Android.Spy.2824

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Spy.2442

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) i####.domo####.cn:80
TCP(HTTP/1.1) c.d####.mob.com:80
TCP(HTTP/1.1) ada####.m.ta####.com:80
TCP(HTTP/1.1) up####.sdk.jig####.cn:80
TCP(HTTP/1.1) hk.wagbr####.non####.####.com:80
TCP(HTTP/1.1) d####.d####.mob.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) zb-cent####.m.ta####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) pi####.qq.com:80
TCP(HTTP/1.1) ad####.m.ta####.com:80
TCP(HTTP/1.1) m.d####.mob.com:80
TCP(HTTP/1.1) l####.cc:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(SSL/3.0) app.domo####.cn:443
TCP(TLS/1.0) nbsdk-b####.al####.com:443
TCP(TLS/1.0) 1####.217.168.238:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) s####.j####.cn:443
TCP(TLS/1.0) app.domo####.cn:443
TCP 1####.121.49.85:7007
UDP s.j####.cn:19000

Запросы DNS:

a####.exc.mob.com
acs4bai####.m.ta####.com
ad####.m.ta####.com
ada####.m.ta####.com
aexcep####.b####.qq.com
and####.b####.qq.com
app.domo####.cn
c.d####.mob.com
d####.d####.mob.com
i####.domo####.cn
l####.cc
log.u####.com
m.d####.mob.com
mt####.go####.com
nbsdk-b####.al####.com
pi####.qq.com
s####.j####.cn
s.j####.cn
up####.sdk.jig####.cn
y####.al####.com

Запросы HTTP GET:

ad####.m.ta####.com/rest/gc2?ak=####&av=####&c=####&d=####&sv=####&t=###...
i####.domo####.cn/platform/7zJ55snkeE1556159609651.png
i####.domo####.cn/platform/S4wdQp2FAG1556618978491.jpg
i####.domo####.cn/platform/aaCecZ5aa51556619350689.png
i####.domo####.cn/platform/nYd3H5MarT1527245742479.png
i####.domo####.cn/platform/ses8fc36ie1556618255042.jpg
i####.domo####.cn/platform/wYjhtPHSKs1527245701472.png
i####.domo####.cn/platform/xkZR73Gib21527245758427.png
m.d####.mob.com/v4/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
zb-cent####.m.ta####.com/gw-open/mtop.taobao.tbk.sdk.config/1.0/?data=####

Запросы HTTP POST:

a####.exc.mob.com/errconf
ada####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=###...
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
and####.b####.qq.com/rqd/async?aid=####
c.d####.mob.com/v3/cdata
d####.d####.mob.com/dgen
d####.d####.mob.com/dinfo
d####.d####.mob.com/dsign
hk.wagbr####.non####.####.com/saveWb.json
l####.cc/i/sdk/install
pi####.qq.com/mstat/report/?index=####
up####.sdk.jig####.cn/v1/push/sdk/postlist

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.duid
/data/data/####/.lock
/data/data/####/.vpl_lock
/data/data/####/0a231bd8575dcf72.txt
/data/data/####/0db2c39d6d72cb7984ea95a6242ddf5a669570ad4cecd0a....0.tmp
/data/data/####/1002
/data/data/####/1004
/data/data/####/151c66aa-ac47-49ef-a840-9d8fd0e04a9c
/data/data/####/21c22f492aba3de8.lock
/data/data/####/2a408a87-2c77-4d63-b070-755011b9ad78
/data/data/####/37a8604e93622fbf40d8c89f511017cc5427287add58412....0.tmp
/data/data/####/38d50d78-9459-491a-83fc-fbb035a39672
/data/data/####/543f900a7aed5aa0b35d427b8a9ac1a90c1a87b41f42d68....0.tmp
/data/data/####/56970c40af6ec8d539cbc2db8de65c1f9a56e826c7cd46b....0.tmp
/data/data/####/5b68ecd96cf6c690bb5d491526a8c8235250fc892ce6bbf....0.tmp
/data/data/####/68e061fbe0e0d750fa8a9744e0b6f0c6eada9abd6654358....0.tmp
/data/data/####/7f543d4b-7b2b-4b38-8e0c-5c0f52642a9a
/data/data/####/8ef9c457b3bbb403.lock
/data/data/####/930a31b34bd52c08.lock
/data/data/####/ADDialog.xml
/data/data/####/AlibcLinkPartner.xml
/data/data/####/Alvin2.xml
/data/data/####/BUGLY_COMMON_VALUES.xml
/data/data/####/ClassicsHeader.xml
/data/data/####/ContextData.xml
/data/data/####/JPushSA_Config.xml
/data/data/####/LKME_Server_Request_Queue.xml
/data/data/####/MainNav.xml
/data/data/####/MultiDex.lock
/data/data/####/Q0VSVC5SU0EK.txt915
/data/data/####/SGMANAGER_DATA2.tmp
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/UTCommon.xml
/data/data/####/XNSDKStore1.0.xml
/data/data/####/XNclientid.xml
/data/data/####/XNmachineid.xml
/data/data/####/addressConfig.xml
/data/data/####/aliTradeConfigSP.xml
/data/data/####/ap.Lock
/data/data/####/appPackageNames_v2
/data/data/####/appVersionInfo.xml
/data/data/####/auth_sdk_device.xml
/data/data/####/bb697b91-3212-42c2-ac7c-7c0874632634
/data/data/####/bugly_db_-journal
/data/data/####/bugly_db_legu-journal
/data/data/####/c93e8847-7f32-4ebd-b01e-ff0fcf405cb8
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.preferences.v2.rid.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/com.amkj.dmsh.BETA_VALUES.xml
/data/data/####/com.amkj.dmsh.BETA_VALUES.xml.bak
/data/data/####/com.amkj.dmsh.mid.world.ro.xml
/data/data/####/com.amkj.dmsh_preferences.xml
/data/data/####/com.amkj.dmsh_preferences.xml (deleted)
/data/data/####/crashrecord.xml
/data/data/####/delOldVersion.xml
/data/data/####/duomolife.xml
/data/data/####/journal.tmp
/data/data/####/jpush_device_info.xml
/data/data/####/jpush_stat_cache.json
/data/data/####/jpush_stat_cache_history.json
/data/data/####/jpush_statistics.db
/data/data/####/jpush_statistics.db-journal
/data/data/####/jpush_statistics.db-shm (deleted)
/data/data/####/jpush_statistics.db-wal
/data/data/####/kf_10060_ISME9754_guest394971716646549505328384...ournal
/data/data/####/libnfix.so
/data/data/####/libsgmainso-5.1.96.so.tmp
/data/data/####/libsgsecuritybodyso-5.1.25.so.tmp
/data/data/####/libshella-2.8.so
/data/data/####/libufix.so
/data/data/####/linkedme_referral_shared_pref.xml
/data/data/####/linkedme_referral_shared_pref.xml (deleted)
/data/data/####/local_crash_lock
/data/data/####/lock.lock
/data/data/####/mix.dex
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/ossConfig.xml
/data/data/####/pri_tencent_analysis.db_com.amkj.dmsh-journal
/data/data/####/pri_tencent_analysis.db_com.amkj.dmsh;pushcore-journal
/data/data/####/security_info
/data/data/####/share.db-journal
/data/data/####/showShareTint.xml
/data/data/####/sp.lock
/data/data/####/tencent_analysis.db_com.amkj.dmsh-journal
/data/data/####/tencent_analysis.db_com.amkj.dmsh;pushcore-journal
/data/data/####/timestamp
/data/data/####/trajectoryData.txt
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/xUtils_http_cache.db
/data/data/####/xUtils_http_cache.db-journal
/data/data/####/xUtils_http_cookie.db
/data/data/####/xUtils_http_cookie.db-journal
/data/data/####/xnsdkconfig.xml
/data/data/####/xpush.xml
/data/media/####/.al
/data/media/####/.artc_lock
/data/media/####/.dh-journal
/data/media/####/.dhlock
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.digap
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.lecd
/data/media/####/.lesd_lock
/data/media/####/.lm_device_id
/data/media/####/.nomedia
/data/media/####/.nulal
/data/media/####/.nulplt
/data/media/####/.pkg_lock
/data/media/####/.plst
/data/media/####/.push_deviceid
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/6c709c11d2d46a7b
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/dd7893586a493dc3
/data/media/####/hid.dat
/data/media/####/logs.csv
/data/media/####/total.txt

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
app_process /system/bin com.android.commands.pm.Pm list packages
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.8.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
grep -E -v root|shell|system
logcat -d -v threadtime
pm list packages
ps 2325
ps 2518
sh
top -d 0 -n 1

Загружает динамические библиотеки:

Bugly
MtaNativeCrash_v2
jcore121
libnfix
libshella-2.8
libufix
nfix
sgmainso-5.1
sgsecuritybodyso-5.1
tusdk-library
ufix
ut_c_api

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-NoPadding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Управляет Wi-Fi-подключением.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней