Android.Lqsoft.17

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.YtAd.1.origin
Android.Lqsoft.1.origin
Android.Triada.182
Android.Triada.226.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) img.ace####.com:80
TCP(HTTP/1.1) sdk####.migua####.com:80
TCP(HTTP/1.1) api.kxcon####.com:666
TCP(HTTP/1.1) api.var####.com:80
TCP(HTTP/1.1) s.ace####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) sdk.lov####.com.####.com:80
TCP(TLS/1.0) ssl.gst####.com:443
TCP(TLS/1.0) www.go####.com:443
TCP(TLS/1.0) www.gst####.com:443
TCP(TLS/1.0) res####.a####.com:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5225

Запросы DNS:

7j####.c####.z0.####.com
a####.u####.com
amap####.cn-hang####.oss####.####.com
api.klaun####.com
api.kxcon####.com
api.var####.com
c####.g####.ig####.com
c-h####.g####.com
dsp.biddi####.com
img.ace####.com
pub-####.qin####.com
res####.a####.com
s.ace####.com
sdk####.migua####.com
sdk.c####.ig####.com
sdk.lov####.com
sdk.o####.i####.####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ssl.gst####.com
www.go####.com
www.gst####.com

Запросы HTTP GET:

api.kxcon####.com:666/v1/config/funclist?cid=####&param=####
img.ace####.com/ando-res/m/hQFsvuTOjQG2grLU8T2VCshw4jkuJadBny-GDQ
s.ace####.com/ando-res/m/d7choEZyeDSdWzGCCRL87sNS6C56F6Pcq4UGNNBmUQ5B8fN...
sdk.lov####.com.####.com/chksdkupdate.php?chid=####&sdkver=####&mainver=...
sh.wagbr####.aliyun####.com/sdkcoor/android/x86/libJni_wgs2gcj.so
t####.c####.q####.####.com/tdata_VrM483
t####.c####.q####.####.com/tdata_cKg940
t####.c####.q####.####.com/tdata_hTg778
ti####.c####.l####.####.com/config/hz-hzv3.conf
ti####.c####.l####.####.com/tdata_EDT369

Запросы HTTP POST:

a####.u####.com/app_logs
api.var####.com/ando/x/liv?app_id=####&r=####
api.var####.com/ando/x/req?app_id=####&r=####
c-h####.g####.com/api.php?format=####&t=####
sdk####.migua####.com/log/eventLog.htm
sdk.o####.p####.####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-761084933.apk
/data/data/####/.DS_Store
/data/data/####/._.DS_Store
/data/data/####/._cn_etouch_ecalendar_cpa__icon.png
/data/data/####/._cn_kuwo_player__logo.png
/data/data/####/._com_miguan_market__ic_launcher.png
/data/data/####/._com_miguan_market__mi_launcher.png
/data/data/####/._com_tencent_qqlive__icon.png
/data/data/####/._com_tencent_qqpimsecure__icon.png
/data/data/####/._com_ucmobile__icon.png
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/14f54e234185a.jar
/data/data/####/1Yl7f5E9OSkKCFk_2NZ4X-ysNMA=.temp
/data/data/####/2398265351881.0
/data/data/####/3Zjsd8dUNtz3-TXZvUf-dH2RdQhzaQObJsObfA==
/data/data/####/48lqB3jNO7kAQDsY4DoMbZ2pjctsXbyWPI0PVrVcDCI=.temp
/data/data/####/4EWhYNQAmjAtKCP96gmaae3eebc8nM1N9X_2bGIkx0npC19...oDbAw=
/data/data/####/4EWhYNQAmjAtKCP96gmaae3eebc8nM1N9X_2bGIkx0npC19...ournal
/data/data/####/4EWhYNQAmjAtKCP96gmaae3eebc8nM1N9X_2bGIkx0npC19...rMft-T
/data/data/####/5LUgdprwRouV7-Knugn1Ng==.new
/data/data/####/5b34d2be1237
/data/data/####/5k2iDw2uPLlUpk_uE1MEcrDiyEs=
/data/data/####/6ipIwvEfPI8pZgrKIrJLEQvCJ7UByPwI.new
/data/data/####/8098279418237.0
/data/data/####/9Clft3BkCzGe-twS
/data/data/####/DaOdOcnWSWtNMKlJ7E-0-PIAOtc=.new
/data/data/####/DefaultPage.xml
/data/data/####/J0YMK1cBTus-vgazFv4O3pmkEh4HpuboWwn0vg==.new
/data/data/####/J_TecTXnQDpmdxTtn5SYSZSZclw=.new
/data/data/####/Jpq7ESNJ2koHhx1FeLa54m9k15ApPi-n.new
/data/data/####/KVgC8VqpyBoGbYFYHptf8rXnXKo=.new
/data/data/####/Kdsu1JhcHxDEUTFySBrIZr09Vns=.temp
/data/data/####/OMUs6ixyYLCWtR7oqpoSXg==.new
/data/data/####/OqDEQmwv5JPAfVV9
/data/data/####/W6PhnecztuRIQJ1A91pUXg==.new
/data/data/####/apj9jlHFFeWriCljjhAHyactHtUqu-JFOfcH8A-0ueI=.new
/data/data/####/baa1k_ZFZOcKMVds.zip
/data/data/####/biddingos.events.xml
/data/data/####/biddingos.pkg.xml
/data/data/####/c4cIaPlZnQUK7l63JRjXEA==.new
/data/data/####/cacheNavigation.xml
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cg8hIds5bstjAJA8GUdw3oGEOc8=.new
/data/data/####/com.android.launcher3.prefs.xml
/data/data/####/com.klauncher.kinflow.common.utils.CommonShareData.xml
/data/data/####/com_miguan_market__ic_launcher.png
/data/data/####/com_tencent_android_qqdownloader__ic_launcher.png
/data/data/####/data.dat.tmp
/data/data/####/default.lbk
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/fVuo3tHi0ezyCEon77Y5yKT7a-AXbMwy.new
/data/data/####/gdaemon_20161017
/data/data/####/gkt-journal
/data/data/####/gwwA5N3wHTdYTe0ddc0zftT_zsjWuM8y.new
/data/data/####/gx_sp.xml
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/increment.db-journal
/data/data/####/init.pid
/data/data/####/init_c.pid
/data/data/####/install.app.xml
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/kLfc5DRosjG1jHgwkmTNZOzvGrrKKUez.new
/data/data/####/launcher.db-journal
/data/data/####/launcher.preferences
/data/data/####/lebian_base.xml
/data/data/####/lfk2_MpeGGABndW_WKVJIqXMbIZGIeVqmO2B3Q==.new
/data/data/####/libjiagu.so
/data/data/####/loctemp.so
/data/data/####/log-journal
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/mti6oNv7Kuw=.jar
/data/data/####/notifier.db-journal
/data/data/####/o53dPkwr6tVeD-hNqXnvtvCt0gRJHB4xvxfZHw==.new
/data/data/####/ping.xml
/data/data/####/pref.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/q-8oGuorgpi0w3XfDj3VQIdd41NZ9WSQ1iOfWTvzAfk=.new
/data/data/####/qScrEBLPPK5_ObdoExpD_PYgw12tUg3exItLEkK_iv4=.new
/data/data/####/rdata_comklaunchercplauncher.new
/data/data/####/res.zip
/data/data/####/run.pid
/data/data/####/runner_info.prop.new
/data/data/####/s4whKa3dJy1PzynSnKRAY2SCDMeb9PZY.new
/data/data/####/stats.log.tmp
/data/data/####/tdata_VrM483
/data/data/####/tdata_VrM483.jar
/data/data/####/tdata_cKg940
/data/data/####/tdata_cKg940.jar
/data/data/####/tdata_hTg778
/data/data/####/tdata_hTg778.jar
/data/data/####/theme_preferences.xml
/data/data/####/trebuchet_preferences.xml
/data/data/####/txddvg_f.zip
/data/data/####/uCczKLZvKyUp81W_.new
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/vWKBp-FAdGqnwSem6E8q9yweKbNaRyxX.new
/data/data/####/vYzlRBe7KVBMNB0EguoEzw==
/data/data/####/widgetpreviews.db-journal
/data/media/####/.nomedia
/data/media/####/.uunique.new
/data/media/####/041b6f71-8ab1-48f5-b8d2-41bbd8c85fe3.res
/data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
/data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
/data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
/data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
/data/media/####/als.db
/data/media/####/als.db-journal
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.klauncher.ztelauncher.db
/data/media/####/default.ktm
/data/media/####/desc.xml
/data/media/####/f9d134e6-2eeb-44e1-9992-dbbfcc169070.res
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/r_pkDgN4OhnkSa0D
/data/media/####/sdkinfo.txt
/data/media/####/switch_enable
/data/media/####/tdata_VrM483
/data/media/####/tdata_cKg940
/data/media/####/tdata_hTg778
/data/media/####/test.log
/data/media/####/vibeui_backup.lbk

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/code-3584906/9Clft3BkCzGe-twS -p <Package> -c com.klauncher.cplauncher.vajcvw.a.a.c.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 25557 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
mount
sh <Package Folder>/code-3584906/9Clft3BkCzGe-twS -p <Package> -c com.klauncher.cplauncher.vajcvw.a.a.c.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung

Загружает динамические библиотеки:

lbcrashhandler
libjiagu

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Получает информацию о привязанных к устройству аккаунтах (Google, Facebook и т. д.).

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней