Android.RemoteCode.3683

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.DownLoader.3887
Android.RemoteCode.41.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) as.j####.com:80
TCP(HTTP/1.1) adv.jpi####.com:80
TCP(HTTP/1.1) ei.c####.com:80
TCP(HTTP/1.1) l####.c####.q####.####.net:80
TCP(HTTP/1.1) l####.cigo####.com.####.com:80
TCP(HTTP/1.1) 1####.75.90.129:80
TCP(HTTP/1.1) f####.caiji####.com:80
TCP(HTTP/1.1) ip.ta####.com:80
TCP(HTTP/1.1) 362b3d8####.oss-cn-####.aliy####.com:80
TCP(HTTP/1.1) d####.wos####.com:80
TCP(HTTP/1.1) 1####.50.63.227:8881
TCP(HTTP/1.1) c.c####.com:80
TCP(HTTP/1.1) cdn.1####.wang:80
TCP(HTTP/1.1) ss.wx1####.com:80
TCP(HTTP/1.1) 1####.75.115.32:80
TCP(HTTP/1.1) k.zcul####.net:80
TCP(HTTP/1.1) k####.kyli####.com.####.com:80
TCP(HTTP/1.1) api.51aiz####.cn:80
TCP(HTTP/1.1) l.bjsd####.com:80
TCP(HTTP/1.1) z.c####.com:80
TCP(HTTP/1.1) z####.heyc####.net:80
TCP(HTTP/1.1) hd.a####.com:80
TCP(HTTP/1.1) p####.caiji####.com:80
TCP(HTTP/1.1) dd.arg####.com:80
TCP(HTTP/1.1) d####.dd7####.com:80
TCP(HTTP/1.1) c.xz####.com:3350
TCP(HTTP/1.1) d.bjsd####.com:80
TCP(HTTP/1.1) k.zcul####.net:7080
TCP(HTTP/1.1) p.rqco####.com:8806
TCP(HTTP/1.1) php.sho####.com:80
TCP(HTTP/1.1) s####.caiji####.com:666
TCP(HTTP/1.1) a####.caiji####.com:80
UDP(NTP) 2.and####.p####.####.org:123
TCP(TLS/1.0) log.cuda####.com:10090
TCP(TLS/1.0) res.ad####.cn:443
TCP(TLS/1.0) fy.innot####.com:443
TCP(TLS/1.0) st####.adhu####.com:443
TCP(TLS/1.0) ip.mm####.cn:443
TCP(TLS/1.0) m.tand####.com:443
TCP(TLS/1.0) act.ad####.cn:443
TCP(TLS/1.0) z.c####.com:443
TCP(TLS/1.0) v.ad####.cn:443
TCP(TLS/1.0) act.oc####.cn:443
TCP(TLS/1.0) c.c####.com:443
TCP(TLS/1.0) s####.tc.qq.com:443
TCP(TLS/1.0) s####.ad####.cn:443
TCP(TLS/1.0) aliyuns####.oss-cn-####.aliy####.com:443
TCP(TLS/1.0) gm.mm####.com:443
TCP(TLS/1.0) yun.tuis####.com:443
TCP(TLS/1.0) dis####.eq####.com:443
TCP(TLS/1.0) s####.yy.com:443
TCP(TLS/1.0) pic.qba####.com:443
TCP(TLS/1.0) aliyuno####.oss-cn-####.aliy####.com:443
TCP(TLS/1.0) img.ad####.cn:443
TCP(TLS/1.0) i.tand####.com:443
TCP(TLS/1.0) hm.b####.com:443
TCP(TLS/1.0) ei.c####.com:443
TCP(TLS/1.0) project####.cn-nort####.eb.####.cn:3333
TCP(TLS/1.0) cdn.boo####.com.####.com:443

Запросы DNS:

2.and####.p####.####.org
362b3d8####.oss-cn-####.aliy####.com
7x####.dl1.z0.####.com
a####.caiji####.com
a.bjsd####.com
act.ad####.cn
act.oc####.cn
adv-u####.t####.u####.net
adv.jpi####.com
aliyuno####.oss-cn-####.aliy####.com
aliyuno####.oss-cn-####.aliy####.com
aliyuns####.oss-cn-####.aliy####.com
api-co####.fog####.cn
api.51aiz####.cn
as.j####.com
c####.mm####.com
c.c####.com
c.xz####.com
cdn.1####.wang
cdn.boo####.com
d####.dd7####.com
d####.wos####.com
d.bjsd####.com
dc.ad####.cn
dd.arg####.com
dis####.eq####.com
ei.c####.com
f####.caiji####.com
fy.innot####.com
hm.b####.com
i####.adhu####.com
i####.adhu####.com
i####.adhu####.com
i.tand####.com
img.ad####.cn
ip.mm####.cn
ip.ta####.com
k####.kyli####.com
k.zcul####.net
l####.cigo####.com
l####.gd####.com
l.bjsd####.com
log.cuda####.com
m.tand####.com
p####.caiji####.com
p.rqco####.com
php.sho####.com
pic.qba####.com
r####.wx.qq.com
r.zcul####.net
res.ad####.cn
s####.ad####.cn
s####.caiji####.com
s####.yy.com
s19.c####.com
s22.c####.com
s5.c####.com
ss.wx1####.com
st####.adhu####.com
ttt.arg####.com
v.ad####.cn
yun.tuis####.com
z####.heyc####.net
z5.c####.com
z8.c####.com
z9.c####.com

Запросы HTTP GET:

362b3d8####.oss-cn-####.aliy####.com/h2.html?id=id=1####&web_id=####
362b3d8####.oss-cn-####.aliy####.com/js/yys1.js
as.j####.com/getStatus?id=dAM8####&h=####
as.j####.com/z_stat.js?m=1Fbax####
c.c####.com/core.php?web_id=####&t=####
c.c####.com/z_stat.php?id=####
c.c####.com/z_stat.php?id=####&web_id=####
cdn.1####.wang/sc_160
d####.dd7####.com//upload/plog/dfkn.jar
d####.dd7####.com//upload/sdk2/SDK31dex20190220.jar
d####.dd7####.com//upload/sdk2/cjmob20190301.jar
d####.dd7####.com//upload/sdk2/clsdkdex20181129.jar
d####.dd7####.com//upload/sdk2/sdk04dex20190218.jar
d####.dd7####.com/upload/plog/N38de20181225.jar
d####.dd7####.com/upload/plog/mfgz.jar
dd.arg####.com/weoye/kgse.js
ei.c####.com/stat.htm?id=####&cnzz_eid=####
ei.c####.com/stat.htm?id=####&r=####&lg=####&ntime=####&cnzz_eid=####&sh...
hd.a####.com/android/adv/qsz/advsdk/release/advsdk-release.enc
hd.a####.com/android/adv/qsz/resource/ljsdk.dex
ip.ta####.com/service/getIpInfo.php?ip=####
k####.kyli####.com.####.com/1551582613587_utils.ttf
l####.c####.q####.####.net/aristotle_20190305_v55.zip
l####.cigo####.com.####.com/
l####.cigo####.com.####.com/js/jquery.js
l####.cigo####.com.####.com/skin/11/css/mobile.css
l####.cigo####.com.####.com/skin/11/css/swiper.min.css
p.rqco####.com:8806/c/1552335637051
ss.wx1####.com/weoye/as_kgsei.html
ss.wx1####.com/weoye/as_kgseo.html
z.c####.com/stat.htm?id=####&cnzz_eid=####

Запросы HTTP POST:

a####.caiji####.com/v2/load/mobile
adv.jpi####.com/adv/dayActive
adv.jpi####.com/adv/getTask
adv.jpi####.com/adv/pluginFeedback
adv.jpi####.com/adv/pluginReq
adv.jpi####.com/adv/taskFedback
api.51aiz####.cn/api/cmcc/action?sdk=####&app=####
api.51aiz####.cn/api/cmcc/check?sdk=####&app=####
api.51aiz####.cn/api/cmcc/config?sdk=####&app=####
api.51aiz####.cn/api/cmcc/register?sdk=####&app=####
c.xz####.com:3350/s/
d####.wos####.com/upload/event.jsp
d####.wos####.com/upload/event2.jsp
d####.wos####.com/upload/longheartbeat.jsp
d####.wos####.com/upload/sdklongheartbeat.jsp
d.bjsd####.com/index.php?r=####
f####.caiji####.com/v3/task/mobile
k.zcul####.net/vsdk/a/t
k.zcul####.net:7080/oc/appr/c
l.bjsd####.com/index.php?r=####
p####.caiji####.com/klv2/sdkkl/mobile
php.sho####.com/index.php?r=####
s####.caiji####.com:666/v1/config
z####.heyc####.net/getlist
z####.heyc####.net/xlogin

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.b88bdc95-a0c0-48d7-852e-a9259c0ab505
/data/data/####/3ccc28b58d96d7152bd4579a32ca968a.d
/data/data/####/61561a876896a2a77dd8fe35b4403c0b.db
/data/data/####/828134A4E3D15FA5EC06CC7EE783A2A2.jar
/data/data/####/828134A4E3D15FA5EC06CC7EE783A2A2.tmp
/data/data/####/98d67217f6ef203425533e69f601561a
/data/data/####/99fa89db37b9859fdb387aa6b1199ad2.db
/data/data/####/ApplicationCache.db-journal
/data/data/####/BhbFjF.jar
/data/data/####/CachedGeoposition.db
/data/data/####/CachedGeoposition.db-journal
/data/data/####/Ecv0OI5i4.jar
/data/data/####/Lsqj9s.jar
/data/data/####/MIME.MF
/data/data/####/RSS_PL_COUNTLY_STORE.xml
/data/data/####/W_Key.xml
/data/data/####/app_spf_scli.xml
/data/data/####/b19288e.dex
/data/data/####/cB92c5lVbt.jar
/data/data/####/cJHSdhzT.jar
/data/data/####/cache_dep.xml
/data/data/####/cache_vd.xml
/data/data/####/cdsdfdse.xml
/data/data/####/cdsdfdse.xml.bak
/data/data/####/cfwszwaf.xml
/data/data/####/cmcc.xml
/data/data/####/com.lk.fc_preferences.xml
/data/data/####/com_lk_fc.txt
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/default.xml
/data/data/####/defaultpref1.xml
/data/data/####/dpi
/data/data/####/dwsaer.data-journal
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/f_000015
/data/data/####/f_000016
/data/data/####/f_000017
/data/data/####/f_000018
/data/data/####/f_000019
/data/data/####/f_00001a
/data/data/####/f_00001b
/data/data/####/f_00001c
/data/data/####/f_00001d
/data/data/####/f_00001e
/data/data/####/f_00001f
/data/data/####/f_000020
/data/data/####/f_000021
/data/data/####/f_000022
/data/data/####/f_000023
/data/data/####/f_000024
/data/data/####/f_000025
/data/data/####/f_000026
/data/data/####/f_000027
/data/data/####/f_000028
/data/data/####/f_000029
/data/data/####/f_00002a
/data/data/####/f_00002b
/data/data/####/f_00002c
/data/data/####/hid.db
/data/data/####/icon.png
/data/data/####/img-cache.zip
/data/data/####/index
/data/data/####/lnkumv
/data/data/####/load_MTAwMF8xMjAxXzE4NDAwMTAw;.xml
/data/data/####/nhgbbpxz.xml
/data/data/####/ombjhvs.data-journal
/data/data/####/pl_sp.xml
/data/data/####/rws_sp.xml
/data/data/####/sp_iconfig.xml
/data/data/####/sp_iconfig.xml.bak
/data/data/####/spfn_MTAwMF8xMjAxXzE4NDAwMTAw;.xml
/data/data/####/temp_file
/data/data/####/temp_file (deleted)
/data/data/####/vgsvfshq.data-journal
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/x9.so
/data/media/####/.nid
/data/media/####/SDK31dex20190220.jar
/data/media/####/cjmob20190301.jar
/data/media/####/clsdkdex20181129.jar
/data/media/####/com_lk_fc.txt
/data/media/####/config
/data/media/####/deviceId
/data/media/####/dfkn.jar
/data/media/####/master
/data/media/####/mfgz.jar
/data/media/####/sdk04dex20190218.jar

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh
cat /sys/class/android_usb/android0/idProduct
cat /sys/class/android_usb/android0/idVendor
chmod 0755 <Package Folder>/app_ht_sdk/check/MIME.MF
chmod 0755 <Package Folder>/app_ht_sdk/check/x9.so
getprop
ls -l /dev
ls -l /dev/block
ls -l /dev/block/vold
ls -l /dev/bus
ls -l /dev/bus/usb
ls -l /dev/bus/usb/001
ls -l /dev/com.android.settings.daemon
ls -l /dev/cpuctl
ls -l /dev/cpuctl/apps
ls -l /dev/cpuctl/apps/bg_non_interactive
ls -l /dev/graphics
ls -l /dev/input
ls -l /dev/log
ls -l /dev/pts
ls -l /dev/snd
ls -l /dev/socket
ps

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-NoPadding
AES-CBC-PKCS5Padding
DES-CBC-PKCS5Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
ARCFOUR
DES
DES-CBC-PKCS5Padding

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней