Android.RemoteCode.4695

Техническая информация

Вредоносные функции:

Отправляет SMS:

106901332942: rg|647|AhB3j.S11wiZPLfC4voMlAPLf5l4OMLO8Og5z74T385u5,kdh0b0NFYlvcKmXqhMpbfZNJ,c5.iCcwwcHRr0.2KCn5PI.Cq20uMZQ6Vo1UU!

Выполняет код следующих детектируемых угроз:

Android.RemoteCode.907
Android.Spy.373.origin
Android.Triada.2018
Android.Triada.464.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) i####.api.qiazhiw####.cn:10003
TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10201
TCP(HTTP/1.1) gd.a.s####.com:80
TCP(HTTP/1.1) wn.qiazhiw####.cn.####.net:80
TCP(HTTP/1.1) 1####.62.69.130:80
TCP(HTTP/1.1) api.y####.com:8080
TCP(HTTP/1.1) 1####.78.31.198:8030
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) xz####.zhan####.com:10011
TCP(HTTP/1.1) pay.91m####.com:80
TCP(HTTP/1.1) ga####.gamenew####.com:8080
TCP(HTTP/1.1) 1####.55.161.68:29092
TCP(HTTP/1.1) q####.a####.com:80
TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10103
TCP(HTTP/1.1) a####.umengc####.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(HTTP/1.1) w####.cns####.com:9005
TCP(HTTP/1.1) ji####.jieme####.com:8152
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) fy.bigb####.com:6099
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) l####.bigb####.com:6099
TCP(HTTP/1.1) apc.wjm####.com:80
TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:20000
TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10001
TCP(HTTP/1.1) a####.on####.club:80
TCP(HTTP/1.1) 1####.199.9.227:80
TCP(TLS/1.0) 1####.177.119.139:443
TCP sdk.api.qiazhiw####.cn:6688

Запросы DNS:

a####.b####.qq.com
a####.on####.club
a####.u####.com
a####.umengc####.com
aexcep####.b####.qq.com
and####.b####.qq.com
apc.wjm####.com
api.y####.com
c####.api.qiazhiw####.cn
dd.bigb####.com
fy.bigb####.com
ga####.gamenew####.com
hx.wjm####.com
i####.api.qiazhiw####.cn
i####.api.qiazhiw####.cn
ji####.dl####.com
ji####.jieme####.com
l####.bigb####.com
l.ace####.com
lp.lapia####.com
nstc####.qiazhiw####.cn
pay.91m####.com
pv.s####.com
sdk.api.qiazhiw####.cn
w####.cns####.com
wn.qiazhiw####.cn
x####.bj####.cn
xz####.zhan####.com
z####.bj####.cn

Запросы HTTP GET:

a####.on####.club/fileupload/0bc05ad19ed8cf95.jar
ga####.gamenew####.com:8080/pay/lianyun/zonghe_chenfeng.txt
gd.a.s####.com/cityjson?ie=####
q####.a####.com/jieplginf/djmdeta29x
q####.a####.com/newzydzver/newzydzver.txt
q####.a####.com/newzydzverRhe3/zyinres75
q####.a####.com/znewxinzffe/zxzy75
wn.qiazhiw####.cn.####.net/update/up051094103

Запросы HTTP POST:

a####.u####.com/app_logs
a####.umengc####.com/app_logs
aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
apc.wjm####.com/core/user/initPay
apc.wjm####.com/fetchMobileService/fetchMobile
apc.wjm####.com/inte/upSdkCrashLog
apc.wjm####.com/inte/upSmsCollection
api.y####.com:8080/sdk/mobile-submit
fy.bigb####.com:6099/aps/
i####.api.qiazhiw####.cn:10003/v2/chis2
ji####.jieme####.com:8152/ryf_webserver/payment/checkupdate.html
l####.bigb####.com:6099/aps/
pay.91m####.com/sdkMis/sdk-update
sdk.api.qiazhiw####.cn:10001/v2/bag/monitor?app_id=####&t=####
sdk.api.qiazhiw####.cn:10001/v2/sdk/init2?app_id=####&t=####
sdk.api.qiazhiw####.cn:10001/v2/update/check?app_id=####&t=####
sdk.api.qiazhiw####.cn:10103/v3/order/get?app_id=####&t=####
sdk.api.qiazhiw####.cn:10103/v3/order/scoreget?app_id=####&t=####
sdk.api.qiazhiw####.cn:10201/v2/sdk/report2?app_id=####&t=####
sdk.api.qiazhiw####.cn:10201/v2/sdk/report?app_id=####&t=####
sdk.api.qiazhiw####.cn:20000/v1/srv/err/report?app_id=####&t=####
sdk.api.qiazhiw####.cn:20000/v1/srv/info/get?app_id=####&t=####
w####.cns####.com:9005/csk/c_s/g_f.json
w####.cns####.com:9005/csk/st_c/cn_i_sec.json
w####.cns####.com:9005/csk/st_c/cn_sk_Order.json
w####.cns####.com:9005/csk/st_c/cn_sk_login.json
w####.cns####.com:9005/csk/st_c/cn_sk_specialVersion.json
w####.cns####.com:9005/csk/st_c/cn_sk_tj.json
w####.cns####.com:9005/csk/st_c/getst_tegy.json
xz####.zhan####.com:10011/zxhypay/action/updatexzf.do

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-3XNHsV2e9YK45OHweYeIBaMVns=.new
/data/data/####/.imprint
/data/data/####/02cowUXKl9GPER65LTaFqg==.new
/data/data/####/0anESHRnVpmaqc11.new
/data/data/####/1557587925494
/data/data/####/1557587925495
/data/data/####/1557587925765
/data/data/####/1557587926012
/data/data/####/1557587927751
/data/data/####/1557587930025
/data/data/####/1557587932105
/data/data/####/1557587934131
/data/data/####/1557587940916
/data/data/####/1557587941156
/data/data/####/1557587941893
/data/data/####/1557587943000
/data/data/####/1557587944724
/data/data/####/1557587946792
/data/data/####/1557587949088
/data/data/####/1557587950917
/data/data/####/1557587955851
/data/data/####/1557587956067
/data/data/####/1557587956770
/data/data/####/1557587957889
/data/data/####/1557587959795
/data/data/####/1557587961831
/data/data/####/1557587963836
/data/data/####/1557587965787
/data/data/####/1557587969282
/data/data/####/1557587969621
/data/data/####/1557587970297
/data/data/####/1557587971383
/data/data/####/1557587973061
/data/data/####/1557587975375
/data/data/####/1557587977473
/data/data/####/1557587979228
/data/data/####/1557587984271
/data/data/####/1557587986502
/data/data/####/1557587986736
/data/data/####/1557587988264
/data/data/####/1557587990311
/data/data/####/1557587992207
/data/data/####/A0YpcXnOFRLm6rxDDUqynHaR-0A=.new
/data/data/####/Alvin2.xml
/data/data/####/BcJhSEroypHbJg3eOzDRZEFY1T-N83BX.new
/data/data/####/CcR1R-OozsEOuKFaLylSLBex5HU=.new
/data/data/####/ContextData.xml
/data/data/####/DtdzRhe.xml
/data/data/####/DtdzRhe_config.xml
/data/data/####/G-3ncbwZ6FCImrcOGsv4vr2bdF8dWxqFSXnMsQ==.new
/data/data/####/JiePay.xml
/data/data/####/M668BQJxXxi5tHWrsGuRpH3v2SMJqTb2.new
/data/data/####/N-8ghzNYcay4aUU47JRhyi3s86Y7iBPT3igf4A==.new
/data/data/####/NiZW86D0MsAQTXzofdy_fQCfaMSEsiTg.new
/data/data/####/P31LZ-Y8gKapSxoo9bTfLDArBrVZ77St.new
/data/data/####/PHSR0u0qPeJTVi9nwraYK0gJS9Uqm97QWKV72JgJ28w=.new
/data/data/####/RQ54cJbEJzjbgMPhzVsYL-dwb2eyMci8.new
/data/data/####/TdURU9xosYfSekHJ.dex
/data/data/####/TdURU9xosYfSekHJ.zip
/data/data/####/URXBVyonytQJ1gHQ8izrtOAR_KBsEdRH.new
/data/data/####/XinZF.xml
/data/data/####/XinZF_conf.xml
/data/data/####/XinZF_conf.xml.bak
/data/data/####/XinZF_conf.xml.bak (deleted)
/data/data/####/YgOwTNj4DP1LE0yr
/data/data/####/ZYIN_config.xml
/data/data/####/_w7Iww38gzxp9zcNXmSr2k_BKJ8=
/data/data/####/a_tmp
/data/data/####/app_test.apk
/data/data/####/app_test.dex (deleted)
/data/data/####/b-CQ0AtYyxqlUSVhDmgWVQ==
/data/data/####/brushs.xml
/data/data/####/brushs.xml.bak
/data/data/####/bugly_db_legu
/data/data/####/bugly_db_legu-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cds.xml
/data/data/####/com.sdfjer.erjfklr.com.one.support.c.aOnePay_ms...ournal
/data/data/####/com.sdfjer.erjfklr.com.one.support.c.aOnePay_msg.db
/data/data/####/com.sdfjer.erjfklr_preferences.xml
/data/data/####/config.xml
/data/data/####/config50048.xml
/data/data/####/config50048.xml.bak
/data/data/####/dx08HSozzIAsx1xZDABPkStwaIw=.new
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/fZG2sjkbqWiFYw6ayDaaYbxEfEiRM2Em8TDDy7euXWI=.new
/data/data/####/fmoonStore.db
/data/data/####/fmoonStore.db-journal
/data/data/####/fplay_arthc
/data/data/####/gjh5zKitak2eOnwhqgWzL-iZ6iHphW5p.new
/data/data/####/hXa0GOs7UcVh0Y5yAyOGySmdsLSi4UkwsoB_5ZV7IBQ=.new
/data/data/####/jiepay_config.xml
/data/data/####/jiepayplugin.apk
/data/data/####/jiepayplugin.apkdata
/data/data/####/jlmFElD27WuFnVLS
/data/data/####/libshella-2.9.0.5.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/loccalCache.xml
/data/data/####/lpbia.dex
/data/data/####/lpbia.jar
/data/data/####/lzJD_mivCaVf68gMkKsvtzyUK3k=.new
/data/data/####/mix.dex
/data/data/####/mix.so
/data/data/####/native_record_lock
/data/data/####/new_md.jar
/data/data/####/omsdfjererjfklr
/data/data/####/one.dex
/data/data/####/one.dex (deleted)
/data/data/####/onePay_SP.xml
/data/data/####/order_sp.xml
/data/data/####/q7c9tHR_RIpEHi3A_si7-Q==
/data/data/####/rdata_comvuihzdiukz.new
/data/data/####/runner_info.prop.new
/data/data/####/s3hDBCCvTilIzYrP3cYo2vv2giY=.new
/data/data/####/security_info
/data/data/####/shunpay_config
/data/data/####/sms_db
/data/data/####/sms_db-journal
/data/data/####/tSVD63D4J08p2Gh9QwpYDQ==.new
/data/data/####/tdynRW-w5aqg3-rObtDzrOVeEpVMLY1gazrcvg==_3NYiLy...ournal
/data/data/####/tdynRW-w5aqg3-rObtDzrOVeEpVMLY1gazrcvg==_3NYiLydL8vFjRlI6
/data/data/####/tdynRW-w5aqg3-rObtDzrOVeEpVMLY1gazrcvg==_3faPHZ...RlMg==
/data/data/####/tdynRW-w5aqg3-rObtDzrOVeEpVMLY1gazrcvg==_3faPHZ...ournal
/data/data/####/tdynRW-w5aqg3-rObtDzrOVeEpVMLY1gazrcvg==_6sVRn4...ournal
/data/data/####/tdynRW-w5aqg3-rObtDzrOVeEpVMLY1gazrcvg==_6sVRn4vs-MBLOyvv
/data/data/####/tdynRW-w5aqg3-rObtDzrOVeEpVMLY1gazrcvg==_oHMByN...a6CQ==
/data/data/####/tdynRW-w5aqg3-rObtDzrOVeEpVMLY1gazrcvg==_oHMByN...ournal
/data/data/####/tdynRW-w5aqg3-rObtDzrOVeEpVMLY1gazrcvg==_xbgLvY...hdbAg=
/data/data/####/tdynRW-w5aqg3-rObtDzrOVeEpVMLY1gazrcvg==_xbgLvY...ournal
/data/data/####/tdynRW-w5aqg3-rObtDzrOVeEpVMLY1gazrcvg==_zTE96w...ournal
/data/data/####/tdynRW-w5aqg3-rObtDzrOVeEpVMLY1gazrcvg==_zTE96waQazYJXiFk
/data/data/####/thfbua_f.dex
/data/data/####/thfbua_f.zip
/data/data/####/tw.dex
/data/data/####/twc.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/uid.f
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/up051094103
/data/data/####/up051094103.jar
/data/data/####/vLIBtn0Xbxhtlcs72kV9Lk1U2i0=.new
/data/data/####/vqeTJ8ZozQmC7b7uanVvf_ymsG5zCqS8zwhm4PUXPx8=.new
/data/data/####/webview.db
/data/data/####/webview.db-journal
/data/data/####/ydrVcJkkyyL7WI2iX_yxO7Z7FMEEV_BjvrkkUw==.new
/data/data/####/yf.apk
/data/data/####/yf.dex
/data/data/####/yf.dex (deleted)
/data/data/####/yunUid.f
/data/data/####/z4jQaxpSDcLXpYXK-vGkXA==.new
/data/data/####/zEbtLCdkv7XVk7guHlDiyt81C-57clv4.new
/data/data/####/zVoqFA8xhrlO-NnEQAq32p6pO08=.new
/data/data/####/zdhf.dex
/data/data/####/zdhf.jar
/data/data/####/zxxinzf.apk
/data/data/####/zxxinzf.apkdata
/data/data/####/zyinres.apkdata
/data/media/####/.uunique.new
/data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
/data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
/data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
/data/media/####/WyyyCrashLog_20190511151845_2239.log
/data/media/####/WyyyCrashLog_20190511151847_2239.log
/data/media/####/WyyyCrashLog_20190511151849_2239.log
/data/media/####/WyyyCrashLog_20190511151851_2239.log
/data/media/####/WyyyCrashLog_20190511151854_2239.log
/data/media/####/WyyyCrashLog_20190511151902_2687.log
/data/media/####/WyyyCrashLog_20190511151904_2687.log
/data/media/####/WyyyCrashLog_20190511151906_2687.log
/data/media/####/WyyyCrashLog_20190511151908_2687.log
/data/media/####/WyyyCrashLog_20190511151910_2687.log
/data/media/####/WyyyCrashLog_20190511151916_3047.log
/data/media/####/WyyyCrashLog_20190511151917_3047.log
/data/media/####/WyyyCrashLog_20190511151919_3047.log
/data/media/####/WyyyCrashLog_20190511151921_3047.log
/data/media/####/WyyyCrashLog_20190511151923_3047.log
/data/media/####/WyyyCrashLog_20190511151925_3047.log
/data/media/####/WyyyCrashLog_20190511151931_3414.log
/data/media/####/WyyyCrashLog_20190511151932_3414.log
/data/media/####/WyyyCrashLog_20190511151935_3414.log
/data/media/####/WyyyCrashLog_20190511151937_3414.log
/data/media/####/WyyyCrashLog_20190511151939_3414.log
/data/media/####/WyyyCrashLog_20190511151946_3776.log
/data/media/####/WyyyCrashLog_20190511151948_3776.log
/data/media/####/WyyyCrashLog_20190511151950_3776.log
/data/media/####/WyyyCrashLog_20190511151952_3776.log
/data/media/####/log
/data/media/####/order
/data/media/####/qshp_3001_2358.zip
/data/media/####/r_pkDgN4OhnkSa0D
/data/media/####/tw

Другие:

Запускает следующие shell-скрипты:

./fplay_arthc
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/code-2992669/jlmFElD27WuFnVLS -p <Package> -c com.vuihz.diukz.drop.DamsonReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
cat /sys/block/mmcblk0/device/cid
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.5.so
chmod 700 <Package Folder>/tx_shell/libufix.so
chmod 755 <Package Folder>/files/.tmp/libupdate.so
chmod 777 <Package Folder>/files/fplay_arthc
chmod 777 <Package Folder>/omsdfjererjfklr
dd if <Package Folder>/files/fplay_arthc of <Package Folder>/omsdfjererjfklr
dd if=<Package Folder>/files/fplay_arthc of=<Package Folder>/omsdfjererjfklr
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.vivo.os.build.display.id
getprop ro.vivo.os.version
getprop ro.yunos.version
logcat -d -v threadtime
sh
sh ./fplay_arthc
sh <Package Folder>/code-2992669/jlmFElD27WuFnVLS -p <Package> -c com.vuihz.diukz.drop.DamsonReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung

Загружает динамические библиотеки:

Bugly
core
fpteal
libnfix
libshella-2.9.0.5
libufix
n67c5f
nfix
sewwww
shunpay
ufix

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-GCM-NoPadding
DES
DES-CBC-PKCS5Padding
DES-ECB-PKCS5Padding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-PKCS7Padding
AES-GCM-NoPadding
DES
DES-CBC-PKCS5Padding
DES-ECB-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Парсит информацию из SMS.

Получает информацию об отправленых/принятых SMS.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней