Android.RemoteCode.3932

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.RemoteCode.127.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.b####.qq.com:8012
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) api.won####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) api.map.b####.com:80
TCP(HTTP/1.1) a####.b####.qq.com:8011
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) loc.map.b####.com:443
TCP(TLS/1.0) o####.map.b####.com:443
TCP(TLS/1.0) api.s####.com:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) s####.j####.cn:443
TCP(TLS/1.0) ali-s####.j####.cn:443
TCP(TLS/1.0) gd-s####.j####.cn:443
TCP(TLS/1.0) t####.j####.cn:443
TCP 1####.230.236.47:7002
UDP s.j####.cn:19000

Запросы DNS:

a####.b####.qq.com
a####.exc.mob.com
aexcep####.b####.qq.com
ali-s####.j####.cn
and####.b####.qq.com
api.map.b####.com
api.s####.com
api.won####.com
gd-s####.j####.cn
img.won####.com
loc.map.b####.com
o####.map.b####.com
plb####.u####.com
s####.j####.cn
s.j####.cn
t####.j####.cn
u####.u####.com

Запросы HTTP GET:

api.map.b####.com/sdkproxy/v2/lbs_androidsdk/place/v2/search?query=####&...
ti####.c####.l####.####.com/userfiles/image/20180628/281711435e0ff815bb5...
ti####.c####.l####.####.com/userfiles/image/20180709/091518114ac0188cfc7...
ti####.c####.l####.####.com/userfiles/image/20180710/100936415076fea4533...
ti####.c####.l####.####.com/userfiles/image/20180710/10093641b3834de78d3...
ti####.c####.l####.####.com/userfiles/image/20180710/10093641f6ff79ab999...
ti####.c####.l####.####.com/userfiles/image/20180710/1009413980dd46418d1...
ti####.c####.l####.####.com/userfiles/image/20180710/10094222bf4e94122e0...
ti####.c####.l####.####.com/userfiles/image/20180804/04134106c9cecbbb2d4...
ti####.c####.l####.####.com/userfiles/image/20180804/04134259dbc51c51b84...
ti####.c####.l####.####.com/userfiles/image/20180804/0415170446fb01b7b25...
ti####.c####.l####.####.com/userfiles/image/20180815/15180341a1ef7e3a9d8...
ti####.c####.l####.####.com/userfiles/image/20180930/30113133a66e28e2e15...
ti####.c####.l####.####.com/userfiles/image/20181122/221430568a15d1b7126...
ti####.c####.l####.####.com/userfiles/image/20181128/28141204853dbb75eb2...
ti####.c####.l####.####.com/userfiles/image/20181203/0313485626e3d572494...
ti####.c####.l####.####.com/userfiles/image/20181218/1816545941459c21684...
ti####.c####.l####.####.com/userfiles/image/20190114/141129082a5844623e5...
ti####.c####.l####.####.com/userfiles/image/20190124/241523177146fe9ab10...
ti####.c####.l####.####.com/userfiles/image/20190214/14102145e766906f552...
ti####.c####.l####.####.com/userfiles/image/20190215/151350245e923261755...
ti####.c####.l####.####.com/userfiles/image/20190215/15135744e03adb25e36...
ti####.c####.l####.####.com/userfiles/image/20190215/151433565850823e288...
ti####.c####.l####.####.com/userfiles/image/20190216/161344582de57042658...
ti####.c####.l####.####.com/userfiles/image/20190221/2111215202c59eab9d2...
ti####.c####.l####.####.com/userfiles/image/20190221/211125143c7ede18bd2...
ti####.c####.l####.####.com/userfiles/image/20190221/21112613a931f202983...
ti####.c####.l####.####.com/userfiles/image/20190221/2111265590bef89bf67...
ti####.c####.l####.####.com/userfiles/image/20190312/121335106c0c0970dc2...
ti####.c####.l####.####.com/userfiles/image/20190312/12134422467ec0a9ce9...
ti####.c####.l####.####.com/userfiles/image/20190313/1310092453eb20597f6...
ti####.c####.l####.####.com/userfiles/image/20190313/13104921f4a00861264...
ti####.c####.l####.####.com/userfiles/image/20190313/13105145f5a71541747...

Запросы HTTP POST:

a####.b####.qq.com:8011/rqd/async
a####.b####.qq.com:8012/rqd/async
a####.exc.mob.com/errconf
and####.b####.qq.com/rqd/async
and####.b####.qq.com/rqd/async?aid=####
api.won####.com/api/v1/developer/brands?area_id=####
api.won####.com/api/v1/houses/detail?houses_id=####&api_token=####
api.won####.com/api/v1/houses/pictures?houses_id=####
api.won####.com/api/v1/houses/search?area_id=####&page=####
api.won####.com/api/v1/houses/search?keyword=####&sort_column=####&sort=...
api.won####.com/api/v1/houses/similar?houses_id=####
api.won####.com/api/v1/planner?page=####&area_id=####&api_token=####
api.won####.com/api/v1/public/acreage/list
api.won####.com/api/v1/public/app/version?type=####
api.won####.com/api/v1/public/areas
api.won####.com/api/v1/public/areas/business?area_id=####
api.won####.com/api/v1/public/broadcast
api.won####.com/api/v1/public/feature/list?area_id=####
api.won####.com/api/v1/public/house/price/list?area_id=####
api.won####.com/api/v1/public/house/types
api.won####.com/api/v1/public/sale/status/list
api.won####.com/api/v1/public/slide?area_id=####
api.won####.com/api/v1/public/type/list
api.won####.com/api/v1?area_id=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1106445582
/data/data/####/-1115058732
/data/data/####/-1421164408
/data/data/####/-1821612606
/data/data/####/-569690973
/data/data/####/-889919583
/data/data/####/-890492684
/data/data/####/.duid
/data/data/####/.imprint
/data/data/####/.lock
/data/data/####/.vpl_lock
/data/data/####/01dc5ec3ede1ca508729b2051065b99184e9f824f6f9744....0.tmp
/data/data/####/061021ea-2422-4fc4-a3af-03d6aeabaa02
/data/data/####/06cfbb8dc337286a09e230e66163e40f1cc3e7e9239b765....0.tmp
/data/data/####/08ff28255f6d6843dda1cedf20411baf08448251742aa28....0.tmp
/data/data/####/091a5f78-42fa-4951-9779-087074dccdf2
/data/data/####/092413a9d4305a3f33cf8fab07d951bd5b6926e122e54d2....0.tmp
/data/data/####/0cc1f898dea87eda11de45136b27da179db6aa20f633ef3....0.tmp
/data/data/####/1004
/data/data/####/109526449
/data/data/####/1112798511
/data/data/####/1919a6a6379b3c1922d8b84e0b22169cf9e96351a1afd84....0.tmp
/data/data/####/1990137437
/data/data/####/24619fcdee7abd5d48127e400a6905c64fbdb7f2d1cfce0....0.tmp
/data/data/####/2ac2223bfa7f8d3fa23044e37dc2ea497032832e27fe012....0.tmp
/data/data/####/2dada1c500864b21b81c39a58aab1d003e453f3807e81af....0.tmp
/data/data/####/345e50466f26c2b595ecd519b50dbafbc1ac6d9ced00e3e....0.tmp
/data/data/####/3c90326f06cf36b7b14d282f7280789deda00cbc04a1896....0.tmp
/data/data/####/4280a670b45a4201eee8208b4a8ab0c9f9522b291c1d150....0.tmp
/data/data/####/4557446cbfe5cb32531c5ef42f6b45279e8fc91af9e554e....0.tmp
/data/data/####/4f5837bc329cbe3116c44ee7002fc35441a26e0aeb3d12a....0.tmp
/data/data/####/505dcab438fc2ab507a73b2df935b8576eb3aa99f3cfeec....0.tmp
/data/data/####/50a3029effc0a73d7a5958463e2a49fce1fa520a1ce87d3....0.tmp
/data/data/####/517e08c4c96694d7550ff492f93a853b53fa3aeac089b6d....0.tmp
/data/data/####/5229bb075eb9a407b568d5b1ba8d26319c50446e00c1770....0.tmp
/data/data/####/52faa38e71534b7de3cfce23bbfd3af4d76a493a67908e6....0.tmp
/data/data/####/57299bac387f0943bfbb02e52cc1503e589258024b45a57....0.tmp
/data/data/####/63773f1f9e4e7ef1f545c4ce4d718003b0e7c95c151c98f....0.tmp
/data/data/####/669066272
/data/data/####/674135fc-c183-4c9f-9c8c-97cede7098a0
/data/data/####/6a53980be73f12264634e2a79a9235de1dfaf2b26856a48....0.tmp
/data/data/####/6c7d5fbc670e429aa852d38f229bbe5a42123b830a17a17....0.tmp
/data/data/####/6c7d5fbc670e429aa852d38f229bbe5a42123b830a17a17...cb6d.0
/data/data/####/6d1b17748480cedd2c59460e288f687515f3b23dada5dc3....0.tmp
/data/data/####/6d6e3da1e3770dd7a41f34930e40881b429464dd3dbc2a2....0.tmp
/data/data/####/6fa604b2-a6a0-4fad-80fa-d034c8acfa5d
/data/data/####/718c8eb3b2672d8e62e15c28bb81a399754f11b5930f4a0....0.tmp
/data/data/####/74e505034a975581d0205e0c76ff9946d446057617c7a44....0.tmp
/data/data/####/7514990d83ea82a1d75375a7139b34570ee75854901c5a0....0.tmp
/data/data/####/7ca3a200e0758832a0ebd01cbadc73c0888f675d56bcbab....0.tmp
/data/data/####/80aa6f6273c6d7b384b4bd9e9a0883a08dd7f5dc6a72302....0.tmp
/data/data/####/834993599d65b926b88a7c37951d2072034a78f29c30e77....0.tmp
/data/data/####/8ec34388750db93f6b629de3b20c25e80cac59b94e861db....0.tmp
/data/data/####/905248af806afd8bcf21627e218a1a1091050088799da5f....0.tmp
/data/data/####/90f1be389c2ff0c2669a7678f7a32e2b6389abb5df3c8b8....0.tmp
/data/data/####/921db5eb210a0ec39688915db7967478df516c801a68a55....0.tmp
/data/data/####/9a53adfc3e7de91ed1417c78fc134d7059c4fcd723fdd02....0.tmp
/data/data/####/CustomIndex
/data/data/####/DVDirectory.cfg
/data/data/####/DVHotMap.cfg
/data/data/####/DVHotcity.cfg
/data/data/####/DVIndoor.cfg
/data/data/####/DVSDirectory.cfg
/data/data/####/DVVersion.cfg
/data/data/####/JPushSA_Config.xml
/data/data/####/ResPackIndoorMap.rs
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/acc935009f70fd667e55be13e6773702cba36c61892f7ea....0.tmp
/data/data/####/adf4148de6832a813abba67ffd6bc8738ca7295dd3f0849....0.tmp
/data/data/####/af22166f05ec8d0ee425d6675e93285e3e3c4468f5492f5....0.tmp
/data/data/####/afdd29856b245da740b0d82d85e8b4dc34c6c2d4f9cf87c....0.tmp
/data/data/####/appPackageNames_v2
/data/data/####/authStatus_com.mgmt.woniuge.xml
/data/data/####/authStatus_com.mgmt.woniuge;pushcore.xml
/data/data/####/authStatus_com.mgmt.woniuge;remote.xml
/data/data/####/baseindoormap.sty
/data/data/####/bc0d1e69ad0a8fa83370500f90a26bcd690fbba465abe96....0.tmp
/data/data/####/bfc04549-669e-4d30-a7c1-a66d797ff349
/data/data/####/bugly_db_-journal
/data/data/####/bugly_db_legu-journal
/data/data/####/c0c9aaf5dbaa2a26c53797c96aab262e7e98b166efc7ea4....0.tmp
/data/data/####/c855aab23827701323905f85112a9d467342ed270891a43....0.tmp
/data/data/####/cbbb8a3c2ce9c5a582f2e10f9a2b415c5d08735597b092b....0.tmp
/data/data/####/ccbc231047231b23dbf42abad9f61ca80ff9036f73044a9....0.tmp
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.preferences.v2.rid.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/crashrecord.xml
/data/data/####/d690537e3165b79233097770271c394f8c42a322038482b....0.tmp
/data/data/####/d6a66c38-2b38-4565-b239-481d7db91ae5
/data/data/####/d928439dd12bba27ed9dc75e33ba4110d70d19a70f68067....0.tmp
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUzMDg3MTMxNTg3;
/data/data/####/dd3ee57a4839659ea5b69ef7216778bb64f40543db1395e....0.tmp
/data/data/####/dd82bdbd3f7ac75b7d6559ec07ad06d1808ed73278f4270....0.tmp
/data/data/####/df4aa580ac8e2c92137d9d9e974256c3a1bb5314c721ba4....0.tmp
/data/data/####/df4aa580ac8e2c92137d9d9e974256c3a1bb5314c721ba4...1a26.0
/data/data/####/domain_1
/data/data/####/e120db54e0423adbe9ac414227fbd422cd822b7f21490b9....0.tmp
/data/data/####/e121c7b9418ecd34005b795c737595f11334acae4544700....0.tmp
/data/data/####/e22466e1887326a3ec917a1dff57b4d51d54b8d53d6a3fa....0.tmp
/data/data/####/e2811ee3199ff1bf06581bed218c2d5fe1b5b60355e51ce....0.tmp
/data/data/####/e294e0b56462c68bc2252db200674ccbaca62aa15540bec....0.tmp
/data/data/####/e58b9460b9de5c1153ecfbc0025fe328ad6a4cf21abf039....0.tmp
/data/data/####/e7fe42295cdeb2531e3a49182fe706e4e2cfafa4bd9a78f....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f2bfedcea653be46017c08022ecd448c8ff09665dd7d691....0.tmp
/data/data/####/f64dbbf99681c18be499b49d0bfdbbdca6f203cc5f23e53....0.tmp
/data/data/####/fb3656cc3822cfe9ddfed3927d969699e215877ab8217d4....0.tmp
/data/data/####/fc424ad5e168a05b64f91a9a71be59cf185c4dff728b74c....0.tmp
/data/data/####/firll.dat
/data/data/####/gal.db
/data/data/####/gal.db-journal
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/i==1.2.0&&1.0.8_1553087131681_envelope.log
/data/data/####/info.xml
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/jpush_device_info.xml
/data/data/####/jpush_stat_cache.json
/data/data/####/jpush_stat_cache_history.json
/data/data/####/libcuid.so
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.1.2.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/map.rs
/data/data/####/map.sty
/data/data/####/map_pref.xml
/data/data/####/mix.dex
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/native_record_lock
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/pushcore_umeng_common_config.xml
/data/data/####/reduct.rs
/data/data/####/reduct.sty
/data/data/####/remote_umeng_common_config.xml
/data/data/####/security_info
/data/data/####/sobot_chat_20190320_log.txt
/data/data/####/sobot_config.xml
/data/data/####/t==8.0.2&&1.0.8_1553087134210_envelope.log
/data/data/####/traffic.rs
/data/data/####/traffic.sty
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/ver.dat
/data/data/####/wng_sp.xml
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.artc_lock
/data/media/####/.cca.dat
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.im_lock
/data/media/####/.lesd_lock
/data/media/####/.mn_-1464060969
/data/media/####/.nomedia
/data/media/####/.pkg_lock
/data/media/####/.pkgs_lock
/data/media/####/.push_deviceid
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/.ss_lock
/data/media/####/.umm.dat
/data/media/####/.wkl
/data/media/####/DTTempdat.dat
/data/media/####/DTTempdat.idx
/data/media/####/DVUserdat.cfg
/data/media/####/conlts.dat
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/test.0
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
cat /sys/class/net/wlan0/address
chmod 700 /data/user/0/<Package>/tx_shell/libnfix.so
chmod 700 /data/user/0/<Package>/tx_shell/libshella-2.9.1.2.so
chmod 700 /data/user/0/<Package>/tx_shell/libufix.so
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.1.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
ls /
ls /sys/class/thermal
ps

Загружает динамические библиотеки:

BaiduMapSDK_base_v5_2_1
BaiduMapSDK_map_v5_2_1
Bugly
jcore125
libnfix
libshella-2.9.1.2
libufix
locSDK7b
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-NoPadding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней