data/####/com.SecShell.tmp3325
/data/data/####/com.SecShell.tmp3365
/data/data/####/com.SecShell.tmp3405
/data/data/####/com.SecShell.tmp3467
/data/data/####/com.SecShell.tmp3505
/data/data/####/com.SecShell.tmp3544
/data/data/####/com.SecShell.tmp3600
/data/data/####/com.SecShell.tmp3654
/data/data/####/com.SecShell.tmp3691
/data/data/####/com.SecShell.tmp3740
/data/data/####/com.SecShell.tmp3790
/data/data/####/com.SecShell.tmp3829
/data/data/####/com.SecShell.tmp3878
/data/data/####/com.SecShell.tmp3920
/data/data/####/com.SecShell.tmp3957
/data/data/####/com.SecShell.tmp4015
/data/data/####/com.SecShell.tmp4051
/data/data/####/csdksession.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQyNjgyNTI2NDY4;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQyNjgyNTM1Nzg5;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQyNjgyNTU0MTE1;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQyNjgyNTc0Mzkw;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQyNjgyNTcwMjIy;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQyNjgyNTg1NjY5;
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/dexMethod.78222786.dat
/data/data/####/dpi
/data/data/####/etJYtM1x_O4lYWZrKXHzDoAxP43WZ_msWWnU4A==_5aMv3M...MBmX4=
/data/data/####/etJYtM1x_O4lYWZrKXHzDoAxP43WZ_msWWnU4A==_5aMv3M...ournal
/data/data/####/etJYtM1x_O4lYWZrKXHzDoAxP43WZ_msWWnU4A==_kLp8sT...KKdQ==
/data/data/####/etJYtM1x_O4lYWZrKXHzDoAxP43WZ_msWWnU4A==_kLp8sT...ournal
/data/data/####/etJYtM1x_O4lYWZrKXHzDoAxP43WZ_msWWnU4A==_mEzSej...IAbw==
/data/data/####/etJYtM1x_O4lYWZrKXHzDoAxP43WZ_msWWnU4A==_mEzSej...ournal
/data/data/####/etJYtM1x_O4lYWZrKXHzDoAxP43WZ_msWWnU4A==_miNj23...ournal
/data/data/####/etJYtM1x_O4lYWZrKXHzDoAxP43WZ_msWWnU4A==_sVbkid...ournal
/data/data/####/etJYtM1x_O4lYWZrKXHzDoAxP43WZ_msWWnU4A==_sVbkidjAMZXfyyzd
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f.dex
/data/data/####/f.jar
/data/data/####/gRClHW1F2yIXtshgy40XGg==.new
/data/data/####/gdt_config.xml
/data/data/####/gdt_plugin.dex
/data/data/####/gdt_plugin.dex (deleted)
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_plugin.tmp.sig
/data/data/####/gdt_stat.db
/data/data/####/gdt_stat.db-journal
/data/data/####/gdt_suid
/data/data/####/hid.db
/data/data/####/i==1.2.0&&9.0.0_1542682526558_envelope.log
/data/data/####/i==1.2.0&&9.0.0_1542682570408_envelope.log
/data/data/####/info.xml
/data/data/####/jA87r1rhJDOFb2liXx3lvIdhhyZq8pPT.new
/data/data/####/jiepay_config.xml
/data/data/####/jiepayplugin.apk
/data/data/####/jiepayplugin.apkdata
/data/data/####/jiepayplugin.dex
/data/data/####/jiepayplugin.dex (deleted)
/data/data/####/kb_idle.ini
/data/data/####/kes.xml
/data/data/####/kyPTzlSOx5Qjiku_.dex
/data/data/####/kyPTzlSOx5Qjiku_.zip
/data/data/####/libyaqbasic.78222786.so
/data/data/####/libyaqpro.78222786.so
/data/data/####/nn_app.xml
/data/data/####/nwriUqST8g2cT-wkWpn2rg==.new
/data/data/####/onStop.xml
/data/data/####/onePay.xml
/data/data/####/pKoETtIshVakzol0jtxplhJ_g1TyyvFOFOeHM9Epoh8=.new
/data/data/####/playerData
/data/data/####/rdata_comauihvqiuaz.new
/data/data/####/rsANtTK4lM63e7kGkAQJCujdduR02lyQ.new
/data/data/####/runner_info.prop.new
/data/data/####/rwxRRavOzNkCPsnr
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/sdk_DB
/data/data/####/sdk_DB-journal
/data/data/####/trckvq_f.dex
/data/data/####/trckvq_f.zip
/data/data/####/twsdk.db-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/uid.f
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/update_lc
/data/data/####/userData.xml
/data/data/####/userDatas.xml
/data/data/####/vpSnl2WOI2rj5uSAC-2lbAJ_gQF_kN2T.new
/data/data/####/w1pcCQhRSKGfbM9Cy9NdF4tVM_OBU8v15162eED_LU8=.new
/data/data/####/wK62_eTywgSe6j1Y-Kcs3RUODyrnv6RGy0hY9g==.new
/data/data/####/webview.db
/data/data/####/webview.db-journal
/data/data/####/yVfBoMSC6o6j5vC_NJe6Re1Wx1DZt9CA.new
/data/data/####/yaqsdkcookie
/data/data/####/zdbdf.dex
/data/data/####/zdbdf.jar
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.nid
/data/media/####/.nomedia
/data/media/####/.umm.dat
/data/media/####/.uunique.new
/data/media/####/50612031-9e5d-4f39-98a0-12bb2aa4f410.res
/data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=
/data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
/data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
/data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
/data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
/data/media/####/NDID.DAT
/data/media/####/UIW.DAT
/data/media/####/r_pkDgN4OhnkSa0D
/data/media/####/sys.lock
/data/media/####/sysid.dat

Другие:

Запускает следующие shell-скрипты:

./im_arthc
/system/bin/cat /proc/cpuinfo
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh
<Package Folder>/code-742093/CK9zk3K1bZ3AuVWl -p <Package> -c com.auihv.qiuaz.pencil.ChrysanthemumReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
cat /sys/class/android_usb/android0/idProduct
cat /sys/class/android_usb/android0/idVendor
chmod 777 <Package Folder>/files/im_arthc
chmod 777 <Package Folder>/im7563814389_o
chmod 777 <Package Folder>/im7563814389_o_o
chmod 777 <Package Folder>/im7563814389_o_o_o
chmod 777 <Package Folder>/im7563814389_o_o_o_o
chmod 777 <Package Folder>/null_o
chmod 777 <Package Folder>/null_o_o
chmod 777 <Package Folder>/null_o_o_o
chmod 777 <Package Folder>/null_o_o_o_o
chmod 777 <Package Folder>/null_o_o_o_o_o
chmod 777 <Package Folder>/null_o_o_o_o_o_o
chmod 777 <Package Folder>/null_o_o_o_o_o_o_o
chmod 777 <Package Folder>/null_o_o_o_o_o_o_o_o
chmod 777 <Package Folder>/null_o_o_o_o_o_o_o_o_o
dd if=<Package Folder>/files/im_arthc of=<Package Folder>/im7563814389_o
dd if=<Package Folder>/files/im_arthc of=<Package Folder>/im7563814389_o_o
dd if=<Package Folder>/files/im_arthc of=<Package Folder>/im7563814389_o_o_o
dd if=<Package Folder>/files/im_arthc of=<Package Folder>/im7563814389_o_o_o_o
dd if=<Package Folder>/files/im_arthc of=<Package Folder>/null_o
dd if=<Package Folder>/files/im_arthc of=<Package Folder>/null_o_o
dd if=<Package Folder>/files/im_arthc of=<Package Folder>/null_o_o_o
dd if=<Package Folder>/files/im_arthc of=<Package Folder>/null_o_o_o_o
dd if=<Package Folder>/files/im_arthc of=<Package Folder>/null_o_o_o_o_o
dd if=<Package Folder>/files/im_arthc of=<Package Folder>/null_o_o_o_o_o_o
dd if=<Package Folder>/files/im_arthc of=<Package Folder>/null_o_o_o_o_o_o_o
dd if=<Package Folder>/files/im_arthc of=<Package Folder>/null_o_o_o_o_o_o_o_o
dd if=<Package Folder>/files/im_arthc of=<Package Folder>/null_o_o_o_o_o_o_o_o_o
getprop
ls -l /dev
ls -l /dev/block
ls -l /dev/block/vold
ls -l /dev/bus
ls -l /dev/bus/usb
ls -l /dev/bus/usb/001
ls -l /dev/com.android.settings.daemon
ls -l /dev/cpuctl
ls -l /dev/cpuctl/apps
ls -l /dev/cpuctl/apps/bg_non_interactive
ls -l /dev/graphics
ls -l /dev/input
ls -l /dev/log
ls -l /dev/pts
ls -l /dev/snd
ls -l /dev/socket
ls /sys/class/thermal
ps
sh
sh <Package Folder>/code-742093/CK9zk3K1bZ3AuVWl -p <Package> -c com.auihv.qiuaz.pencil.ChrysanthemumReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung

Загружает динамические библиотеки:

SecShell
libyaqbasic.78222786
libyaqpro.78222786

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
DES-CBC-PKCS5Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
DES
DES-CBC-PKCS5Padding
RSA-ECB-PKCS1Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Парсит информацию из SMS.

Получает информацию об отправленых/принятых SMS.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней