Android.Spy.2852

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Spy.2440

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) shence####.tao####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) col####.tj####.com:80
TCP(HTTP/1.1) api.tao####.com:80
TCP(HTTP/1.1) 1####.29.29.29:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) f####.fengkon####.com:80
TCP(TLS/1.0) na61-####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) lbs.net####.im:443
TCP(TLS/1.0) dt.net####.im:443
TCP(TLS/1.0) gd-s####.j####.cn:443
TCP(TLS/1.0) qy-swa####.qi####.com:443
TCP(TLS/1.0) nim.qi####.com:443
TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
TCP(TLS/1.0) t####.j####.cn:443
TCP(TLS/1.0) api.tao####.com:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) 1####.217.168.206:443
UDP 1####.121.98.47:44482
UDP 1####.121.98.47:44494
UDP 1####.121.98.47:44456
UDP 1####.121.98.47:44460
UDP 1####.121.98.47:44478
UDP 1####.121.98.47:44481
UDP 1####.121.98.47:44495
UDP 1####.121.98.47:44449
UDP 1####.121.98.47:44480
UDP 1####.121.98.47:44462
UDP 1####.121.98.47:44487
UDP 1####.121.98.47:44457
TCP 1####.230.236.42:7004
TCP l####.net####.im:8080
UDP 1####.121.98.47:44447
UDP 1####.121.98.47:44490
UDP 1####.121.98.47:44459
UDP 1####.121.98.47:44446
UDP 1####.121.98.47:44476
UDP s.j####.cn:19000
UDP 1####.121.98.47:44485
UDP 1####.121.98.47:44445
UDP 1####.121.98.47:44477
UDP 1####.121.98.47:44484
UDP 1####.121.98.47:44492
UDP 1####.121.98.47:44444
UDP 1####.121.98.47:44474
UDP 1####.121.98.47:44493
UDP 1####.121.98.47:44469
UDP 1####.121.98.47:44475
UDP 1####.121.98.47:44468
UDP 1####.121.98.47:44472
UDP 1####.121.98.47:44479
UDP 1####.121.98.47:44473
UDP 1####.121.98.47:44463
UDP 1####.121.98.47:44470
UDP 1####.168.113.1:137
UDP 1####.121.98.47:44489
UDP 1####.121.98.47:44471
UDP 1####.121.98.47:44488
UDP 1####.121.98.47:44450
UDP 1####.121.98.47:44486
UDP 1####.121.98.47:44491
UDP 1####.121.98.47:44451
UDP 1####.121.98.47:44465
UDP 1####.121.98.47:44455
UDP 1####.121.98.47:44452
UDP 1####.121.98.47:44464
UDP 1####.121.98.47:44453
UDP 1####.121.98.47:44467
UDP 1####.121.98.47:44458
UDP 1####.121.98.47:44448
UDP 1####.121.98.47:44454
UDP 1####.121.98.47:44466
UDP 1####.121.98.47:44483
UDP 1####.121.98.47:44461

Запросы DNS:

a####.b####.qq.com
aexcep####.b####.qq.com
ali-s####.j####.cn
and####.b####.qq.com
api.tao####.com
ar.u####.com
col####.tj####.com
dt.net####.im
f####.fengkon####.com
gd-s####.j####.cn
l####.net####.im
l####.tbs.qq.com
lbs.net####.im
nim.qi####.com
plb####.u####.com
qy-swa####.qi####.com
s.j####.cn
shence####.tao####.com
t####.j####.cn
u####.u####.com
y####.al####.org

Запросы HTTP GET:

api.tao####.com/Api2_22_0/banner/spread?udid=####&ma=####&ifa=####&apput...
api.tao####.com/Api2_22_0/home/advertisement?res=####&os=####&scope_code...
api.tao####.com/Api2_22_0/home/newusertip?res=####&os=####&scope_code=##...
api.tao####.com/Api2_22_0/home/redirect?ifa=####&imei=####&os=####&res=#...
api.tao####.com/Api2_22_0/other/saveregistrationid?registration_id=####&...
api.tao####.com/Api2_22_0/other/start?model=####&res=####&os=####&scope_...
api.tao####.com/Api2_22_0/other/version?app=####&version=####&res=####&o...
api.tao####.com/Api2_22_0/user/getusertype?res=####&os=####&scope_code=#...
col####.tj####.com/
f####.fengkon####.com/v3/tracker?os=####&osver=####&model=####&e=####&or...
f####.fengkon####.com/v3/tracker?os=####&osver=####&model=####&e=java.##...
shence####.tao####.com/config/Android.conf

Запросы HTTP POST:

aexcep####.b####.qq.com:8011/rqd/async
aexcep####.b####.qq.com:8012/rqd/async
and####.b####.qq.com/rqd/async
api.tao####.com/Api2_22_0/banner/spread2?res=####&os=####&scope_code=###...
l####.tbs.qq.com/ajax?c=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/0989ebd1-3939-4220-9415-7092823c40dc
/data/data/####/0a231bd8575dcf72.txt
/data/data/####/21f4d59e-51f5-424c-9a87-8b82864c3f9d
/data/data/####/3b1c0074-d902-4361-82da-8cc31e9d2f32
/data/data/####/694e81ad-45db-4b6e-883a-eff475fc07be
/data/data/####/8c1a7bb9-7f6a-4b69-8ab5-03554f36981a
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/JPushSA_Config.xml
/data/data/####/LaunchPictureBean
/data/data/####/MultiDex.lock
/data/data/####/NIMSDK_Config_bba535e6aeb3df7ec865d07575fc12e1.xml
/data/data/####/NIMSDK_Config_bba535e6aeb3df7ec865d07575fc12e1_...7b.xml
/data/data/####/Q0VSVC5SU0EK.txt90c
/data/data/####/SGMANAGER_DATA2.tmp
/data/data/####/SG_INNER_DATA
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/Unicorn.bba535e6aeb3df7ec865d07575fc12e1.xml
/data/data/####/a7560273-c6f2-41b9-83ef-a36448323274
/data/data/####/a==8.0.2&&2.22.0_1558044712846_envelope.log
/data/data/####/a==8.0.2&&2.22.0_1558044721898_envelope.log
/data/data/####/a==8.0.2&&2.22.0_1558044731343_envelope.log
/data/data/####/a==8.0.2&&2.22.0_1558044748688_envelope.log
/data/data/####/appPackageNames_v2
/data/data/####/bugly_db_legu-journal
/data/data/####/c7aad8f7-cf52-4570-8ef3-01c930bb61b7
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.preferences.v2.rid.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/com.huanshou.taojj.main.config.xml
/data/data/####/com.huanshou.taojj.main.user.xml
/data/data/####/com.huanshou.taojj.xml
/data/data/####/com.qiyukf.analytics.xml
/data/data/####/com.qiyukf.analytics.xml.bak
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDa...leted)
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDa...ml.bak
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
/data/data/####/core_info
/data/data/####/core_umeng_common_config.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU4MDQ0NzAyNDQ5;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU4MDQ0NzExOTUx;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU4MDQ0NzIwNzAz;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU4MDQ0NzM4MDIz;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU4MDQ0NzMwOTEx;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU4MDQ0NzQ4NjQ2;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU4MDQ0NzU1MzQ0;
/data/data/####/db40a1d1-d028-4a32-a36d-957e175ca8ea
/data/data/####/dc397f5b707f7ffc4b
/data/data/####/dc3b7f74237dfff4c2
/data/data/####/dc7a7fdf8538fbf8bc
/data/data/####/dc7affd4147b7be01f
/data/data/####/dc7afffc153b7f5842
/data/data/####/dc7bffd77238fff8a5
/data/data/####/dc7caff0a2bc034d41
/data/data/####/dc7ffff78a7b7f8093
/data/data/####/dca753a78f5b31c8bf
/data/data/####/dcbc335118bc034549
/data/data/####/dcd1dd6d7757d34a46
/data/data/####/download_upload
/data/data/####/e4d346dd-946b-48c6-b4bc-6e8db9a4fe75
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/i==1.2.0&&2.22.0_1558044703828_envelope.log
/data/data/####/i==1.2.0&&2.22.0_1558044721043_envelope.log
/data/data/####/i==1.2.0&&2.22.0_1558044731923_envelope.log
/data/data/####/i==1.2.0&&2.22.0_1558044748967_envelope.log
/data/data/####/info.xml
/data/data/####/jpush_device_info.xml
/data/data/####/jpush_stat_cache.json
/data/data/####/jpush_stat_cache_history.json
/data/data/####/libnfix.so
/data/data/####/libsgavmp_inner1558006250000.zip.tmp.2316
/data/data/####/libsgavmp_inner1558006250000.zip.tmp.2425
/data/data/####/libsgavmpso-5.4.1002.so.tmp.2316
/data/data/####/libsgavmpso-5.4.1002.so.tmp.2454
/data/data/####/libsgmain_inner1558006250000.zip.tmp.2316
/data/data/####/libsgmain_inner1558006250000.zip.tmp.2425
/data/data/####/libsgmainso-5.4.4066.so.tmp.2316
/data/data/####/libsgmainso-5.4.4066.so.tmp.2425
/data/data/####/libsgsecuritybody_inner1558006250000.zip.tmp.2316
/data/data/####/libsgsecuritybody_inner1558006250000.zip.tmp.2425
/data/data/####/libsgsecuritybodyso-5.4.62.so.tmp.2316
/data/data/####/libsgsecuritybodyso-5.4.62.so.tmp.2425
/data/data/####/libshella-3.0.0.0.so
/data/data/####/libufix.so
/data/data/####/local_crash_lock
/data/data/####/lock.lock
/data/data/####/mix.dex
/data/data/####/msg.db-journal
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/native_record_lock (deleted)
/data/data/####/pushcore_umeng_common_config.xml
/data/data/####/qiyu_save_bba535e6aeb3df7ec865d07575fc12e1.xml
/data/data/####/security_info
/data/data/####/sensorsdata.xml
/data/data/####/sgFile.lock
/data/data/####/share_data.xml
/data/data/####/sp.lock
/data/data/####/system_device_id.uuid.xml
/data/data/####/t==8.0.2&&2.22.0_1558044712141_envelope.log
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbs_pv_config
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tjj_analysis.db-journal
/data/data/####/tracker.db-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/unicorn#cheese#
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.nomedia
/data/media/####/.push_deviceid
/data/media/####/.umm.dat
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/dd7893586a493dc3
/data/media/####/hid.dat
/data/media/####/sysid.dat
/data/media/####/system_device_id.uuid
/data/media/####/tbslog.txt
/data/media/####/tmp_u_20190516

Другие:

Запускает следующие shell-скрипты:

/data/user/0/<Package>/files/dc7bffd77238fff8a5
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
<Package Folder>/files/dc397f5b707f7ffc4b
<Package Folder>/files/dc3b7f74237dfff4c2
<Package Folder>/files/dc7a7fdf8538fbf8bc
<Package Folder>/files/dc7affd4147b7be01f
<Package Folder>/files/dc7afffc153b7f5842
<Package Folder>/files/dc7bffd77238fff8a5
<Package Folder>/files/dc7caff0a2bc034d41
<Package Folder>/files/dc7ffff78a7b7f8093
<Package Folder>/files/dca753a78f5b31c8bf
<Package Folder>/files/dcbc335118bc034549
<Package Folder>/files/dcd1dd6d7757d34a46
chmod 700 /data/user/0/<Package>/tx_shell/libnfix.so
chmod 700 /data/user/0/<Package>/tx_shell/libshella-3.0.0.0.so
chmod 700 /data/user/0/<Package>/tx_shell/libufix.so
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-3.0.0.0.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.build.version.release
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
ls /
ls /sys/class/thermal
ps

Загружает динамические библиотеки:

Bugly
jcore126
libnfix
libshella-3.0.0.0
libufix
nfix
sgavmpso-5.4
sgmainso-5.4
sgsecuritybodyso-5.4
smsdk
ufix

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-NoPadding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
DES-ECB-PKCS5Padding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

1
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-NoPadding
AES-GCM-NoPadding
DES-ECB-NoPadding
DES-ECB-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию о настроках APN.

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Управляет Wi-Fi-подключением.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней