Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.41.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) adv.jpi####.com:80
- TCP(HTTP/1.1) r.zcul####.net:7080
- TCP(HTTP/1.1) btla####.b####.com:80
- TCP(HTTP/1.1) 1####.75.90.129:80
- TCP(HTTP/1.1) g####.jom####.com:80
- TCP(HTTP/1.1) p####.tc.qq.com:80
- TCP(HTTP/1.1) s####.e.qq.com:80
- TCP(HTTP/1.1) adv.mali####.com:80
- TCP(HTTP/1.1) 1####.75.115.32:80
- TCP(HTTP/1.1) k.zcul####.net:80
- TCP(HTTP/1.1) p.zcul####.net:80
- TCP(HTTP/1.1) api.x####.org:80
- TCP(HTTP/1.1) adv.99y####.com:80
- TCP(HTTP/1.1) api.tou####.com:80
- TCP(HTTP/1.1) wap.n.sh####.com:80
- TCP(HTTP/1.1) mi.g####.qq.com:80
- UDP(NTP) 2.and####.p####.####.org:123
- TCP(TLS/1.0) analy####.map.qq.com:443
- TCP(TLS/1.0) t####.i####.com:443
- TCP(TLS/1.0) 1####.217.168.206:443
- TCP(TLS/1.0) aliyuns####.oss-cn-####.aliy####.com:443
- TCP(TLS/1.0) aliyuno####.oss-cn-####.aliy####.com:443
Запросы DNS:
- 2.and####.p####.####.org
- adv.99y####.com
- adv.jpi####.com
- adv.mali####.com
- adv.my####.com
- aliyuno####.oss-cn-####.aliy####.com
- aliyuns####.oss-cn-####.aliy####.com
- analy####.map.qq.com
- api.tou####.com
- api.x####.org
- btla####.b####.com
- e.g####.b####.com
- g####.b####.com
- imgc####.qq.com
- k.zcul####.net
- m.b####.com
- mi.g####.qq.com
- p.zcul####.net
- qzones####.g####.cn
- r.zcul####.net
- s####.e.qq.com
- t####.i####.com
Запросы HTTP GET:
- api.tou####.com/ad/track?data=####
- btla####.b####.com/baitong/index.php?params=####&r=####&m=####&secret=##...
- g####.jom####.com/data/wisegame/095948e4a9b71d59/tianyanchaqiyechaxun_78...
- g####.jom####.com/data/wisegame/6c1ceede8889d8b1/tianmaotaobaoyouhuiquan...
- g####.jom####.com/data/wisegame/bd946cd59dba5626/fuliaoshipinliaotianjia...
- g####.jom####.com/img/0/1242_2208/14bb54e511768ae85f4d4c47d808fec2.png
- g####.jom####.com/img/0/512_512/53b4f8663eeac9afa41088970039b7c9.png
- mi.g####.qq.com/gdt_mview.fcg?posw=####&posh=####&count=####&r=####&data...
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/banner.appcache
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/banner.html
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/ad_logo.png
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/banner_close_b...
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/bannerbg02.png
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/bannerbg03.jpg
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/bannerbg07.png
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/close02.png
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/close03.png
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/download_icon....
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/download_icon_...
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/gdt_logo_black...
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/icon-ad.png
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/sdk_bg.png
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/tc-gdt-sdk-ope...
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/tsa_ad_logo.png
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/tsa_logo.png
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/js-release/20170821/b...
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/js/lib/require.js
- p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
- wap.n.sh####.com/mobads.php?K000000####
Запросы HTTP POST:
- adv.99y####.com/adv/pluginReq
- adv.jpi####.com/adv/pluginReq
- adv.mali####.com/adv/pluginReq
- api.x####.org/n?requestId=####&g=####&ua=####
- k.zcul####.net/vsdk/a/t
- p.zcul####.net/m/a/t
- r.zcul####.net:7080/oc/appr/e
- s####.e.qq.com/activate
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/0NZAX9SR.jar
- /data/data/####/2286.yaqcookie
- /data/data/####/6ZXyS8B98.jar
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/BuglySdkInfos.xml
- /data/data/####/GDTSDK.db
- /data/data/####/GDTSDK.db-journal
- /data/data/####/W_Key.xml
- /data/data/####/com.ertong.zaojiaoshuxue_preferences.xml
- /data/data/####/com_ertong_zaojiaoshuxue.txt
- /data/data/####/dapps.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/devCloudSetting.cfg
- /data/data/####/devCloudSetting.sig
- /data/data/####/dexMethod.68778890.dat
- /data/data/####/downloadswc
- /data/data/####/downloadswc-journal
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/gdt_config.cfg
- /data/data/####/gdt_plugin.jar
- /data/data/####/gdt_plugin.jar.sig
- /data/data/####/gdt_plugin.tmp
- /data/data/####/gdt_plugin.tmp.sig
- /data/data/####/gdt_suid
- /data/data/####/index
- /data/data/####/libyaqbasic.68778890.so
- /data/data/####/libyaqpro.68778890.so
- /data/data/####/msgs.xml
- /data/data/####/pfVc7X.jar
- /data/data/####/sdkCloudSetting.cfg
- /data/data/####/sdkCloudSetting.sig
- /data/data/####/st.xml
- /data/data/####/update_lc
- /data/data/####/vkJLn9.jar
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/yaqsdkcookie
- /data/media/####/1128.log
- /data/media/####/14bb54e511768ae85f4d4c47d808fec2.png.dat.tmp
- /data/media/####/450024726.apk.tmp
- /data/media/####/body.log
- /data/media/####/com_ertong_zaojiaoshuxue.txt
- /data/media/####/ic.png.dat
- /data/media/####/restime.dat
Другие:
Загружает динамические библиотеки:
- libyaqbasic.68778890
- libyaqpro.68778890
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS7Padding
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
- AES-ECB-PKCS7Padding
- ARCFOUR
- DES
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
