Android.RemoteCode.3697

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.RemoteCode.907
Android.Triada.248.origin
Android.Triada.464.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c####.hyhon####.cn:80
TCP(HTTP/1.1) i####.api.qiazhiw####.cn:10003
TCP(HTTP/1.1) 1####.55.93.104:9004
TCP(HTTP/1.1) bf####.8p####.com:11039
TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10201
TCP(HTTP/1.1) dex.oss-ap-####.aliy####.com:80
TCP(HTTP/1.1) wn.qiazhiw####.cn.####.net:80
TCP(HTTP/1.1) api.a####.com:8280
TCP(HTTP/1.1) dn.tc####.com:80
TCP(HTTP/1.1) gdv.a.s####.com:80
TCP(HTTP/1.1) 1####.78.31.198:8030
TCP(HTTP/1.1) oc.u####.com:80
TCP(HTTP/1.1) q####.a####.com:80
TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10103
TCP(HTTP/1.1) z####.heyc####.net:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) b####.z####.cn:80
TCP(HTTP/1.1) ja####.huita####.com:10091
TCP(HTTP/1.1) c####.jzp####.cn:80
TCP(HTTP/1.1) nc####.6tf####.com:15032
TCP(HTTP/1.1) fy.bigb####.com:6099
TCP(HTTP/1.1) ji####.jieme####.com:8152
TCP(HTTP/1.1) l####.bigb####.com:6099
TCP(HTTP/1.1) apc.wjm####.com:80
TCP(HTTP/1.1) v####.api.eeric####.com:80
TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10001

Запросы DNS:

4y####.um0####.com
a####.u####.com
a.bjsd####.com
apc.wjm####.com
api.93####.com
api.a####.com
b####.z####.cn
bf####.8p####.com
c####.api.qiazhiw####.cn
c####.hyhon####.cn
c####.jzp####.cn
dex.oss-ap-####.aliy####.com
dn.tc####.com
fy.bigb####.com
hx.wjm####.com
i####.api.qiazhiw####.cn
i####.api.qiazhiw####.cn
ja####.huita####.com
jb####.qh####.com
ji####.dl####.com
ji####.jieme####.com
l####.bigb####.com
nc####.6tf####.com
ny.liz####.com
oc.u####.com
pv.s####.com
sdk.api.qiazhiw####.cn
tm####.dae####.com
v####.api.eeric####.com
wn.qiazhiw####.cn
z####.heyc####.net
z5.c####.com
z56####.evh####.com

Запросы HTTP GET:

b####.z####.cn/XD/sdk-0222.27.zip
c####.hyhon####.cn/OK/QWE002
c####.hyhon####.cn/OK/QWE012
c####.jzp####.cn/op/masrvot.zip
dex.oss-ap-####.aliy####.com/dex/20190226/phoneinfo3.apk?21####
dn.tc####.com/dnfile/wmp/WG3N20181029LD31020.jar
gdv.a.s####.com/cityjson?ie=####
q####.a####.com/jieplginf/djmdeta29
wn.qiazhiw####.cn.####.net/update/up02229498

Запросы HTTP POST:

a####.u####.com/app_logs
apc.wjm####.com/core/user/initPay
apc.wjm####.com/fetchMobileService/fetchMobile
apc.wjm####.com/inte/upResult
apc.wjm####.com/inte/upSdkCrashLog
apc.wjm####.com/inte/upSmsCollection
api.a####.com:8280/core/hb
bf####.8p####.com:11039/fevqe
bf####.8p####.com:11039/qysvz
fy.bigb####.com:6099/aps/
i####.api.qiazhiw####.cn:10003/v2/chis2
ja####.huita####.com:10091/wisdom/marking
ji####.jieme####.com:8152/ryf_webserver/payment/checkupdate.html
l####.bigb####.com:6099/aps/
nc####.6tf####.com:15032/down
nc####.6tf####.com:15032/install
nc####.6tf####.com:15032/quest
nc####.6tf####.com:15032/run
oc.u####.com/v2/check_config_update
oc.u####.com/v2/get_update_time
sdk.api.qiazhiw####.cn:10001/v2/bag/monitor?app_id=####&t=####
sdk.api.qiazhiw####.cn:10001/v2/sdk/init2?app_id=####&t=####
sdk.api.qiazhiw####.cn:10001/v2/update/check?app_id=####&t=####
sdk.api.qiazhiw####.cn:10103/v3/order/get?app_id=####&t=####
sdk.api.qiazhiw####.cn:10103/v3/order/scoreget?app_id=####&t=####
sdk.api.qiazhiw####.cn:10201/v2/sdk/report2?app_id=####&t=####
sdk.api.qiazhiw####.cn:10201/v2/sdk/report?app_id=####&t=####
v####.api.eeric####.com/api/payment/mobileInit.html
v####.api.eeric####.com/api/payment/payDynamic.html
z####.heyc####.net/getlist

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.DEVICES
/data/data/####/.imprint
/data/data/####/1552381456538
/data/data/####/1552381471551
/data/data/####/1552381483823
/data/data/####/1552381498183
/data/data/####/1552381510673
/data/data/####/38DD8B96194AE9A9E42BDA0DE378C3BC.xml
/data/data/####/38DD8B96194AE9A9E42BDA0DE378C3BC.xml.bak
/data/data/####/4NpIMYBcofqsaE9NzXxqpJzxN2M=.new
/data/data/####/BB329387E35EC64A285EDFFB32DC6E12.xml
/data/data/####/BE64377A23A0130F6C5A82350310E31E.xml
/data/data/####/CI_iNFE2-FFRczSfHb8M6Q==.new
/data/data/####/C_XqihOxw43E1TQ_lX_xJnt9VpZWysVj_aK1t66CyQ3oadEyg-journal
/data/data/####/DA71801AE4546BE0D909948137905ED9.xml
/data/data/####/Dxhn9kCYyUtIT56XNldpbw==
/data/data/####/EF1F19F5DB18554471C7A30661B046BC.xml
/data/data/####/F29B5FE74986CD64B2DDAEDD2A58B7AA.xml
/data/data/####/JiePay.xml
/data/data/####/KJX4U-hGhgIbnGLb35xoSA==
/data/data/####/L-RCjJ4alDehY3s59Ecpog==.new
/data/data/####/TY2tbm3AtjAqWnoB.zip
/data/data/####/Xcv_8-Uvvaw_6ALgcivrR85287o=
/data/data/####/Xcv_8-Uvvaw_6ALgcivrR85287o=.new
/data/data/####/XinZF.xml
/data/data/####/XinZF_conf.xml
/data/data/####/XinZFsmspay.db
/data/data/####/XinZFsmspay.db-journal
/data/data/####/_66TEBkb6IL4MNdYDTJ2T-_C13I=.new
/data/data/####/action.db-journal
/data/data/####/aoBYwVPyoQ3xKgC233mFOw==.new
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cdsddfdse.xml
/data/data/####/com.mnsy.akdivfffd.com.one.sdk.c.amsg.db-journal
/data/data/####/com.mnsy.akdivfffd.com.sdk.a.a_mseg.db
/data/data/####/com.mnsy.akdivfffd.com.sdk.a.a_mseg.db-journal
/data/data/####/com.mnsy.akdivfffd.xml
/data/data/####/com.mnsy.akdivfffd.xml.bak (deleted)
/data/data/####/com.mnsy.akdivfffd_preferences.xml
/data/data/####/config50083.xml
/data/data/####/dpi
/data/data/####/e0UhNASYL2QGJ6l5C-q8MplVdfo=.new
/data/data/####/engc.jar
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/game_res
/data/data/####/game_res.zip
/data/data/####/gxuobg_f.zip
/data/data/####/hU4_oHGZ1JNgE1opXdgLRCybhck=
/data/data/####/hU4_oHGZ1JNgE1opXdgLRCybhck=.new
/data/data/####/jiepay_config.xml
/data/data/####/jiepayplugin.apk
/data/data/####/jiepayplugin.apkdata
/data/data/####/jiepaysmspay.db
/data/data/####/jiepaysmspay.db-journal
/data/data/####/js_ad_bundle_data.xml
/data/data/####/libncqhc.so
/data/data/####/libncqhc.so-32
/data/data/####/libncqhc.so-64
/data/data/####/libzddin.so
/data/data/####/libzddin.so-32
/data/data/####/libzddin.so-64
/data/data/####/lj-0Ft3ZOyWH2rZuB5OAi3QPoFaRz9B3.new
/data/data/####/loccalCache.xml
/data/data/####/nX6cFhwyszMO_UUli9JJ_A==.new
/data/data/####/new_md.jar
/data/data/####/new_md.jar (deleted)
/data/data/####/onePay.xml
/data/data/####/onlineconfig_agent_online_setting_com.mnsy.akdivfffd.xml
/data/data/####/phoneinfo3.apk.ap (deleted)
/data/data/####/phoneinfo3.apk.apk
/data/data/####/phoneinfo3.apk.apk.json
/data/data/####/prdopt.xml
/data/data/####/rdata_comuflwhzd.new
/data/data/####/runner_info.prop.new
/data/data/####/shunpay_config
/data/data/####/svygf.png
/data/data/####/tmpbl.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/ufvbxhep.jar
/data/data/####/uid.f
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/up02229498
/data/data/####/up02229498.jar
/data/data/####/vgsvfsdhq.data-journal
/data/data/####/wcbed.png
/data/data/####/webview.db-journal
/data/data/####/xK8FdQEut_m6hJuR
/data/data/####/y5x2XpqHXG5AV9nX.new
/data/data/####/yd_config_c.xml
/data/data/####/zdfc.jar
/data/media/####/.bsgo
/data/media/####/.nid
/data/media/####/.uuid
/data/media/####/.uunique.new
/data/media/####/2BAAE4C6E55394898E6143512B2111D4.temp
/data/media/####/2BAAE4C6E55394898E6143512B2111D4.zip
/data/media/####/6ED4827DE0B7F30EFB88BBB95517BB25.temp
/data/media/####/6ED4827DE0B7F30EFB88BBB95517BB25.zip
/data/media/####/A4C02CF39CD95E518E9D827E7EE1A05E
/data/media/####/A4C02CF39CD95E518E9D827E7EE1A05E.temp
/data/media/####/BAA0DD872CD1870FBB9A267B7A6AA7F8
/data/media/####/BAA0DD872CD1870FBB9A267B7A6AA7F8.temp
/data/media/####/BDFE1BF2DD64263E10C8BF60C80A4AE3
/data/media/####/C6179E2B50154E9F7AD9CEBA24BD35FF
/data/media/####/log
/data/media/####/msg
/data/media/####/order
/data/media/####/status

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh
cat /proc/version
cat /sys/class/android_usb/android0/idProduct
cat /sys/class/android_usb/android0/idVendor
cat /sys/class/net/wlan0/address
getprop
getprop ro.board.platform
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.vivo.os.version
getprop ro.yunos.version
ps

Загружает динамические библиотеки:

cocos2dcpp
core
libncqhc
libzddin
n24b61
shunpay

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
DES
DES-CBC-PKCS5Padding
DES-ECB-PKCS5Padding
RSA-ECB-PKCS1Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
DES
DES-CBC-PKCS5Padding
DES-ECB-PKCS5Padding
RSA-ECB-PKCS1Padding
RSA-None-PKCS1Padding

Содержит функциональность для автоматической отправки SMS.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Парсит информацию из SMS.

Получает информацию об отправленых/принятых SMS.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней