Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.470.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) st####.dyl####.com:80
- TCP(HTTP/1.1) l####.tbs.qq.com:80
- TCP(HTTP/1.1) api.tes####.live:8082
- TCP(HTTP/1.1) weib####.g####.sina####.com:80
- TCP(HTTP/1.1) w####.pcon####.com.cn:80
- TCP(HTTP/1.1) weiboi####.g####.sina####.com:80
- TCP(HTTP/1.1) gd.a.s####.com:80
- TCP(HTTP/1.1) ad.q####.cn:80
- TCP(HTTP/1.1) m.benb####.com:80
- TCP(HTTP/1.1) ny.bul####.cn:666
- TCP(HTTP/1.1) dn.bule####.com:80
- TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) gd.a.s####.com:443
- TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) 2####.58.208.110:443
- TCP(TLS/1.0) weiboi####.g####.sina####.com:443
Запросы DNS:
- a####.b####.com
- ad.q####.cn
- api.tes####.live
- chan####.s####.com
- dn.bule####.com
- l####.tbs.qq.com
- log.u####.com
- m.benb####.com
- ny.bul####.cn
- plb####.u####.com
- pv.s####.com
- st####.dyl####.com
- t####.sin####.cn
- u####.u####.com
- w####.pcon####.com.cn
- ws3.sin####.cn
- wx1.sin####.cn
- wx2.sin####.cn
- wx3.sin####.cn
- wx4.sin####.cn
Запросы HTTP GET:
- api.tes####.live:8082/api/get_ad?code=####
- api.tes####.live:8082/api/get_chanel_type
- api.tes####.live:8082/api/get_version?AppKey=####&version_code=####&
- dn.bule####.com/dnfile/cmm/SWrapComm0524E.jar
- m.benb####.com/
- m.benb####.com/dsj/index_1_____addtime__1.html
- m.benb####.com/dy/index_1_____addtime__1.html
- m.benb####.com/gcj/xinbainiangzichuanqi2019/
- m.benb####.com/gcj/xinbainiangzichuanqi2019/player-0-0.html
- m.benb####.com/js/20X4.js
- m.benb####.com/js/dibu.js
- m.benb####.com/js/uaredirectformobile.js
- m.benb####.com/static/css/index.css
- m.benb####.com/static/js/common.min.js
- m.benb####.com/static/js/home.js
- m.benb####.com/static/js/jquery-lazyload.js
- m.benb####.com/static/js/jquery.base.js
- m.benb####.com/static/js/tj.js
- st####.dyl####.com/apk/movieradar.apk
- weib####.g####.sina####.com/orj360/005BYqpggy1g395kglyzpj30a00eggnu.jpg
- weib####.g####.sina####.com/orj360/005BYqpggy1g39exm6nrwj30a00egtat.jpg
- weib####.g####.sina####.com/orj360/005BYqpggy1g39ft4f66nj30a00egtb7.jpg
- weib####.g####.sina####.com/orj360/005BYqpggy1g3a0lwau2fj30a00egdha.jpg
- weib####.g####.sina####.com/orj360/005BYqpggy1g3anaof4tlj30a00egjt5.jpg
- weib####.g####.sina####.com/orj360/005BYqpggy1g3cfar2rb8j30a00egwh9.jpg
- weib####.g####.sina####.com/orj360/0060lm7Tly1g33bw0gv22j30a00dwtbb.jpg
- weiboi####.g####.sina####.com/large/005BYqpggy1g1nj8b1mmaj30go06xq6g.jpg
- weiboi####.g####.sina####.com/large/005BYqpggy1g1njivjh4rj30go06oq5o.jpg
- weiboi####.g####.sina####.com/large/005BYqpggy1g1njk729wfj30go06o0wx.jpg
- weiboi####.g####.sina####.com/large/005BYqpggy1g1whfgyiwbj30go06o40x.jpg
- weiboi####.g####.sina####.com/large/005BYqpgly1g14wayv4lrj30b40ftdki.jpg
- weiboi####.g####.sina####.com/large/005BYqpgly1g1qk0j8bvuj30j608041s.jpg
- weiboi####.g####.sina####.com/large/005BYqpgly1g1w986gn2nj30j6080whk.jpg
- weiboi####.g####.sina####.com/mw690/005yF2tCgy1fduujjdt2aj306o08wgmf.jpg
- weiboi####.g####.sina####.com/mw690/006LS6P5gy1fytbdb4wnpj30ci0hpn2p.jpg
- weiboi####.g####.sina####.com/mw690/006NJnzmgy1ffvpdyepezj30br0gomz5.jpg
- weiboi####.g####.sina####.com/orj360/005BYqpgly1g1ptdon3igj30b40fa76g.jpg
- weiboi####.g####.sina####.com/orj360/0060lm7Tly1g2jytu2tvbj30b40fk77f.jpg
- weiboi####.g####.sina####.com/orj360/0060lm7Tly1g2v0kh6x4oj30a00dcq4q.jpg
- weiboi####.g####.sina####.com/orj360/0060lm7Tly1g2zvrc4k6sj30a00dcdih.jpg
- weiboi####.g####.sina####.com/orj360/0060lm7Tly1g33200ztbcj30a00dr408.jpg
Запросы HTTP POST:
- ad.q####.cn/interfaces.do
- gd.a.s####.com/cityjson
- l####.tbs.qq.com/ajax?c=####&k=####
- ny.bul####.cn:666/slsdk/getdata.aspx
- w####.pcon####.com.cn/ip.jsp
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.old_file_converted
- /data/data/####/0ae69cdc9cb773ac489434cf67a2edb6.0.tmp
- /data/data/####/0ae69cdc9cb773ac489434cf67a2edb6.1.tmp
- /data/data/####/17b6829ce21e1e646e1aa203f1c83be0.0.tmp
- /data/data/####/17b6829ce21e1e646e1aa203f1c83be0.1.tmp
- /data/data/####/2fa444125c2715c0335dd22c8a697e29.0.tmp
- /data/data/####/2fa444125c2715c0335dd22c8a697e29.1.tmp
- /data/data/####/3f51694ce0f45c9ff9ff3d7586c530d0.0.tmp
- /data/data/####/3f51694ce0f45c9ff9ff3d7586c530d0.1.tmp
- /data/data/####/481c57a026d964ca440b59e2b38b49df.0.tmp
- /data/data/####/481c57a026d964ca440b59e2b38b49df.1.tmp
- /data/data/####/509a26adcfcf7864ff54c56c7f0dc070.0.tmp
- /data/data/####/509a26adcfcf7864ff54c56c7f0dc070.1.tmp
- /data/data/####/5797742fbd8848c80e8a9dbacfbae74f.0.tmp
- /data/data/####/5797742fbd8848c80e8a9dbacfbae74f.1.tmp
- /data/data/####/9320eff9e1da2b6385bb6d9acdc65f2a.0.tmp
- /data/data/####/9320eff9e1da2b6385bb6d9acdc65f2a.1.tmp
- /data/data/####/94ed8e90a920f4001166371042231dcb.0.tmp
- /data/data/####/94ed8e90a920f4001166371042231dcb.1.tmp
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/Generated_350611370.jar
- /data/data/####/MovieRadar.db-journal
- /data/data/####/MultiDex.lock
- /data/data/####/SearchHistory_db
- /data/data/####/SearchHistory_db-journal
- /data/data/####/UM_PROBE_DATA.xml
- /data/data/####/adc8ac17dd1740ac2f54d61156a596bc.0.tmp
- /data/data/####/adc8ac17dd1740ac2f54d61156a596bc.1.tmp
- /data/data/####/apps.qylog
- /data/data/####/bdead3c999055d165c1a3516c8aefe30.0.tmp
- /data/data/####/bdead3c999055d165c1a3516c8aefe30.1.tmp
- /data/data/####/core_info
- /data/data/####/d0499c1dbe8f4c350f58ef7c07549ebf.0.tmp
- /data/data/####/d0499c1dbe8f4c350f58ef7c07549ebf.1.tmp
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTU4NzE2NzkxMjg2;
- /data/data/####/dW1weF9zaGFyZV8xNTU4NzE2NzkzMjc4;
- /data/data/####/dW1weF9zaGFyZV8xNTU4NzE2NzkzNzk5;
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/download_upload
- /data/data/####/e1df09dbdd22e3ff067be55d5740ab0f.0.tmp
- /data/data/####/e1df09dbdd22e3ff067be55d5740ab0f.1.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f_000001
- /data/data/####/fd327b810354db5ee4de1f13018f3e07.0.tmp
- /data/data/####/fd327b810354db5ee4de1f13018f3e07.1.tmp
- /data/data/####/filedownloader.db-journal
- /data/data/####/gdt_plugin.jar
- /data/data/####/gdt_plugin.jar.sig
- /data/data/####/gdt_plugin.zip
- /data/data/####/i==1.2.0&&5.0.4_1558716791345_envelope.log
- /data/data/####/index
- /data/data/####/info.xml
- /data/data/####/journal
- /data/data/####/journal.tmp
- /data/data/####/libjiagu1276065012.so
- /data/data/####/multidex.version.xml
- /data/data/####/prdopt.xml
- /data/data/####/qy_config.xml
- /data/data/####/qy_rx.jar
- /data/data/####/rd_rx.jar
- /data/data/####/share.db-journal
- /data/data/####/t==8.0.0&&5.0.4_1558716792084_envelope.log
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbs_download_stat.xml
- /data/data/####/tbs_pv_config
- /data/data/####/tbscoreinstall.txt
- /data/data/####/tbslock.txt
- /data/data/####/tmp7.xml
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_location.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/data/####/update_lc
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.nomedia
- /data/media/####/.umm.dat
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/engc.jar
- /data/media/####/tmpbl.jar
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- getprop ro.product.cpu.abi
- ls /
- ls /sys/class/thermal
- sh
- su
Загружает динамические библиотеки:
- libjiagu1276065012
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- RSA-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
Использует повышенные привилегии.
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
