Android.RemoteCode.4353

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.RemoteCode.147.origin

Предлагает установить сторонние приложения.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) v2.g####.qq.com:80
TCP(HTTP/1.1) m####.y####.cn:80
TCP(HTTP/1.1) m.tt.vip-dns####.com:80
TCP(HTTP/1.1) tou####.eas####.com:80
TCP(HTTP/1.1) 03img####.eas####.com.####.com:80
TCP(HTTP/1.1) 05img####.eas####.com.####.com:80
TCP(HTTP/1.1) p####.tc.qq.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) sc.g####.qq.com:80
TCP(HTTP/1.1) 0####.s####.com:80
TCP(HTTP/1.1) s####.tc.qq.com:80
TCP(HTTP/1.1) 04img####.eas####.com.####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) 3####.tc.qq.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) 08img####.eas####.com.####.com:80
TCP(HTTP/1.1) m####.eas####.com:80
TCP(HTTP/1.1) mi.g####.qq.com:80
TCP(TLS/1.0) wapif####.dftou####.com:443
TCP(TLS/1.0) minise####.dftou####.com:443
TCP(TLS/1.0) ci####.s####.com:443
TCP(TLS/1.0) m.tt.vip-dns####.com:443
TCP(TLS/1.0) 03img####.eas####.com.####.com:443
TCP(TLS/1.0) m####.eas####.com:443
TCP(TLS/1.0) dfttde####.dftou####.com:443
TCP(TLS/1.0) 08img####.eas####.com.####.com:443
TCP(TLS/1.0) wapac####.dftou####.com:443
TCP(TLS/1.0) hm.b####.com:443
TCP(TLS/1.0) f####.s####.com:443
TCP(TLS/1.0) posi####.dftou####.com:443

Запросы DNS:

0####.s####.com
00img####.eas####.com
01img####.eas####.com
02img####.eas####.com
03img####.eas####.com
04img####.eas####.com
05img####.eas####.com
06img####.eas####.com
07img####.eas####.com
08img####.eas####.com
09img####.eas####.com
a####.u####.com
aexcep####.b####.qq.com
am.jm####.net
and####.b####.qq.com
c.g####.qq.com
ci####.s####.com
dd.m####.com
dfttde####.dftou####.com
f####.s####.com
hm.b####.com
imgc####.qq.com
m####.eas####.com
m####.y####.cn
m.t####.cn
mi.g####.qq.com
minise####.dftou####.com
p####.ugd####.com
posi####.dftou####.com
pp.m####.com
qzones####.g####.cn
s####.e.qq.com
sc.g####.qq.com
tou####.eas####.com
v2.g####.qq.com
wapac####.dftou####.com
wapif####.dftou####.com

Запросы HTTP GET:

0####.s####.com/h5/partner/zfbc.min.js
0####.s####.com/mobile/190404181500286.html?idx=####&fr=####
0####.s####.com/toutiaoh5/channeljs/h5toutiao/yilkj02/ttlist/yilkj02.js
0####.s####.com/toutiaoh5/home/css/common.min.css
0####.s####.com/toutiaoh5/home/css/page_search-f12e33866d.min.css
0####.s####.com/toutiaoh5/home/js/common.min.js
0####.s####.com/toutiaoh5/home/js/gg.min.js
0####.s####.com/toutiaoh5/home/js/page_search-56e5a8d6d3.min.js
0####.s####.com/toutiaoh5/img/img_preview.png
03img####.eas####.com.####.com/mobile/20190407/20190407192033_46b7d0836b...
03img####.eas####.com.####.com/mobile/20190407/20190407192756_0810487c17...
04img####.eas####.com.####.com/mobile/20190407/20190407194821_27023090bc...
04img####.eas####.com.####.com/mobile/20190407/20190407195459_165c8b0566...
04img####.eas####.com.####.com/mobile/20190407/2019040721_088f4943643547...
04img####.eas####.com.####.com/mobile/20190407/2019040721_142846b77aa444...
04img####.eas####.com.####.com/mobile/20190407/2019040721_8ed85c16537642...
04img####.eas####.com.####.com/mobile/20190407/2019040722_54bda2aaa6b447...
05img####.eas####.com.####.com/mobile/20190407/20190407192033_46b7d0836b...
05img####.eas####.com.####.com/mobile/20190407/2019040722_1d86b1c78c6245...
05img####.eas####.com.####.com/mobile/20190407/2019040722_37d976a628654c...
05img####.eas####.com.####.com/mobile/20190407/20190407233538_c24bde7616...
08img####.eas####.com.####.com/mobile/20190330/20190330152449_c3c7f9dde6...
08img####.eas####.com.####.com/mobile/20190331/20190331224901_969ac97aa9...
08img####.eas####.com.####.com/mobile/20190401/20190401110603_744af7abbf...
08img####.eas####.com.####.com/mobile/20190401/20190401184108_611dc51d5a...
08img####.eas####.com.####.com/mobile/20190401/20190401201437_906c376b8c...
08img####.eas####.com.####.com/mobile/20190402/20190402134644_85239d43ce...
08img####.eas####.com.####.com/mobile/20190403/20190403060716_f370bcb2a1...
08img####.eas####.com.####.com/mobile/20190403/20190403124306_31a4b5a3b7...
08img####.eas####.com.####.com/mobile/20190403/20190403163537_e386386492...
08img####.eas####.com.####.com/mobile/20190403/20190403232737_50641dc42a...
08img####.eas####.com.####.com/mobile/20190404/20190404113754_b8439b265c...
08img####.eas####.com.####.com/mobile/20190404/20190404173842_a9cb025cf5...
08img####.eas####.com.####.com/mobile/20190404/20190404181500_186ea74eb0...
08img####.eas####.com.####.com/mobile/20190407/20190407223707_778691a657...
08img####.eas####.com.####.com/mobile/20190407/20190407224022_6c32a287d9...
08img####.eas####.com.####.com/mobile/20190407/20190407224214_5a32459ce7...
08img####.eas####.com.####.com/mobile/20190407/20190407224649_e19bb99c66...
08img####.eas####.com.####.com/mobile/20190407/20190407225046_a3cd327ee3...
08img####.eas####.com.####.com/mobile/20190407/20190407225841_15800e1883...
08img####.eas####.com.####.com/mobile/20190407/2019040722_055fda9c0e4340...
08img####.eas####.com.####.com/mobile/20190407/2019040722_5a28feaffbdd49...
08img####.eas####.com.####.com/mobile/20190407/2019040722_aebc83a310ef4a...
08img####.eas####.com.####.com/mobile/20190407/2019040722_db1150da345946...
08img####.eas####.com.####.com/mobile/20190407/20190407230825_cff2b43c97...
08img####.eas####.com.####.com/mobile/20190407/20190407231057_9fc9c4dc08...
08img####.eas####.com.####.com/mobile/20190407/20190407235136_d247f20e7a...
08img####.eas####.com.####.com/mobile/20190408/2019032723_3be0ae3261bb47...
08img####.eas####.com.####.com/mobile/20190408/20190408001407_25255b9f86...
08img####.eas####.com.####.com/mobile/20190408/20190408001410_726a9d0579...
08img####.eas####.com.####.com/mobile/20190408/20190408004815_1d4337d36c...
08img####.eas####.com.####.com/video/vdianying/20190407/2019040722491631...
08img####.eas####.com.####.com/video/vgaoxiao/20190115/20190115141022380...
08img####.eas####.com.####.com/video/vkeji/20190407/20190407232229838072...
08img####.eas####.com.####.com/video/vlvyou/20190323/2019032318025818783...
08img####.eas####.com.####.com/video/vshenghuo/20190407/2019040722383323...
08img####.eas####.com.####.com/video/vtiyu/20190401/20190401091940360547...
08img####.eas####.com.####.com/video/vvideo/20190407/2019040722253418232...
08img####.eas####.com.####.com/video/vzixun/20181125/2018112500440000097...
08img####.eas####.com.####.com/video/vzixun/20181207/2018120717452799279...
08img####.eas####.com.####.com/video/vzixun/20181230/2018123012580668572...
08img####.eas####.com.####.com/video/vzixun/20190407/2019040723571505626...
3####.tc.qq.com/16891/499F8938FA8C44269929B62D82DCC752.apk?fsname=####&_...
m####.eas####.com/mobile/190407221014096.html?qid=####
m####.eas####.com/toutiaoh5/channeljs/h5toutiao/h5toutiaocookie.js
m####.eas####.com/toutiaoh5/channeljs/h5toutiao/yilkj02/ttdetails/yilkj0...
m####.eas####.com/toutiaoh5/home/js/responsive.min.js
m####.eas####.com/toutiaoh5/img/img_preview_h5_xw.png
m####.y####.cn/api/getNews/?type=####&key=####
m.tt.vip-dns####.com/setuid.html?u=####
mi.g####.qq.com/gdt_mview.fcg?actual_width=####&count=####&r=####&templa...
mi.g####.qq.com/gdt_mview.fcg?posw=####&spsa=####&posh=####&count=####&r...
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android02/images/tsa_ad_logo.png
p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android03/js-release/1.1.0/nati...
p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
s####.tc.qq.com/gdt/0/DAAeRn2AUAALQAA1BcGMRJAQt-lLKB.jpg/0?ck=####
s####.tc.qq.com/gdt/0/DAAi1w0AUAALQABYBcpa4vDMPUvIZK.jpg/0?ck=####
s####.tc.qq.com/gdt/0/DAAlu9dAUAALQABiBcpId9DsEqQMwA.jpg/0?ck=####
s####.tc.qq.com/gdt/0/EAAESadAKAAPAAAAKjyBcFMH8CH7a5nnw.jpg/0?ck=####
s####.tc.qq.com/ma_icon/0/icon_213141_1554410305/256
sc.g####.qq.com/gdt_mclick.fcg?viewid=####&jtype=####&i=####&os=####&asi...
sc.g####.qq.com/gdt_trace_a.fcg?actionid=####&targettype=####&tagetid=##...
tou####.eas####.com/search.html?kw=####
v2.g####.qq.com/gdt_stats.fcg?viewid=####&i=####&os=####&xp=####&gap=####

Запросы HTTP POST:

a####.u####.com/app_logs
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
m####.y####.cn/api/call/getADData/
m####.y####.cn/api/call/loadData/
s####.e.qq.com/activate
s####.e.qq.com/click
s####.e.qq.com/msg

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/2294.yaqcookie
/data/data/####/501a5680345c91a2a9013c19690d839c.temp
/data/data/####/5ead7c1916e321af3ee0d7d6aa595238.temp
/data/data/####/ApplicationCache.db-journal
/data/data/####/BuglySdkInfos.xml
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/ad.xml
/data/data/####/adResult.xml
/data/data/####/bugly_db_legu-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/city.db
/data/data/####/city.db-journal
/data/data/####/com.melon.calendar_preferences.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/dexMethod.82560842.dat
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/f_000015
/data/data/####/f_000016
/data/data/####/f_000017
/data/data/####/f_000018
/data/data/####/f_000019
/data/data/####/f_00001a
/data/data/####/f_00001b
/data/data/####/f_00001c
/data/data/####/f_00001d
/data/data/####/f_00001e
/data/data/####/f_00001f
/data/data/####/f_000020
/data/data/####/f_000021
/data/data/####/f_000022
/data/data/####/f_000023
/data/data/####/f_000024
/data/data/####/f_000025
/data/data/####/f_000026
/data/data/####/f_000027
/data/data/####/f_000028
/data/data/####/f_000029
/data/data/####/f_00002a
/data/data/####/f_00002b
/data/data/####/f_00002c
/data/data/####/f_00002d
/data/data/####/f_00002e
/data/data/####/f_00002f
/data/data/####/f_000030
/data/data/####/f_000031
/data/data/####/f_000032
/data/data/####/f_000033
/data/data/####/f_000034
/data/data/####/f_000035
/data/data/####/f_000036
/data/data/####/f_000037
/data/data/####/f_000038
/data/data/####/f_000039
/data/data/####/f_00003a
/data/data/####/f_00003b
/data/data/####/f_00003c
/data/data/####/f_00003d
/data/data/####/f_00003e
/data/data/####/f_00003f
/data/data/####/f_000040
/data/data/####/f_000041
/data/data/####/f_000042
/data/data/####/f_000043
/data/data/####/f_000044
/data/data/####/f_000045
/data/data/####/f_000046
/data/data/####/f_000047
/data/data/####/f_000048
/data/data/####/f_000049
/data/data/####/f_00004a
/data/data/####/f_00004b
/data/data/####/f_00004c
/data/data/####/f_00004d
/data/data/####/f_00004e
/data/data/####/f_00004f
/data/data/####/f_000050
/data/data/####/f_000051
/data/data/####/f_000052
/data/data/####/f_000053
/data/data/####/f_000054
/data/data/####/f_000055
/data/data/####/f_000056
/data/data/####/f_000057
/data/data/####/f_000058
/data/data/####/f_000059
/data/data/####/f_00005a
/data/data/####/f_00005b
/data/data/####/f_00005c
/data/data/####/f_00005d
/data/data/####/f_00005e
/data/data/####/f_00005f
/data/data/####/f_000060
/data/data/####/f_000061
/data/data/####/f_000062
/data/data/####/f_000063
/data/data/####/f_000064
/data/data/####/f_000065
/data/data/####/f_000066
/data/data/####/f_000067
/data/data/####/f_000068
/data/data/####/f_000069
/data/data/####/f_00006a
/data/data/####/f_00006b
/data/data/####/f_00006c
/data/data/####/f_00006d
/data/data/####/f_00006e
/data/data/####/f_00006f
/data/data/####/f_000070
/data/data/####/f_000071
/data/data/####/f_000072
/data/data/####/f_000073
/data/data/####/f_000074
/data/data/####/f_000075
/data/data/####/f_000076
/data/data/####/f_000077
/data/data/####/f_000078
/data/data/####/f_000079
/data/data/####/f_00007a
/data/data/####/f_00007b
/data/data/####/f_00007c
/data/data/####/f_00007d
/data/data/####/f_00007e
/data/data/####/f_00007f
/data/data/####/f_000080
/data/data/####/f_000081
/data/data/####/f_000082
/data/data/####/f_000083
/data/data/####/f_000084
/data/data/####/f_000085
/data/data/####/f_000086
/data/data/####/f_000087
/data/data/####/f_000088
/data/data/####/f_000089
/data/data/####/f_00008a
/data/data/####/f_00008b
/data/data/####/f_00008c
/data/data/####/f_00008d
/data/data/####/f_00008e
/data/data/####/f_00008f
/data/data/####/f_000090
/data/data/####/f_000091
/data/data/####/gank_device_id.xml.xml
/data/data/####/gdt_config.cfg
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_plugin.tmp.sig
/data/data/####/gdt_suid
/data/data/####/index
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.2.so
/data/data/####/libufix.so
/data/data/####/libyaqbasic.82560842.so
/data/data/####/libyaqpro.82560842.so
/data/data/####/load_dex.tmp
/data/data/####/local_crash_lock
/data/data/####/mix.dex
/data/data/####/native_record_lock
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/security_info
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/update_lc
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/yaqsdkcookie
/data/media/####/-1075061040.tmp
/data/media/####/-1149859935.tmp
/data/media/####/-1491265975.tmp
/data/media/####/-174639897.tmp
/data/media/####/-1861749408.tmp
/data/media/####/-1863583639.tmp
/data/media/####/-1919532911.tmp
/data/media/####/-2031180933.tmp
/data/media/####/-230589169.tmp
/data/media/####/-245537409.tmp
/data/media/####/-269629250.tmp
/data/media/####/.nomedia
/data/media/####/1191416202.tmp
/data/media/####/1296581777.tmp
/data/media/####/1586911786.tmp
/data/media/####/2060575770.tmp
/data/media/####/321137396.tmp
/data/media/####/574842621.tmp
/data/media/####/60cd91ef41ecf16bbdfadef669093c0e
/data/media/####/com.ss.android.article.news.apk_0

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime

Загружает динамические библиотеки:

Bugly
libnfix
libshella-2.9.0.2
libufix
libyaqbasic.82560842
libyaqpro.82560842
nfix
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-NoPadding
AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней