Android.Packed.43151

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.DownLoader.3887
Android.DownLoader.860.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) hd.a####.com:80
TCP(HTTP/1.1) adv.jpi####.com:80
TCP(HTTP/1.1) gl####.w.kunl####.####.com:80
TCP(HTTP/1.1) pi####.qq.com:80
TCP(HTTP/1.1) hx.beila####.com:8086
TCP(HTTP/1.1) dc.l####.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) cdn.1####.wang:80
TCP(HTTP/1.1) api.zhuishu####.com:80
TCP(HTTP/1.1) api.51aiz####.cn:80
TCP(HTTP/1.1) zb####.v.qin####.com:80
TCP(HTTP/1.1) src.r####.com.####.com:80
TCP(HTTP/1.1) ss####.youxi####.com:80
TCP(HTTP/1.1) ip.adi####.net:80
TCP(HTTP/1.1) si####.jom####.com:80
TCP(HTTP/1.1) api.alli####.com:80
TCP(HTTP/1.1) p.rqco####.com:8806
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) c.xz####.com:3350
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) api.m####.adu####.com:80
TCP(HTTP/1.1) sdk.c####.com:80
TCP(HTTP/1.1) mobjump####.oss-cn-####.aliy####.com:80
TCP(HTTP/1.1) cgi.con####.qq.com:80
TCP(TLS/1.0) an####.l####.com:443
TCP(TLS/1.0) ip.mm####.cn:443
TCP(TLS/1.0) ip.adi####.net:443
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP(TLS/1.0) aliyuno####.oss-cn-####.aliy####.com:443

Запросы DNS:

a####.exc.mob.com
a####.u####.com
adv-u####.t####.u####.net
adv.jpi####.com
aliyuno####.oss-cn-####.aliy####.com
an####.l####.com
and####.b####.qq.com
and####.cli####.go####.com
api.51aiz####.cn
api.alli####.com
api.m####.adu####.com
api.zhuishu####.com
c.xz####.com
cdn.1####.wang
cgi.con####.qq.com
chap####.zhuishu####.com
dc.l####.com
hx.beila####.com
ip.adi####.net
ip.mm####.cn
l####.tbs.qq.com
mobjump####.oss-cn-####.aliy####.com
p.rqco####.com
pi####.qq.com
s####.adi####.net
s.69####.com
sdk.c####.com
src.r####.com
ss####.youxi####.com
sta####.zhuishu####.com
t11.b####.com

Запросы HTTP GET:

api.alli####.com/books/free_subject?id=####
api.alli####.com/product_h5_setup/config?pid=####&isClient=####
api.m####.adu####.com/report/indexnotice.api?request_id=####
api.zhuishu####.com/book/recommend?gender=####
api.zhuishu####.com/mix-atoc/546039ec39216f8e350b2bbf?view=####
api.zhuishu####.com/mix-atoc/59b9e4a42d8c88ab15270237?view=####
api.zhuishu####.com/mix-atoc/5a1fe108c6fc8dda02ec682f?view=####
cdn.1####.wang/sc_160
cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?sdkv=####&appid=###...
gl####.w.kunl####.####.com/agent/http://img.1391.com/api/v1/bookcenter/c...
hd.a####.com/android/adv/qsz/advsdk/advsdk-release.enc
hd.a####.com/android/adv/qsz/resource/ljsdk.dex
hd.a####.com/android/adv/qsz/resource/zl003sdk.dex
ip.adi####.net/api/ad/ad/sendDeviceInfo
ip.adi####.net/extra/information/list?acc=####
mobjump####.oss-cn-####.aliy####.com/libs/aristotle_20191119_v50.zip
p.rqco####.com:8806/c/1551648972220
si####.jom####.com/it/u=1673158720,4057706109&fm=76
src.r####.com.####.com/kubo/dex/luomi_9.1.24.dex
ss####.youxi####.com/Exposead/index/?re=cmFk####
ss####.youxi####.com/clickad/getYhIds?userkey=####
zb####.v.qin####.com/chapter/http://book.my716.com/getBooks.aspx?method=...

Запросы HTTP POST:

a####.exc.mob.com/errconf
a####.u####.com/app_logs
adv.jpi####.com/adv/dayActive
adv.jpi####.com/adv/getTask
adv.jpi####.com/adv/pluginFeedback
adv.jpi####.com/adv/pluginReq
adv.jpi####.com/adv/taskFedback
and####.b####.qq.com/rqd/async?aid=####
api.51aiz####.cn/api/cmcc/activetoday
api.51aiz####.cn/api/cmcc/check?sdk=####&app=####
api.51aiz####.cn/api/cmcc/config?sdk=####&app=####
api.51aiz####.cn/api/cmcc/register?sdk=####&app=####
c.xz####.com:3350/s/
dc.l####.com/adLogs/adLog
dc.l####.com/hLogs/saveHeartbeatLog
dc.l####.com/startLog/startLog
dc.l####.com/wLog/wLog
hx.beila####.com:8086/configure/arouse/as/dau
l####.tbs.qq.com/ajax?c=####&k=####
p.rqco####.com:8806/p/1551648972887
pi####.qq.com/mstat/report
sdk.c####.com/versiontapi.php?v=####&type=####
ss####.youxi####.com/Requestad

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/._MIME.MF
/data/data/####/.duid
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.vpl_lock
/data/data/####/1002
/data/data/####/1004
/data/data/####/75e6dbe2f26ce903d5507769b82e7a59f813bbdecc519a8....0.tmp
/data/data/####/8423167e2269c886d04232cfa113b4ca64e86bfd69368ce....0.tmp
/data/data/####/8dc1ad0081ef587941557d3599f0e1900482f144f4b0d01....0.tmp
/data/data/####/8fd20d71aef240a83c0488f5d0d72614.db
/data/data/####/A73A0540BCD4820052CCAC6FB86421A4.jar
/data/data/####/A73A0540BCD4820052CCAC6FB86421A4.tmp
/data/data/####/KbMTJ4Y.jar
/data/data/####/MIME.MF
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/YD_SP.xml
/data/data/####/ad4d962bb79118b6d9be51e7b9b1eb770e411fce88a623e....0.tmp
/data/data/####/ax_c.xml
/data/data/####/b19288e.dex
/data/data/####/b8881e73f05504043fc6a898e9a60e350d139a03f703029....0.tmp
/data/data/####/bugly_db_-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cf7c39d.dex
/data/data/####/cmcc.xml
/data/data/####/com.tencent.open.config.json.1106413839
/data/data/####/com.zhangchen.reader.BETA_VALUES.xml
/data/data/####/com.zhangchen.reader_preference.xml
/data/data/####/com.zhangchen.reader_preferences.xml
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/df97fc3e813673b2e571f12864e95d19.db
/data/data/####/domain_1
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f1457f082411ff8cda8638ce1809c3c06bc84547a3f70e8....0.tmp
/data/data/####/gg.dex
/data/data/####/ibkad_config.xml
/data/data/####/index
/data/data/####/journal.tmp
/data/data/####/libjiagu886892094.so
/data/data/####/local_crash_lock
/data/data/####/map_record.txt
/data/data/####/mc177.dex
/data/data/####/mc_cache.xml
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/native_record_lock
/data/data/####/reg_record.txt
/data/data/####/rqd_record.eup
/data/data/####/security_info
/data/data/####/ssp_brush_data.xml
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/temp_file
/data/data/####/temp_file (deleted)
/data/data/####/tencent_analysis.db-journal
/data/data/####/tomb.zip
/data/data/####/tomb_1551648974057.txt
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/x9.so
/data/data/####/ycmgce
/data/media/####/-1289005946
/data/media/####/-1741312354
/data/media/####/-943431157
/data/media/####/.artc_lock
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.im_lock
/data/media/####/.lesd_lock
/data/media/####/.mn_-1464060969
/data/media/####/.nomedia
/data/media/####/.pkg_lock
/data/media/####/.pkgs_lock
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/.ss_lock
/data/media/####/.wkl
/data/media/####/1.txt
/data/media/####/1979733920
/data/media/####/2.txt
/data/media/####/2034168707
/data/media/####/3.txt
/data/media/####/4.txt
/data/media/####/adv
/data/media/####/com.tencent.mobileqq_connectSdk.19.03.03.21.log
/data/media/####/config
/data/media/####/deviceId
/data/media/####/log.data
/data/media/####/master
/data/media/####/master.lock
/data/media/####/tbslog.txt

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
busybox ifconfig
cat /sys/class/net/wlan0/address
chmod 0755 <Package Folder>/app_ht_sdk/check/MIME.MF
chmod 0755 <Package Folder>/app_ht_sdk/check/__MACOSX/._MIME.MF
chmod 0755 <Package Folder>/app_ht_sdk/check/x9.so
getprop
getprop ro.product.cpu.abi
logcat -d -v threadtime -s dalvikvm art zygote zygote64 OpenGLRenderer Bugly-libunwind:S
logcat -t 1000 -v threadtime Bugly-libunwind:S

Загружает динамические библиотеки:

Bugly
MtaNativeCrash
libjiagu886892094

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
DES-CBC-PKCS5Padding
DES-ECB-PKCS7Padding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding
AES-ECB-NoPadding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
ARCFOUR
DES
DES-CBC-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней