Android.SmsSpy.10156

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.SmsSpy.677.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) q####.qi1####.com:14302
TCP(HTTP/1.1) q####.qi1####.com:15302
TCP(HTTP/1.1) zxc####.wann####.com:8200
TCP(HTTP/1.1) z####.wann####.com:9500
TCP(HTTP/1.1) hangzho####.oss-cn-####.aliy####.com:80
TCP(HTTP/1.1) qyc####.qi1####.com:8200
TCP(HTTP/1.1) z####.wann####.com:9600

Запросы DNS:

a####.u####.com
hangzho####.oss-cn-####.aliy####.com
prelo####.hishen####.com
q####.qi1####.com
qyc####.qi1####.com
z####.wann####.com
zxc####.wann####.com

Запросы HTTP GET:

hangzho####.oss-cn-####.aliy####.com/qiyi/client/sdk/so/libzxvps.so
qyc####.qi1####.com:8200/sdk/file?9PF/BCL####
qyc####.qi1####.com:8200/sdk/file?EzdeskF####
qyc####.qi1####.com:8200/sdk/file?FsPlww9####
qyc####.qi1####.com:8200/sdk/file?HFFXqhX####
qyc####.qi1####.com:8200/sdk/file?HO3jZfD####
qyc####.qi1####.com:8200/sdk/file?JEDk1vL####
qyc####.qi1####.com:8200/sdk/file?UG0ey8Y####
qyc####.qi1####.com:8200/sdk/file?Xfs75tQ####
qyc####.qi1####.com:8200/sdk/file?eeqZrW8####
qyc####.qi1####.com:8200/sdk/file?fFNFEEj####
qyc####.qi1####.com:8200/sdk/file?jGTeAhX####
qyc####.qi1####.com:8200/sdk/file?m9ewmrF####
qyc####.qi1####.com:8200/sdk/file?v/PBiDY####
qyc####.qi1####.com:8200/sdk/file?v3aDuY7####
qyc####.qi1####.com:8200/sdk/file?wawerAr####

Запросы HTTP POST:

a####.u####.com/app_logs
q####.qi1####.com:14302/sdk_login?t=####
q####.qi1####.com:15302/sdk_login?t=####
z####.wann####.com:9500/
z####.wann####.com:9600/
zxc####.wann####.com:8200/qy/acceptSdkFileReq
zxc####.wann####.com:8200/qy/getOnlineLoginHttpReq

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/SP_REPLACE_CLASSLOADER_CLASS_NAME.xml
/data/data/####/a.db
/data/data/####/a.db-journal
/data/data/####/about_str.gifppic
/data/data/####/baidu
/data/data/####/bg_cover.mp3
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/chg_b_cl.gifppic
/data/data/####/chg_b_ok0.gifppic
/data/data/####/chg_b_ok1.gifppic
/data/data/####/chg_b_ok2.gifppic
/data/data/####/chg_gift0.gifppic
/data/data/####/chg_gift1.gifppic
/data/data/####/chg_gift2.gifppic
/data/data/####/chg_gift3.gifppic
/data/data/####/chg_gift4.gifppic
/data/data/####/chg_gift5.gifppic
/data/data/####/chg_gift6.gifppic
/data/data/####/chg_gift7.gifppic
/data/data/####/chg_gift8.gifppic
/data/data/####/chg_gift9.gifppic
/data/data/####/chg_kefu.gifppic
/data/data/####/chg_yuan.gifppic
/data/data/####/cover.gifppic
/data/data/####/cover_b0.gifppic
/data/data/####/cover_b1.gifppic
/data/data/####/cover_b2.gifppic
/data/data/####/cover_b3.gifppic
/data/data/####/cover_b4.gifppic
/data/data/####/cover_b5.gifppic
/data/data/####/cover_b6.gifppic
/data/data/####/cover_b7.gifppic
/data/data/####/cover_b8.gifppic
/data/data/####/cover_kefu.gifppic
/data/data/####/cover_name.gifppic
/data/data/####/cover_player_slot.gifppic
/data/data/####/ef_avatar.mp3
/data/data/####/ef_button0.mp3
/data/data/####/ef_devour.mp3
/data/data/####/ef_fail.mp3
/data/data/####/ef_spit.mp3
/data/data/####/ef_succ.mp3
/data/data/####/ef_timeless.mp3
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/finger.gifppic
/data/data/####/flower.gifppic
/data/data/####/getprop
/data/data/####/libjiagu1334401728.so
/data/data/####/mall_b_all.gifppic
/data/data/####/mall_b_close.gifppic
/data/data/####/mall_b_gold_add.gifppic
/data/data/####/mall_b_gold_bg.gifppic
/data/data/####/mall_b_got.gifppic
/data/data/####/mall_bg.gifppic
/data/data/####/mall_skin_achi.gifppic
/data/data/####/mall_skin_bg0.gifppic
/data/data/####/mall_skin_bg1.gifppic
/data/data/####/mall_skin_btn0.gifppic
/data/data/####/mall_skin_btn1.gifppic
/data/data/####/mall_skin_btn2.gifppic
/data/data/####/mall_skin_btn3.gifppic
/data/data/####/mall_skin_locked.gifppic
/data/data/####/mall_skin_names.gifppic
/data/data/####/mall_skin_price.gifppic
/data/data/####/mall_title.gifppic
/data/data/####/mall_title_bg.gifppic
/data/data/####/num1.gifppic
/data/data/####/num10.gifppic
/data/data/####/num11.gifppic
/data/data/####/num12.gifppic
/data/data/####/num13.gifppic
/data/data/####/num14.gifppic
/data/data/####/num15.gifppic
/data/data/####/num16.gifppic
/data/data/####/num2.gifppic
/data/data/####/num3.gifppic
/data/data/####/num4.gifppic
/data/data/####/num5.gifppic
/data/data/####/num6.gifppic
/data/data/####/num7.gifppic
/data/data/####/num8.gifppic
/data/data/####/num9.gifppic
/data/data/####/over_b_back.gifppic
/data/data/####/over_b_replay.gifppic
/data/data/####/over_bg.gifppic
/data/data/####/over_title.gifppic
/data/data/####/particle_shape.gifppic
/data/data/####/particle_spit.gifppic
/data/data/####/pass_deco0.gifppic
/data/data/####/pass_deco1.gifppic
/data/data/####/pass_deco2.gifppic
/data/data/####/pass_title.gifppic
/data/data/####/pause_b_0.gifppic
/data/data/####/pause_b_1.gifppic
/data/data/####/pause_b_2.gifppic
/data/data/####/pause_bg.gifppic
/data/data/####/pid
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/qy_db_pay
/data/data/####/qy_db_pay-journal
/data/data/####/run_b_avatar.gifppic
/data/data/####/run_b_grow.gifppic
/data/data/####/run_b_invi.gifppic
/data/data/####/run_b_pause.gifppic
/data/data/####/run_b_spit.gifppic
/data/data/####/run_bg.gifppic
/data/data/####/run_move_panel.gifppic
/data/data/####/run_move_point.gifppic
/data/data/####/run_rank_title.gifppic
/data/data/####/run_rank_top.gifppic
/data/data/####/run_weight_title.gifppic
/data/data/####/scroll_str.gifppic
/data/data/####/setting_bg.gifppic
/data/data/####/setting_close.gifppic
/data/data/####/setting_sel.gifppic
/data/data/####/skin_00.gifppic
/data/data/####/skin_01.gifppic
/data/data/####/skin_02.gifppic
/data/data/####/skin_03.gifppic
/data/data/####/skin_04.gifppic
/data/data/####/skin_05.gifppic
/data/data/####/skin_10.gifppic
/data/data/####/skin_100.gifppic
/data/data/####/skin_11.gifppic
/data/data/####/skin_110.gifppic
/data/data/####/skin_12.gifppic
/data/data/####/skin_120.gifppic
/data/data/####/skin_13.gifppic
/data/data/####/skin_130.gifppic
/data/data/####/skin_14.gifppic
/data/data/####/skin_140.gifppic
/data/data/####/skin_150.gifppic
/data/data/####/skin_20.gifppic
/data/data/####/skin_21.gifppic
/data/data/####/skin_22.gifppic
/data/data/####/skin_23.gifppic
/data/data/####/skin_24.gifppic
/data/data/####/skin_25.gifppic
/data/data/####/skin_26.gifppic
/data/data/####/skin_27.gifppic
/data/data/####/skin_30.gifppic
/data/data/####/skin_31.gifppic
/data/data/####/skin_32.gifppic
/data/data/####/skin_40.gifppic
/data/data/####/skin_41.gifppic
/data/data/####/skin_42.gifppic
/data/data/####/skin_43.gifppic
/data/data/####/skin_44.gifppic
/data/data/####/skin_50.gifppic
/data/data/####/skin_51.gifppic
/data/data/####/skin_52.gifppic
/data/data/####/skin_53.gifppic
/data/data/####/skin_54.gifppic
/data/data/####/skin_55.gifppic
/data/data/####/skin_60.gifppic
/data/data/####/skin_61.gifppic
/data/data/####/skin_62.gifppic
/data/data/####/skin_63.gifppic
/data/data/####/skin_70.gifppic
/data/data/####/skin_80.gifppic
/data/data/####/skin_90.gifppic
/data/data/####/skin_faceto.gifppic
/data/data/####/skin_hambg.gifppic
/data/data/####/skin_invi.gifppic
/data/data/####/skin_none.gifppic
/data/data/####/skin_player_names.gifppic
/data/data/####/skin_player_weight.gifppic
/data/data/####/skin_prick.gifppic
/data/data/####/skin_speed.gifppic
/data/data/####/statistic_info_bg.gifppic
/data/data/####/tmp_so
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/unknown.xml
/data/media/####/.cfg
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/device

Другие:

Запускает следующие shell-скрипты:

app_process /system/bin com.android.commands.am.Am startservice --user 0 -n <Package>/com.google.android.gms.analytics.CampaignTrackingService
cat /sys/block/mmcblk0/device/cid
chmod 755 <Package Folder>/.jiagu/libjiagu1334401728.so
chmod 777 <Package Folder>/lib/helper
dd if=<Package Folder>/lib/libhelper.so of=<Package Folder>/lib/helper
df
getprop
ls -l /system/bin/su
sh

Загружает динамические библиотеки:

game
libhelper
libjiagu1334401728
libsmsmanager
libzxvps

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
DES-ECB-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding
DES-ECB-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Парсит информацию из SMS.

Получает информацию об отправленых/принятых SMS.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней