Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.HiddenAds.311.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
- TCP(HTTP/1.1) static-####.al####.huisuo####.com:80
- TCP(HTTP/1.1) s####.e.qq.com:80
- TCP(HTTP/1.1) amdc####.m.ta####.com:80
- TCP(HTTP/1.1) mi.g####.qq.com:80
- TCP(HTTP/1.1) ad.p####.huisuo####.com:80
- TCP(TLS/1.0) 2####.107.1.97:443
- TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) sdkc####.e.360.cn:443
- TCP(TLS/1.0) api####.me####.com:443
- TCP zb-cent####.m.ta####.com:443
Запросы DNS:
- a####.man.aliy####.com
- ad.p####.huisuo####.com
- amdc####.m.ta####.com
- api####.me####.com
- imgc####.qq.com
- l####.tbs.qq.com
- mi.g####.qq.com
- p####.ugd####.com
- plb####.u####.com
- s####.e.qq.com
- sdkc####.e.360.cn
- static-####.al####.huisuo####.com
- u####.u####.com
- umen####.m.ta####.com
Запросы HTTP GET:
- mi.g####.qq.com/gdt_mview.fcg?posw=####&posh=####&count=####&r=####&data...
- static-####.al####.huisuo####.com/app/entry/adx_lucky_turnable_location_...
- static-####.al####.huisuo####.com/app/entry/new_function_config_flag.json
Запросы HTTP POST:
- ad.p####.huisuo####.com/lock/open/screen/strategy?id=####
- amdc####.m.ta####.com/amdc/mobileDispatch?appkey=####&deviceId=####&plat...
- s####.e.qq.com/activate
- sh.wagbr####.aliyun####.com/man/api?ak=####&s=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.splash_ad_strategy_file
- /data/data/####/.td-3
- /data/data/####/ACCS_BINDumeng;520c538a56240bdc4a0d118f.xml
- /data/data/####/ACCS_SDK.xml
- /data/data/####/AGOO_BIND.xml
- /data/data/####/Agoo_AppStore.xml
- /data/data/####/Alvin2.xml
- /data/data/####/BuglySdkInfos.xml
- /data/data/####/ContextData.xml
- /data/data/####/GDTSDK.db
- /data/data/####/GDTSDK.db-journal
- /data/data/####/MessageStore.db-journal
- /data/data/####/MsgLogStore.db-journal
- /data/data/####/MultiDex.lock
- /data/data/####/UM_PROBE_DATA.xml
- /data/data/####/a==7.5.4&&6.5.0.0.2_1557929030854_envelope.log
- /data/data/####/accs.db-journal
- /data/data/####/adx_lucky_turnable_config
- /data/data/####/area_map.db.tmp
- /data/data/####/cloud_switch_cache
- /data/data/####/core_info
- /data/data/####/core_update
- /data/data/####/core_update_locker
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTU3OTI5MDI1NzY5;
- /data/data/####/devCloudSetting.cfg
- /data/data/####/devCloudSetting.sig
- /data/data/####/device_collector
- /data/data/####/device_collector_locker
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/fm_shared.xml
- /data/data/####/gdt_plugin.jar
- /data/data/####/gdt_plugin.jar.sig
- /data/data/####/gdt_suid
- /data/data/####/geofencing.db
- /data/data/####/geofencing.db-journal
- /data/data/####/getui_sp.xml
- /data/data/####/httpdns_config_cache.xml
- /data/data/####/i==1.2.0&&6.5.0.0.2_1557929025835_envelope.log
- /data/data/####/info.xml
- /data/data/####/init_c1.pid
- /data/data/####/libcuid.so
- /data/data/####/libjiagu1669361268.so
- /data/data/####/log_reupload_task
- /data/data/####/log_reupload_task_locker
- /data/data/####/mipush.xml
- /data/data/####/mipush_extra.xml
- /data/data/####/mipush_region
- /data/data/####/mipush_region.lock
- /data/data/####/ml-region-11.db.tmp
- /data/data/####/multidex.version.xml
- /data/data/####/null-raw.db-journal
- /data/data/####/openudid_prefs.xml
- /data/data/####/profile_task
- /data/data/####/profile_task_locker
- /data/data/####/profile_torch_platform
- /data/data/####/pull_live_sp.xml
- /data/data/####/pushsdk.db-journal
- /data/data/####/sdkCloudSetting.cfg
- /data/data/####/sdkCloudSetting.sig
- /data/data/####/sp_client_report_status.xml
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbs_download_stat.xml
- /data/data/####/tbscoreinstall.txt
- /data/data/####/tbslock.txt
- /data/data/####/td_fm.jar
- /data/data/####/torch_sdk_config.xml
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_location.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_message_state.xml
- /data/data/####/uninstall_apk
- /data/data/####/uninstall_apk_locker
- /data/data/####/update_lc
- /data/data/####/waitingDown
- /data/data/####/waitingDown_locker
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/.nomedia
- /data/media/####/.sfp
- /data/media/####/.td-3
- /data/media/####/.testf
- /data/media/####/.umm.dat
- /data/media/####/493c9e7faecc408aa937d325534a2d93
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/d49665454b73413da997e7e74b5ee2a5
- /data/media/####/deviceToken
- /data/media/####/log.lock
- /data/media/####/log1.txt
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- chmod 444/storage/emulated/0/.td-3
- chmod 444/storage/emulated/0/Alarms/.td-3
- chmod 444/storage/emulated/0/Download/.td-3
- chmod 444/storage/emulated/0/Movies/.td-3
- chmod 444/storage/emulated/0/Music/.td-3
- chmod 444/storage/emulated/0/Notifications/.td-3
- chmod 444/storage/emulated/0/Pictures/.td-3
- chmod 444/storage/emulated/0/backups/.td-3
- chmod 444/storage/emulated/0/libs/.td-3
- chmod 444/storage/emulated/0/res/.td-3
- chmod 444/storage/emulated/0/system/.td-3
- getprop net.dns1
- getprop ro.product.cpu.abi
- ls -l /system/xbin/su
- ls /
- ls /sys/class/thermal
Загружает динамические библиотеки:
- andfix
- getuiext2
- libjiagu1669361268
- tnet-3.1
- tongdun
- ut_c_api
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
- AES-ECB-PKCS7Padding
- RSA-ECB-NoPadding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
- desede-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS7Padding
- RSA-ECB-PKCS1Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Получает информацию о привязанных к устройству аккаунтах (Google, Facebook и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
