Android.HiddenAds.838

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.HiddenAds.311.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) v1.tao.zifu####.cn:80
TCP(HTTP/1.1) ada####.m.ta####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) pin####.qq.com:80
TCP(HTTP/1.1) pi####.qq.com:80
TCP(HTTP/1.1) ad####.m.ta####.com:80
TCP(HTTP/1.1) tao.zifu####.cn:80
TCP(HTTP/1.1) 1####.11.61.135:80
TCP(HTTP/1.1) na61-####.wagbr####.non####.####.com:80
TCP(HTTP/1.1) amdc####.m.ta####.com:80
TCP(HTTP/1.1) 1####.11.61.137:80
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) nbsdk-b####.al####.com:443
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) gm.mm####.com:443
TCP(TLS/1.0) 3####.tc.qq.com:443
TCP openj####.m.ta####.com:80
TCP openj####.m.ta####.com:443
TCP ope####.m.ta####.com:443

Запросы DNS:

a####.man.aliy####.com
ad####.m.ta####.com
ada####.m.ta####.com
ag####.m.ta####.com
amdc####.m.ta####.com
and####.b####.qq.com
img.haod####.com
log.u####.com
nbsdk-b####.al####.com
pi####.qq.com
pin####.qq.com
plb####.u####.com
s.b####.m####.com
s.res.tao.####.cn
tao.zifu####.cn
u####.u####.com
umen####.m.ta####.com
umengj####.m.ta####.com
v1.tao.zifu####.cn
wgo.mm####.com
y####.al####.com

Запросы HTTP GET:

ad####.m.ta####.com/rest/gc2?ak=####&av=####&c=####&d=####&sv=####&t=###...
t####.c####.q####.####.com/005f603379aa285718b3f7c99c1ca88a-600
t####.c####.q####.####.com/0503477c4c5d9618b5be5dc3f7712dcf-600
t####.c####.q####.####.com/0716abc13652355b130dc3c83d39a7dc-600
t####.c####.q####.####.com/0cd092e3914e60ed74954bbba638d093-600
t####.c####.q####.####.com/233b<SMS Address>fde6dc193a0c4b8886d121002-600
t####.c####.q####.####.com/2907a1a4faf78674c4ff422ce9ca16eb-600
t####.c####.q####.####.com/325254ca7f6e1f03c438d818cb4c67cb-600
t####.c####.q####.####.com/397fc31d9f3abdef5177ab1ec82a254c-600
t####.c####.q####.####.com/3ce7249ba847286308c82bed97f7817d-600
t####.c####.q####.####.com/3deb054da8cb2f4b1b5a07ab530e7e41-600
t####.c####.q####.####.com/439ba8ee07892f939714783e5f5fa49d-600
t####.c####.q####.####.com/89937f347f81f5c5539f9da9b35b7a62-600
t####.c####.q####.####.com/97340565f9420afafc7a37966095da75-600
t####.c####.q####.####.com/9d792370897c7f393059514b17a0cb14-600
t####.c####.q####.####.com/b68bc66ab1a81db336110b7c1196b5a9-600
t####.c####.q####.####.com/c12f373877a7a4b9e4856d552c91e3b3-600
t####.c####.q####.####.com/cf445d5d9ddad49a38c0e542be22b565-600
t####.c####.q####.####.com/d40c79df78c0a0cfbbb05605891950db-600
t####.c####.q####.####.com/dcabee1a81b9c631bbc903597fad52a2-600
t####.c####.q####.####.com/de464503dab5d20a5d6505573f1624bd-600
t####.c####.q####.####.com/fa31cffcb202ac6523853af99810afb9-600
t####.c####.q####.####.com/fcf45b47afad11fe7ac05c179de174c1-600
tao.zifu####.cn/advert/list?version=####&Equipment_type=####&Identificat...
tao.zifu####.cn/category/getAll?version=####&Equipment_type=####&Identif...
tao.zifu####.cn/item/get?itemId=####&version=####&Equipment_type=####&Id...
tao.zifu####.cn/item/list?cid=####&pageIndex=####&type=####&version=####...
tao.zifu####.cn/item/selections?pageIndex=####&version=####&Equipment_ty...
tao.zifu####.cn/portal/list?version=####&Equipment_type=####&Identificat...
ti####.c####.l####.####.com/nine.png
ti####.c####.l####.####.com/rush.png

Запросы HTTP POST:

ada####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=###...
amdc####.m.ta####.com/amdc/mobileDispatch?appkey=####&deviceId=####&plat...
and####.b####.qq.com/rqd/async
and####.b####.qq.com/rqd/async?aid=####
na61-####.wagbr####.non####.####.com/saveWb.json
pi####.qq.com/mstat/report/?index=####
pin####.qq.com/request
sh.wagbr####.aliyun####.com/man/api?ak=####&s=####
v1.tao.zifu####.cn/category/getAll
v1.tao.zifu####.cn/property/list

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/0698e838e668bf136d1c280e510350d24eff576cbb41629....0.tmp
/data/data/####/07c228c96e1089464dc0c3674e7e7fb00a29d32440f3664....0.tmp
/data/data/####/0a231bd8575dcf72.txt
/data/data/####/1002
/data/data/####/1004
/data/data/####/21c22f492aba3de8.lock
/data/data/####/2326f94bc04bf262c0bd17c38a5e3e41bbfe4e93837666f....0.tmp
/data/data/####/264711e2cf6c3ba820b62fa86d8c5ed4a1249e41ba5863e....0.tmp
/data/data/####/27958581b4165d0d5b70d0e07e184a773879dcfc59b589d....0.tmp
/data/data/####/2efc66cc29846c28df9af5ea5c7da359e9de73d61901207....0.tmp
/data/data/####/3252eea8f9248de9ef8c3ab641a0edd0b6e60eafaaeccf4....0.tmp
/data/data/####/421228ced5d07c00c903ae25e736b59b77b49c082b38629....0.tmp
/data/data/####/4cfaaa29f28f81566c21b590ddb74e15e2b5ad4d813226f....0.tmp
/data/data/####/4d3c45d54a4fef0a60ad28ae09700681c7feef9e2901ad7....0.tmp
/data/data/####/5250c3632cb51cdb10b601b0ed704a8e32b88ea389afc9f....0.tmp
/data/data/####/5640a84c43de2eb5040031c4b525922b549e0fa56e699f9....0.tmp
/data/data/####/67d73c1fc243c3406c365284e59cb3775b3cefa4b43e832....0.tmp
/data/data/####/728de2c0ecb8dc40eb467487adeaff796a9f806482d1e59....0.tmp
/data/data/####/8bd847e8f9257b0c55789c60757548e35f522de0cda9f0b....0.tmp
/data/data/####/8c9495c84f10d69545070bca60b4c68b9f4691d6a5b6931....0.tmp
/data/data/####/8ef9c457b3bbb403.lock
/data/data/####/90bbb560c5ae48602e359e668402e1381aaca792a6c2e6a....0.tmp
/data/data/####/930a31b34bd52c08.lock
/data/data/####/ACCS_BINDumeng;5bdc1abeb465f5e58300002d.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/AlibcLinkPartner.xml
/data/data/####/Alvin2.xml
/data/data/####/CATEGORY
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/MultiDex.lock
/data/data/####/Q0VSVC5SU0EK.txt8e3
/data/data/####/Q0VSVC5SU0EK.txtdb8
/data/data/####/SGMANAGER_DATA2.tmp
/data/data/####/SharedPreferencesFile.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/UTCommon.xml
/data/data/####/a36801fa96e94c415c300ed963284309b6f59b92824521a....0.tmp
/data/data/####/a9c20df65d0106508a7d5318b27755091a7942e76eda2bc....0.tmp
/data/data/####/a==7.5.4&&1.0.0_1544694418076_envelope.log
/data/data/####/a==7.5.4&&1.0.0_1544694499103_envelope.log
/data/data/####/ab914f43b8296c2c.lock
/data/data/####/accs.db
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/aliTradeConfigSP.xml
/data/data/####/ap.Lock
/data/data/####/auth_sdk_device.xml
/data/data/####/b10ffeb70123c10e96255a3cd7545fbd9848f30de22581e....0.tmp
/data/data/####/b6d4a419306dd8da8bccb7b5f0f7ec1d14f8981183f1f31....0.tmp
/data/data/####/bugly_db_
/data/data/####/bugly_db_-journal
/data/data/####/bugly_db_legu
/data/data/####/bugly_db_legu-journal
/data/data/####/c79afe71cf0d12e80e75aa93ca5851db6e185bc97debc0f....0.tmp
/data/data/####/cn.zifutech.tao.BETA_VALUES.xml
/data/data/####/cn.zifutech.tao.mid.world.ro.xml
/data/data/####/cn.zifutech.tao_preferences.xml
/data/data/####/crashrecord.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0Njk0NDE2NjI0;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0Njk0NDM2NzY2;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0Njk0NDQ0MTA2;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0Njk0NDQ3MTI3;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0Njk0NDk4Mjkw;
/data/data/####/dW1weF9zaGFyZV8xNTQ0Njk0NDE4NDA1;
/data/data/####/dW1weF9zaGFyZV8xNTQ0Njk0NDE4NDYx;
/data/data/####/daemonserver.pid
/data/data/####/db5c262fe6f2aad73bc7da9770d375890cfd7d384e14600....0.tmp
/data/data/####/eudemon
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f20c7c0d1c4bd6a44f9d1576cc4b6cb8c7d678736d9da41....0.tmp
/data/data/####/httpdns_config_cache.xml
/data/data/####/i==1.2.0&&1.0.0_1544694416621_envelope.log
/data/data/####/i==1.2.0&&1.0.0_1544694436839_envelope.log
/data/data/####/i==1.2.0&&1.1.1_1544694498488_envelope.log
/data/data/####/imei.xml
/data/data/####/info.xml
/data/data/####/item_info
/data/data/####/journal.tmp
/data/data/####/legu_tencent_analysis.db_cn.zifutech.tao-journal
/data/data/####/libnfix.so
/data/data/####/libsgmain_1544481768000.dex
/data/data/####/libsgmainso-5.1.96.so.tmp
/data/data/####/libsgsecuritybody_1544481768000.dex
/data/data/####/libsgsecuritybodyso-5.1.25.so.tmp
/data/data/####/libshella-2.9.0.2.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/lock.lock
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/mix.dex
/data/data/####/mix.so
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/pri_legu_tencent_analysis.db_cn.zifutech.tao-journal
/data/data/####/security_info
/data/data/####/share.db-journal
/data/data/####/sp.lock
/data/data/####/sys_log_1544694426985497.txt
/data/data/####/timestamp
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/umeng_socialize.xml
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/data/####/webview.db
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.mid.txt
/data/media/####/.mid.txt1000001
/data/media/####/.nomedia
/data/media/####/.umm.dat
/data/media/####/10c71042f1c448ab9679e3acbc48f0d5
/data/media/####/630691ac5a1e487ab0ccfc552aa5e9d3
/data/media/####/6c709c11d2d46a7b
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/af0b67603d7b4ba08bfc297ce0a58e6f
/data/media/####/cnzifutechtao_1.1.1_ad434c0a-8f01-5981-a93f-9f...d1.apk
/data/media/####/dd7893586a493dc3
/data/media/####/deviceToken
/data/media/####/e23b43e668764e318b324b046d81f8b0
/data/media/####/hid.dat
/data/media/####/sysid.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:5bdc1abeb465f5e58300002d","utdid":"XBIqj8sYWrUDAGdzx1FspTDM","sdkVersion":"221"} -I agoodm.m.taobao.com -O 80 -T -Z
chmod 500 <Package Folder>/files/DaemonServer
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
chmod 777 /storage/emulated/0/Download/<Package>/.beta/apk/cnzifutechtao_1.1.1_ad434c0a-8f01-5981-a93f-9ff0d1edd4d1.apk
getprop
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
ls /
ls /sys/class/thermal
sh

Загружает динамические библиотеки:

Bugly
MtaNativeCrash
libnfix
libshella-2.9.0.2
libufix
nfix
sgmainso-5.1
sgsecuritybodyso-5.1
tnet-3.1
ufix
ut_c_api

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-PKCS1PADDING

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней