Android.DownLoader.4009

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.DownLoader.611.origin
Android.Triada.440.origin

Загружает из Интернета следующие детектируемые угрозы:

Android.DownLoader.611.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c.g####.qq.com:80
TCP(HTTP/1.1) dn.tc####.com:80
TCP(HTTP/1.1) s####.tc.qq.com:80
TCP(HTTP/1.1) p####.tc.qq.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) f####.ma####.xi####.####.net:80
TCP(HTTP/1.1) l####.cc:80
TCP(HTTP/1.1) api.chen####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) app-t####.b0.upa####.com:80
TCP(HTTP/1.1) w####.pcon####.com.cn:80
TCP(HTTP/1.1) amdc####.m.ta####.com:80
TCP(HTTP/1.1) v####.ix####.com:80
TCP(HTTP/1.1) d.g####.qq.com:80
TCP(HTTP/1.1) v3.bule####.cn:7001
TCP(HTTP/1.1) f####.ma####.xi####.####.com:80
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(HTTP/1.1) mi.g####.qq.com:80
TCP(HTTP/1.1) mo####.b####.com:80
TCP(HTTP/1.1) t####.lejiaqu####.com:80
TCP(TLS/1.0) av1.x####.com:443
TCP(TLS/1.0) sdkco####.ad.xi####.com:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) analy####.map.qq.com:443
TCP(TLS/1.0) c####.x####.com:443
TCP(TLS/1.0) mobads-####.b####.com:443
TCP(TLS/1.0) 1####.217.17.142:443
TCP(TLS/1.0) s####.e.qq.com:443
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) z####.ad.xi####.com:443
TCP(TLS/1.0) dxp.b####.com:443
TCP(TLS/1.0) h####.b####.com:443
TCP openj####.m.ta####.com:80
TCP ope####.m.ta####.com:443

Запросы DNS:

a####.man.aliy####.com
a####.u####.com
ag####.m.ta####.com
amdc####.m.ta####.com
analy####.map.qq.com
and####.b####.qq.com
api.chen####.com
app-t####.b0.upa####.com
av1.x####.com
c####.x####.com
c.g####.qq.com
d.g####.qq.com
dn.tc####.com
dxp.b####.com
f1.ma####.xi####.com
f3.ma####.xi####.com
f4.ma####.mi####.com
f4.ma####.xi####.com
f5.ma####.mi####.com
f5.ma####.xi####.com
h####.b####.com
imgc####.qq.com
l####.cc
mi.g####.qq.com
mo####.b####.com
mobads-####.b####.com
p####.ugd####.com
plb####.u####.com
qzones####.g####.cn
s####.e.qq.com
sdkco####.ad.xi####.com
t####.lejiaqu####.com
u####.u####.com
umen####.m.ta####.com
umengj####.m.ta####.com
v####.ix####.com
v3.bule####.cn
w####.pcon####.com.cn
z####.ad.xi####.com

Запросы HTTP GET:

api.chen####.com/adApi/popup?json=vk####
api.chen####.com/adApi/top?json=vk####
api.chen####.com/api/appUpdate?json=vk####
api.chen####.com/api/checkConf?json=vk####
api.chen####.com/api/getChannel?json=vk####
api.chen####.com/api/getNews?json=####
api.chen####.com/api/getVChannel?json=vk####
app-t####.b0.upa####.com/apps/ad_new.json
app-t####.b0.upa####.com/apps/ad_word.json
c.g####.qq.com/gdt_mclick.fcg?viewid=####&jtype=####&i=####&os=####&asi=...
d.g####.qq.com/fcg-bin/gdt_appdetail.fcg?ico=####&op_appid=####
dn.tc####.com/dnfile/shengjibao/NewVideoKernalApiTT1127_101.jar
f####.ma####.xi####.####.com/download/AdCenter/06245f583f7ae480e1123dd27...
f####.ma####.xi####.####.net/download/AdCenter/06245f583f7ae480e1123dd27...
mi.g####.qq.com/gdt_mview.fcg?posw=####&spsa=####&posh=####&count=####&r...
mo####.b####.com/cpro/ui/mads.php?code2=####&b1544719957572=####
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android02/images/tsa_ad_logo.png
p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
s####.tc.qq.com/gdt/0/DAAD72KAKAAPAAApBbjS57B44zn5rU.jpg/0?ck=####
s####.tc.qq.com/gdt/0/DAAioxxAKAAPAABJBcD6AWCirYTyfU.jpg/0?ck=####
t####.lejiaqu####.com/taobao/get-optional?device_value=####&has_coupon=#...
v####.ix####.com/311829a262060a9707d038f0c93160e9/5c12643d/video/m/2203a...
v####.ix####.com/335cdbbc945b2ce09a435ac7678cb9ff/5c1266aa/video/m/22002...
v####.ix####.com/6b9e554b52c70beea9aa5afe164b9294/5c1266ee/video/m/22039...
v####.ix####.com/e9a51a527d9e1b25148dbe4cda5a0213/5c126fcf/video/m/2200d...

Запросы HTTP POST:

a####.u####.com/app_logs
amdc####.m.ta####.com/amdc/mobileDispatch?appkey=####&deviceId=####&plat...
and####.b####.qq.com/rqd/async
l####.cc/i/sdk/install
l####.cc/i/sdk/open
s####.e.qq.com/activate
s####.e.qq.com/click
s####.e.qq.com/launch
s####.e.qq.com/msg
sh.wagbr####.aliyun####.com/man/api?ak=####&s=####
v3.bule####.cn:7001/v3/api_request.aspx
v3.bule####.cn:7001/v3/api_settings.aspx
w####.pcon####.com.cn/ip.jsp

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/1544719956231_2289
/data/data/####/1544719957139_2289
/data/data/####/1544719958090_2289
/data/data/####/1544719958765_2289
/data/data/####/1544719959374_2289
/data/data/####/1544719961328_2289
/data/data/####/1544719966452_2601
/data/data/####/1544719975053_2886
/data/data/####/1544719976790_2886
/data/data/####/1544719982639_3148
/data/data/####/1544720009488_4402
/data/data/####/1544720024273_4938
/data/data/####/1544720025937_4938
/data/data/####/1544720034649_5116
/data/data/####/1544720035937_5116
/data/data/####/2289.yaqcookie
/data/data/####/2601.yaqcookie
/data/data/####/2886.yaqcookie
/data/data/####/3148.yaqcookie
/data/data/####/4402.yaqcookie
/data/data/####/5ead7c1916e321af3ee0d7d6aa595238.temp
/data/data/####/72b363d34dd9f99f563a9db652e9a827.temp
/data/data/####/ACCS_BINDumeng;5a5da12ba40fa339a20000ff.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/Archimedes_p1
/data/data/####/Archimedes_p2
/data/data/####/Archimedes_p3
/data/data/####/Archimedes_p4
/data/data/####/Archimedes_p5
/data/data/####/BuglySdkInfos.xml
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/LKME_Server_Request_Queue.xml
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/MultiDex.lock
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TDpref_cloudcontrol1.xml
/data/data/####/TDpref_longtime.xml
/data/data/####/TDpref_longtime0.xml
/data/data/####/TDpref_shorttime.xml
/data/data/####/TDpref_shorttime0.xml
/data/data/####/VideoRes.apk
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__local_ap_info_cache.json
/data/data/####/__local_last_session.json
/data/data/####/__local_stat_cache.json
/data/data/####/__local_stat_full_cache.json
/data/data/####/__send_data_1544719967809
/data/data/####/__send_data_1544719976211
/data/data/####/__send_data_1544719983810
/data/data/####/__track_send_data_1544719976215
/data/data/####/__x_adsdk_agent_header__.xml
/data/data/####/__xadsdk__remote__final__builtin__.jar
/data/data/####/__xadsdk__remote__final__builtinversion__.jar
/data/data/####/__xadsdk__remote__final__running__.jar
/data/data/####/_m_rec.xml
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/analytics.apk.tmp
/data/data/####/analytics_updater.xml
/data/data/####/article_cache.db
/data/data/####/article_cache.db-journal
/data/data/####/baidu_mtj_sdk_record.xml
/data/data/####/bugly_db_legu-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.baidu.mobads.loader.xml
/data/data/####/com.quyu.youliao_preferences.xml
/data/data/####/com.quyu.youliao_preferences.xml.bak
/data/data/####/com.quyu.youliao_preferences.xml.bak (deleted)
/data/data/####/config.xml
/data/data/####/d8e67ec7102dca09281249c880d77711.temp
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NzE5OTU1NjEw;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NzE5OTY1Njk3;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NzE5OTc0MTc4;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NzE5OTgxMzMw;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NzE5OTk1MTQx;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NzE5OTk2NTk5;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NzE5OTkzNzEy;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NzIwMDA1OTMz;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NzIwMDA3MzA5;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NzIwMDA4Nzc5;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NzIwMDAwODc0;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NzIwMDAyMjgy;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NzIwMDAzNzMy;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NzIwMDE0MDgy;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NzIwMDE1NDcz;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NzIwMDE2NzAw;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NzIwMDIzMDkw;
/data/data/####/dW1weF9wdXNoX3JlZ2lzdGVyXzE1NDQ3MTk5NjA2NjE=;
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/dexMethod.82894129.dat
/data/data/####/dexMethod.95223487.dat
/data/data/####/downloader.db-journal
/data/data/####/eudemon
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/gdt_config.cfg
/data/data/####/gdt_plugin.dex (deleted)
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_plugin.tmp.sig
/data/data/####/gdt_stat.db
/data/data/####/gdt_stat.db-journal
/data/data/####/gdt_suid
/data/data/####/httpdns_config_cache.xml
/data/data/####/i==1.2.0&&2.3.2_1544719955683_envelope.log
/data/data/####/i==1.2.0&&2.3.2_1544719965805_envelope.log
/data/data/####/i==1.2.0&&2.3.2_1544719974302_envelope.log
/data/data/####/i==1.2.0&&2.3.2_1544719981390_envelope.log
/data/data/####/i==1.2.0&&2.3.2_1544719993858_envelope.log
/data/data/####/id6550309d-0d4f-4816-9d47-8277b5a46f87.tmp
/data/data/####/info.xml
/data/data/####/iv
/data/data/####/libcuid.so
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.2.so
/data/data/####/libufix.so
/data/data/####/libyaqbasic.82894129.so
/data/data/####/libyaqbasic.95223487.so
/data/data/####/libyaqpro.82894129.so
/data/data/####/libyaqpro.95223487.so
/data/data/####/linkedme_referral_shared_pref.xml
/data/data/####/linkedme_referral_shared_pref.xml.bak (deleted)
/data/data/####/local_crash_lock
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/mimo_asset.apk
/data/data/####/mix.dex
/data/data/####/mtj_autoTracker.js
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/plugin_updater.xml
/data/data/####/read.db
/data/data/####/read.db-journal
/data/data/####/rqd_record.eup
/data/data/####/salt
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/security_info
/data/data/####/tdid.xml
/data/data/####/tomb_1544720044192.txt
/data/data/####/trace_circle.data
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopensdk.db-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/update_lc
/data/data/####/videokernel.apk
/data/data/####/videokernel.dex (deleted)
/data/data/####/videonewyd_db-journal
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/yaqsdkcookie
/data/data/####/zeus_pms.xml
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.confd
/data/media/####/.confd-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.lm_device_id
/data/media/####/.nomedia
/data/media/####/.tcookieid
/data/media/####/.timestamp
/data/media/####/.umm.dat
/data/media/####/0afc9cce6cba4b9d9396f7fa9669100e
/data/media/####/0c7052f8ba704a0095dbc9f6941bdc4b
/data/media/####/206ff0ee97c2495c85f7b5e27204f56f
/data/media/####/2158f8b129de4e9bbdc381e6e39650de
/data/media/####/3563384d1d344072acd3b3a55b49da22
/data/media/####/4d1566e3e947436ba9654ad854734304
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/Videoshell.log
/data/media/####/a65cc667de8348b9bb37add94d60ea4e
/data/media/####/acb14a1bf299421580ee483add4ab6c6
/data/media/####/c1bcf5c8720c4e809d7d8b9ee7044f2c
/data/media/####/d2cf8d8708204a64a11eec6e6073cb3b
/data/media/####/deviceToken
/data/media/####/kernel.dat
/data/media/####/kernel.dat.tmp
/data/media/####/ks.db
/data/media/####/ks.db-journal
/data/media/####/sysid.dat
/data/media/####/toutiao_18b24.mp4.tmp
/data/media/####/toutiao_1e67d.mp4
/data/media/####/toutiao_2ed42.mp4.tmp
/data/media/####/toutiao_d83d5.mp4.tmp

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:5a5da12ba40fa339a20000ff","utdid":"XBKOU3lZBSQDAGdzx1E+2crV","sdkVersion":"221"} -I agoodm.m.taobao.com -O 80 -T -Z
cat /sys/class/net/wlan0/address
chmod 500 <Package Folder>/files/DaemonServer
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.display.id
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.smartisan.version
getprop ro.vivo.os.build.display.id
getprop ro.vivo.os.version
getprop ro.yunos.version
logcat -d -v threadtime
ls /sys/class/thermal
sh

Загружает динамические библиотеки:

Bugly
crash_analysis
libnfix
libshella-2.9.0.2
libufix
libyaqbasic.82894129
libyaqbasic.95223487
libyaqpro.82894129
libyaqpro.95223487
nfix
tnet-3.1
ufix

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
DES-CBC-PKCS5Padding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней