Android.Spy.2886

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin
Android.Spy.2442

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) l####.cc:80
TCP(HTTP/1.1) api.kais####.com:80
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) sdk.ks-####.com:8989
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) sdkr####.l####.126.net:80
TCP(HTTP/1.1) gw.kais####.com:80
TCP(HTTP/1.1) 7x####.v2.com.####.com:80
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) lbs.net####.im:443
TCP(TLS/1.0) 1####.217.19.206:443
TCP(TLS/1.0) wa####.127.net:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) web####.net####.im:443
TCP(TLS/1.0) gw.kais####.com:443
TCP(TLS/1.0) api.kais####.com:443
TCP c####.g####.ig####.com:5226
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

7j####.c####.z0.####.com
api.kais####.com
c####.g####.ig####.com
c-h####.g####.com
gw.kais####.com
im####.kais####.com
im####.kais####.com
l####.cc
lbs.net####.im
loc.map.b####.com
log.u####.com
plb####.u####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.ks-####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
sdkr####.l####.126.net
u####.u####.com
w####.kais####.com
wa####.127.net
web####.net####.im

Запросы HTTP GET:

7x####.v2.com.####.com/2019-04-24_5cc0081f6674a.png
7x####.v2.com.####.com/2019-04-29_5cc6e8fd8361b.png
7x####.v2.com.####.com/2019-05-16_5cdcf0810de51.jpeg?imageVi####
7x####.v2.com.####.com/2019-05-24_5ce792a838328.jpeg?imageVi####
7x####.v2.com.####.com/2019-05-24_5ce7cc9e04902.jpeg?imageVi####
7x####.v2.com.####.com/2019-05-26_5cea123d1087c.jpeg
7x####.v2.com.####.com/header2.png?imageVi####
api.kais####.com/crowdfundingservice2/advert/online/splashscreen?client=...
api.kais####.com/crowdfundingservice2/common/config?client=####&clientve...
api.kais####.com/crowdfundingservice2/tool/jumpurl?client=####&clientver...
d####.c####.l####.####.com/5B818E94BBBB7DFFE050190AFD017EA12017101421574...
d####.c####.l####.####.com/62E49FEF804F303CE050190AFD017C872019050816171...
d####.c####.l####.####.com/7FF73568B0CD18C3E050190AFD0167B02019012121160...
d####.c####.l####.####.com/header2.png?imageVi####
d####.c####.l####.####.com/o_1dad9r2381n61vu11ofv1s3a1mir1b.jpg?imageVi#...
d####.c####.l####.####.com/o_1dadfhni6nv7qm4i6gkhej4b1e.jpg?imageVi####
d####.c####.l####.####.com/o_1db0313vm19jv1lee1ogcv71k9i1l.jpg?imageVi####
d####.c####.l####.####.com/o_1dbcbpa1a92ravf19251arg4u719.jpg?imageVi####
d####.c####.l####.####.com/o_1dbcf9d5vs7t154i5pv19kq1ft31e.jpg?imageVi####
d####.c####.l####.####.com/o_1dbcqei83s81gqu968lq8hs222.jpeg?imageVi####
d####.c####.l####.####.com/o_1dbnfa6pn1i4aojj1tkl4s97ll19.jpg?imageVi####
d####.c####.l####.####.com/o_1dbo0n2km1p4uchj17cd71d1krq19.jpg
d####.c####.l####.####.com/o_1dbpdsc2l1qik156jhtb1rs9bbd1o.jpg?imageVi####
gw.kais####.com/gateway/api?apiName=####&client=####&clientversion=####&...
l####.cc/i/sdk/is_gal?imei_md5=####&os=####&p_chklst_version=####&retry_...
t####.c####.q####.####.com/config/hz-hzv6.conf
t####.c####.q####.####.com/tdata_Gfv491
t####.c####.q####.####.com/tdata_MkX219
t####.c####.q####.####.com/tdata_RTc910
t####.c####.q####.####.com/tdata_TPC259

Запросы HTTP POST:

api.kais####.com/crowdfundingservice2/tool/save/device?client=####&clien...
c-h####.g####.com/api.php?format=####&t=####
gw.kais####.com/gateway/?apiName=####&client=####&clientversion=####&app...
gw.kais####.com/gateway/api?apiName=####&client=####&clientversion=####&...
l####.cc/i/sdk/install
loc.map.b####.com/offline_loc
loc.map.b####.com/sdk.php
sdk-ope####.g####.com/api.php?format=####&t=####
sdk.ks-####.com:8989/api/CanHWDecode/2017-01-01
sdkr####.l####.126.net/sdk/h265WhiteList/uploadRecord

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/0HMOsD61Zs-Mz8M7NYYVc2NlnBY.895714763.tmp
/data/data/####/0nzYFlpU0CDMJ0ExpHLSMS8_vbI.536722853.tmp
/data/data/####/8Kb2n2JhlPp5Yw3SJRD8oAs2enI.775910162.tmp
/data/data/####/BLLM--tjZTuJwYYddgkRHncCFbA.-1699320678.tmp
/data/data/####/CPRynswNx-W3hLHv7RbwC5nY26o.-1382128055.tmp
/data/data/####/DNHUM5751sYeBk9z-16Sc1HpHHM.-1750307437.tmp
/data/data/####/GD7Zp37ku0ksYLwK4EzYNyLYxiI.180569569.tmp
/data/data/####/I1tWXGAnRX0A432__zBO3QyZ4so.-62188802.tmp
/data/data/####/LCBMPDYderVKKpXyjR-drktKe10.523076935.tmp
/data/data/####/LKME_Server_Request_Queue.xml
/data/data/####/MultiDex.lock
/data/data/####/NIMSDK_Config_d05d9eefb31215d72a4182c0fa715d68.xml
/data/data/####/NIMSDK_Config_d05d9eefb31215d72a4182c0fa715d68_null.xml
/data/data/####/Netease_SessionData.xml
/data/data/####/P7rp3u6iUW818EZatr7xxjAejLM.-890943294.tmp
/data/data/####/PD8XqDvz_BmqaAQnWiZvvjJmQ6w.-498348285.tmp
/data/data/####/SHuwwtjYiuiLiTN5hoUxWuD1CTY.748142279.tmp
/data/data/####/Td4_LBB4eNU0E9gK8wIG9pRT_JY.1279505837.tmp
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/VQXFuzGvaWQtXvxJ40mc8Hvvy0g.-1346394932.tmp
/data/data/####/W3Q9bCuXB7PfwPaUYLvLdg5xQxA.487628983.tmp
/data/data/####/_Qp3eGlrPNi3hPE0IzCgP1-yLrE.-1914155562.tmp
/data/data/####/a==7.5.4&&6.5.2_1558884671459_envelope.log
/data/data/####/c4447b983b5515b71302b0da900007ad.jpeg.tmp
/data/data/####/com.kaistart.android_preferences.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNTU4ODg0NjY5NTYw;
/data/data/####/dW1weF9zaGFyZV8xNTU4ODg0NzAwNDI1;
/data/data/####/dW1weF9zaGFyZV8xNTU4ODg0NzE4MzE5;
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/firll.dat
/data/data/####/g0l08RMf7RtY5uxOTSuG-yFNVx4.-383513711.tmp
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/i==1.2.0&&6.5.2_1558884669598_envelope.log
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/ksb_configs.xml
/data/data/####/ksb_statistics_config.xml
/data/data/####/ksbstatistics.xml
/data/data/####/ksy_white_list.xml
/data/data/####/libcuid.so
/data/data/####/libjiagu731867557.so
/data/data/####/libweexjsb.so
/data/data/####/linkedme_referral_shared_pref.xml
/data/data/####/mKWpzJTATMZu7t7DeFwDeXdqj80.560765831.tmp
/data/data/####/multidex.version.xml
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/share.db
/data/data/####/share.db-journal
/data/data/####/statisticsksb-journal
/data/data/####/tdata_Gfv491
/data/data/####/tdata_Gfv491.jar
/data/data/####/tdata_MkX219
/data/data/####/tdata_MkX219.jar
/data/data/####/tdata_RTc910
/data/data/####/tdata_RTc910.jar
/data/data/####/tdata_TPC259
/data/data/####/tdata_TPC259.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/udesk_sdk.xml
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/wFuDh25LUwfO6_pRK6sxTa8-ZrU.1433948931.tmp
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.lm_device_id
/data/media/####/.nomedia
/data/media/####/.umm.dat
/data/media/####/09f7e8bc86dbcea15015092c2f72b73f.0.tmp
/data/media/####/09f7e8bc86dbcea15015092c2f72b73f.1.tmp
/data/media/####/1fb89af571e7b11d077d423ac53da2fe.0.tmp
/data/media/####/1fb89af571e7b11d077d423ac53da2fe.1.tmp
/data/media/####/2c72e9a1e0ee227e7b09de83cfb8f4f4.0.tmp
/data/media/####/2c72e9a1e0ee227e7b09de83cfb8f4f4.1.tmp
/data/media/####/54697ed75783294adaefdf3b649b16f6.0.tmp
/data/media/####/54697ed75783294adaefdf3b649b16f6.1.tmp
/data/media/####/581000cccc83823bdbdd2a1886444435.0.tmp
/data/media/####/581000cccc83823bdbdd2a1886444435.1.tmp
/data/media/####/5aae003dde4e7508481d042514c913df.0.tmp
/data/media/####/5aae003dde4e7508481d042514c913df.1.tmp
/data/media/####/69288b2eb6b412f9a43bc71deb6aa050.0.tmp
/data/media/####/69288b2eb6b412f9a43bc71deb6aa050.1.tmp
/data/media/####/69422325719fcd10aa89cbff5fcf86bf.0.tmp
/data/media/####/69422325719fcd10aa89cbff5fcf86bf.1.tmp
/data/media/####/69e04412e239280a23065dab02bdb149.0.tmp
/data/media/####/69e04412e239280a23065dab02bdb149.1.tmp
/data/media/####/944f6f6ea9fa6a3d6bfad3c26d6ab23f.0.tmp
/data/media/####/944f6f6ea9fa6a3d6bfad3c26d6ab23f.1.tmp
/data/media/####/97e82d8a7eddfa1f4158e33f07432b39.0.tmp
/data/media/####/97e82d8a7eddfa1f4158e33f07432b39.1.tmp
/data/media/####/a0fc4de841b6b946b9cfad42b4065ce9.0.tmp
/data/media/####/a0fc4de841b6b946b9cfad42b4065ce9.1.tmp
/data/media/####/aacf618ad6cb515e604a825056902e19.0.tmp
/data/media/####/aacf618ad6cb515e604a825056902e19.1.tmp
/data/media/####/aca21e3c7c9d885da5a2400675176d63.0.tmp
/data/media/####/aca21e3c7c9d885da5a2400675176d63.1.tmp
/data/media/####/app.db
/data/media/####/b4f9cad7a602bc21e15f4490ebbcbac4.0.tmp
/data/media/####/b4f9cad7a602bc21e15f4490ebbcbac4.1.tmp
/data/media/####/be562a3649a506ea52b9e2d008f22b69.0.tmp
/data/media/####/be562a3649a506ea52b9e2d008f22b69.1.tmp
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.kaistart.android.bin
/data/media/####/com.kaistart.android.db
/data/media/####/conlts.dat
/data/media/####/efecfaecf812a59da56514e02343ce9f.0.tmp
/data/media/####/efecfaecf812a59da56514e02343ce9f.1.tmp
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/journal
/data/media/####/journal.tmp
/data/media/####/ller.dat
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/nim_sdk.log
/data/media/####/tdata_Gfv491
/data/media/####/tdata_MkX219
/data/media/####/tdata_RTc910
/data/media/####/tdata_TPC259
/data/media/####/test.0
/data/media/####/test.log
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
<Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.GPushService 25015 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
ls /
ls /sys/class/thermal
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/<Package>.push.GPushService 25015 300 0

Загружает динамические библиотеки:

getuiext2
gifimage
imagepipeline
libjiagu731867557
locSDK6a
weexjsc

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней