Android.DownLoader.4213

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.RemoteCode.41.origin
Android.Xiny.20

Загружает из Интернета следующие детектируемые угрозы:

Android.Xiny.20

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) img.cool####.cn:80
TCP(HTTP/1.1) a.bjsd####.com:80
TCP(HTTP/1.1) hd.a####.com:80
TCP(HTTP/1.1) adv.jpi####.com:80
TCP(HTTP/1.1) www.ye####.org:80
TCP(HTTP/1.1) 1####.75.90.129:80
TCP(HTTP/1.1) p.zcul####.net:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) oc.u####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) ob.nic####.cn:80
TCP(HTTP/1.1) 1####.75.115.32:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) api.51aiz####.cn:80
TCP(HTTP/1.1) z.c####.com:80
TCP(HTTP/1.1) z####.heyc####.net:80
TCP(HTTP/1.1) api.s####.mob.com:80
TCP(HTTP/1.1) cdn.d####.fm:80
TCP(HTTP/1.1) d####.dd7####.com:80
TCP(HTTP/1.1) fm.d####.com:80
TCP(HTTP/1.1) d.bjsd####.com:80
TCP(HTTP/1.1) im####.nic####.cn:80
TCP(HTTP/1.1) s####.caiji####.com:666
TCP(HTTP/1.1) php.sho####.com:80
TCP(HTTP/1.1) mobjump####.oss-cn-####.aliy####.com:80
TCP(HTTP/1.1) b####.www.ye####.org:80
TCP(HTTP/1.1) cd.kw####.com:80
TCP(HTTP/1.1) d####.wos####.com:80
TCP(HTTP/1.1) a####.caiji####.com:80
UDP(NTP) 2.and####.p####.####.org:123
TCP(TLS/1.0) hotfix####.oss-cn-####.aliy####.com:443
TCP(TLS/1.0) x####.tc.qq.com:443
TCP(TLS/1.0) fy.innot####.com:443
TCP(TLS/1.0) api.nic####.cn:443
TCP(TLS/1.0) act.ad####.cn:443
TCP(TLS/1.0) res.ad####.cn:443
TCP(TLS/1.0) v.ad####.cn:443
TCP(TLS/1.0) ty.cap####.qq.com:443
TCP(TLS/1.0) act.oc####.cn:443
TCP(TLS/1.0) xui.ptlo####.qq.com:443
TCP(TLS/1.0) s####.tc.qq.com:443
TCP(TLS/1.0) ip.mm####.cn:443
TCP(TLS/1.0) ui.ptlo####.qq.com:443
TCP(TLS/1.0) t####.qq.com:443
TCP(TLS/1.0) openmo####.qq.com:443
TCP(TLS/1.0) aliyuns####.oss-cn-####.aliy####.com:443
TCP(TLS/1.0) re####.url.cn:443
TCP(TLS/1.0) ssl.cap####.qq.com:443
TCP(TLS/1.0) yun.tuis####.com:443
TCP(TLS/1.0) pin####.qq.com:443
TCP(TLS/1.0) cap####.g####.com.####.com:443
TCP(TLS/1.0) aliyuno####.oss-cn-####.aliy####.com:443
TCP(TLS/1.0) img.ad####.cn:443
TCP(TLS/1.0) huatuos####.we####.com:443
TCP(TLS/1.0) hm.b####.com:443
TCP(TLS/1.0) s####.ad####.cn:443
TCP(TLS/1.0) g####.qq.com:443
TCP(TLS/1.0) p####.tc.qq.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5224

Запросы DNS:

2.and####.p####.####.org
7j####.c####.z0.####.com
a####.caiji####.com
a####.u####.com
a.bjsd####.com
act.ad####.cn
act.oc####.cn
adv-u####.t####.u####.net
adv.jpi####.com
aliyuno####.oss-cn-####.aliy####.com
aliyuno####.oss-cn-####.aliy####.com
aliyuns####.oss-cn-####.aliy####.com
api-co####.fog####.cn
api.51aiz####.cn
api.nic####.cn
api.s####.mob.com
b####.www.ye####.org
c####.g####.ig####.com
cap####.g####.com
cd.kw####.com
cdn.d####.fm
d####.dd7####.com
d####.wos####.com
d.bjsd####.com
dc.ad####.cn
f####.d####.com
fm.d####.com
fy.innot####.com
g####.qq.com
hm.b####.com
hotfix####.oss-cn-####.aliy####.com
huatuos####.we####.com
im####.nic####.cn
img.ad####.cn
img.cool####.cn
imgc####.qq.com
ip.mm####.cn
k####.kyli####.com
mobjump####.oss-cn-####.aliy####.com
ob.nic####.cn
oc.u####.com
openmo####.qq.com
p.zcul####.net
php.sho####.com
pin####.qq.com
r####.wx.qq.com
re####.url.cn
res.ad####.cn
s####.ad####.cn
s####.caiji####.com
s####.qq.com
s.u####.cn
sdk.o####.i####.####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
ssl.cap####.qq.com
t####.qq.com
ty.cap####.qq.com
ui.ptlo####.qq.com
v.ad####.cn
www.ye####.org
xui.ptlo####.qq.com
yun.tuis####.com
z####.heyc####.net
z2.c####.com
z5.c####.com
z9.c####.com

Запросы HTTP GET:

cdn.d####.fm//img1/1f/da/e1a01538811b811f37a7c3c38fb0.jpg
cdn.d####.fm/category_cover/v1/1449800276.jpg
cdn.d####.fm/category_cover/v1/1449800324.jpg
cdn.d####.fm/category_cover/v1/1449801773.jpg
cdn.d####.fm/category_cover/v1/1450231827.jpg
cdn.d####.fm/common/default/cover.jpg
cdn.d####.fm/common/default/hcc_android.png
cdn.d####.fm/img1/49/6c/5b45d500214b5df48ee773ea3d2c-big.jpg
cdn.d####.fm/img1/b9/12/db741555d4af43aac15a6d6eb94f-big.jpg
cdn.d####.fm/subject_cover/v1/big1487141814.jpg
cdn.d####.fm/subject_cover/v1/small1457077020.jpg
cdn.d####.fm/subject_cover/v1/small1457416523.jpg
d####.dd7####.com//upload/plog/dfkn.jar
d####.dd7####.com//upload/sdk2/SDK31dex20190220.jar
d####.dd7####.com//upload/sdk2/cjmob20190301.jar
d####.dd7####.com//upload/sdk2/clsdkdex20181129.jar
d####.dd7####.com//upload/sdk2/sdk04dex20190218.jar
d####.dd7####.com/upload/plog/N38de20181225.jar
d####.dd7####.com/upload/plog/mfgz.jar
d####.dd7####.com/upload/sdk3/SSDK_28.jar
fm.d####.com/api/category/get_list?device=####&hot=####&merge=####&type=...
fm.d####.com/api/category/get_list?device=####&merge=####&type=####&whol...
fm.d####.com/api/category/get_list?device=####&type=####&hot=####
fm.d####.com/api/collect/get_info?visitor_uid=####&cover_size=####&devic...
fm.d####.com/api/collect/get_user_collect_list?visitor_uid=####&device=#...
fm.d####.com/api/recommend/collect?device=####&limit=####&page=####&sort...
fm.d####.com/api/recommend/foucs?device=####&v=####
fm.d####.com/api/recommend/sound?device=####
fm.d####.com/api/recommend/subject?page=####
fm.d####.com/api/sys/show_ctrl
fm.d####.com/api/trends/show_tips?user_id=####
hd.a####.com/android/adv/qsz/advsdk/advsdk-release.enc
hd.a####.com/android/adv/qsz/resource/ljsdk.dex
im####.nic####.cn/group1/M00/04/38/rBGXxFwsc0SAEQc3AAADp1X_M1M175.png?x-...
im####.nic####.cn/group1/M00/04/38/rBGXxFwsc0uAbcNeAAADdlcFymk029.png?x-...
im####.nic####.cn/group1/M00/04/38/rBGXxFwscz-Adf-jAAAU7RUjtzU892.png?x-...
im####.nic####.cn/group1/M00/04/38/rBGXxFwscziAWRNMAAEazRQQIIU054.jpg?x-...
im####.nic####.cn/group1/M00/04/38/rBGXxFwsdD6ASdUXAAAGunSNlTI756.png?x-...
im####.nic####.cn/group1/M00/04/38/rBGXxFwsdDqAe1DwAAAVeQvrk7I006.png?x-...
im####.nic####.cn/group1/M00/04/38/rBGXxFwsdE2AbEGcAAALZFa0MZk233.png?x-...
im####.nic####.cn/group1/M00/04/38/rBGXxFwsdEOAXJ15AACGGzL9l4M794.png?x-...
im####.nic####.cn/group1/M00/04/38/rBGXxFwsdEiAd8hKAABPp1m5rMI361.png?x-...
im####.nic####.cn/group1/M00/04/38/rBGXxFwsdFGAFfHWAACXu25O9A0374.png?x-...
im####.nic####.cn/group1/M00/04/C6/rBGXxFxMFcuAHxrGAACeAAt3iv8855.gif
im####.nic####.cn/h5-mami/activity/hand.png
img.cool####.cn/201812/wl9.jar
mobjump####.oss-cn-####.aliy####.com/libs/aristotle_20191119_v50.zip
ob.nic####.cn/huodong/Production/20190221/node_modules/fastclick/lib/fas...
ob.nic####.cn/huodong/Production/20190221/pkg/Common.js
ob.nic####.cn/huodong/Production/20190221/pkg/Vendor.js
ob.nic####.cn/huodong/Production/20190221/projects/component/Buoy/Animat...
ob.nic####.cn/huodong/Production/20190221/projects/page/SlideRedPacket/i...
t####.c####.q####.####.com/tdata_Cyl001
t####.c####.q####.####.com/tdata_KtX382
z.c####.com/stat.htm?id=####&cnzz_eid=####

Запросы HTTP POST:

a####.caiji####.com/v2/load/mobile
a####.u####.com/app_logs
a.bjsd####.com/index.php?r=####
adv.jpi####.com/adv/dayActive
adv.jpi####.com/adv/getTask
adv.jpi####.com/adv/pluginFeedback
adv.jpi####.com/adv/pluginReq
adv.jpi####.com/adv/taskFedback
api.51aiz####.cn/api/cmcc/activetoday
api.51aiz####.cn/api/cmcc/check?sdk=####&app=####
api.51aiz####.cn/api/cmcc/config?sdk=####&app=####
api.51aiz####.cn/api/cmcc/register?sdk=####&app=####
api.s####.mob.com/conf4
api.s####.mob.com/conn
api.s####.mob.com/data2
api.s####.mob.com/log4
api.s####.mob.com/snsconf
b####.www.ye####.org/i?requestId=####&g=####&ua=####
cd.kw####.com/c
d####.wos####.com/upload/longheartbeat.jsp
d.bjsd####.com/index.php?r=####
ob.nic####.cn/niceapi/getactivity
ob.nic####.cn/niceapi/getactivitybuoy
ob.nic####.cn/niceapi/orderdatainfo
oc.u####.com/check_config_update
p.zcul####.net/m/a/t
php.sho####.com/index.php?r=####
s####.caiji####.com:666/v1/config
sdk.o####.p####.####.com/api.php?format=####&t=####
www.ye####.org/i?requestId=####&g=####&ua=####
z####.heyc####.net/getlist
z####.heyc####.net/xlogin

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/._MIME.MF
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/61561a876896a2a77dd8fe35b4403c0b.db
/data/data/####/99fa89db37b9859fdb387aa6b1199ad2.db
/data/data/####/CachedGeoposition.db
/data/data/####/CachedGeoposition.db-journal
/data/data/####/FvQcNR.jar
/data/data/####/MIME.MF
/data/data/####/PeRz51.jar
/data/data/####/W_Key.xml
/data/data/####/b19288e.dex
/data/data/####/cdsdfdse.xml
/data/data/####/cfwszwaf.xml
/data/data/####/cfwszwaf.xml.bak (deleted)
/data/data/####/cmcc.xml
/data/data/####/com.shwm.yousheng.resource.listenbooks_preferences.xml
/data/data/####/com_shwm_yousheng_resource_listenbooks.txt
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/downloadswc
/data/data/####/downloadswc-journal
/data/data/####/dpi
/data/data/####/duole.db
/data/data/####/duole.db-journal
/data/data/####/duole_guide.xml
/data/data/####/dwsaer.data-journal
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/f_000015
/data/data/####/f_000016
/data/data/####/f_000017
/data/data/####/f_000018
/data/data/####/f_000019
/data/data/####/f_00001a
/data/data/####/f_00001b
/data/data/####/f_00001c
/data/data/####/f_00001d
/data/data/####/gdaemon_20151105
/data/data/####/hid.db
/data/data/####/increment.db-journal
/data/data/####/index
/data/data/####/init.pid
/data/data/####/jII2Me.jar
/data/data/####/libjiagu-1378681423.so
/data/data/####/load_MTAwMF8xMjAxXzE4NDAwMTAw;.xml
/data/data/####/mBSiiyyyX6.jar
/data/data/####/mobclick_agent_online_setting_com.shwm.yousheng...ks.xml
/data/data/####/nhgbbpxz.xml
/data/data/####/nhgbbpxz.xml.bak (deleted)
/data/data/####/ombjhvs.data-journal
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/share_sdk_0.xml
/data/data/####/sharesdk.db-journal
/data/data/####/spfn_MTAwMF8xMjAxXzE4NDAwMTAw;.xml
/data/data/####/st.xml
/data/data/####/temp_file
/data/data/####/temp_file (deleted)
/data/data/####/ting_data.xml
/data/data/####/uVloExFxS.jar
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/vgsvfshq.data-journal
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/x9.so
/data/media/####/-1508629166.tmp
/data/media/####/-1637379663.tmp
/data/media/####/-291085770.tmp
/data/media/####/-449820462.tmp
/data/media/####/.ba
/data/media/####/.dk
/data/media/####/.nid
/data/media/####/1404062527.tmp
/data/media/####/2015490903.tmp
/data/media/####/2093978190.tmp
/data/media/####/211387309.tmp
/data/media/####/327083319.tmp
/data/media/####/5.1wl9.jar.u
/data/media/####/677365453.tmp
/data/media/####/953898193.tmp
/data/media/####/997341347.tmp
/data/media/####/N38de20181225.jar
/data/media/####/SDK31dex20190220.jar
/data/media/####/SSDK_28.jar
/data/media/####/app.db
/data/media/####/cjmob20190301.jar
/data/media/####/clsdkdex20181129.jar
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.shwm.yousheng.resource.listenbooks.db
/data/media/####/com_shwm_yousheng_resource_listenbooks.txt
/data/media/####/dfkn.jar
/data/media/####/download_data.txt
/data/media/####/mfgz.jar
/data/media/####/restime.dat
/data/media/####/sdk04dex20190218.jar
/data/media/####/tdata_Cyl001
/data/media/####/tdata_Cyl001.jar
/data/media/####/tdata_Cyl001.tmp
/data/media/####/tdata_KtX382
/data/media/####/tdata_KtX382.jar
/data/media/####/tdata_KtX382.tmp

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh
<Package Folder>/files/gdaemon_20151105 0 <Package>/com.igexin.sdk.PushService 26901 300 0
cat /sys/class/android_usb/android0/idProduct
cat /sys/class/android_usb/android0/idVendor
chmod 0755 <Package Folder>/app_ht_sdk/check/MIME.MF
chmod 0755 <Package Folder>/app_ht_sdk/check/__MACOSX/._MIME.MF
chmod 0755 <Package Folder>/app_ht_sdk/check/x9.so
chmod 700 <Package Folder>/files/gdaemon_20151105
chmod 755 <Package Folder>/.jiagu/libjiagu-1378681423.so
getprop
ls -l /dev
ls -l /dev/block
ls -l /dev/block/vold
ls -l /dev/bus
ls -l /dev/bus/usb
ls -l /dev/bus/usb/001
ls -l /dev/com.android.settings.daemon
ls -l /dev/cpuctl
ls -l /dev/cpuctl/apps
ls -l /dev/cpuctl/apps/bg_non_interactive
ls -l /dev/graphics
ls -l /dev/input
ls -l /dev/log
ls -l /dev/pts
ls -l /dev/snd
ls -l /dev/socket
ps

Загружает динамические библиотеки:

libjiagu-1378681423

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
DES-CBC-PKCS5Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-ECB-NoPadding
AES-ECB-PKCS5Padding
ARCFOUR
DES
DES-CBC-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней