Android.RemoteCode.4844

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.RemoteCode.41.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) apm.su####.cn:80
TCP(HTTP/1.1) da.mma####.com:80
TCP(HTTP/1.1) ws####.su####.com:80
TCP(HTTP/1.1) d####.opensp####.cn:80
TCP(HTTP/1.1) a####.b####.com:80
TCP(HTTP/1.1) htt####.su####.com:80
TCP(HTTP/1.1) s####.su####.com:80
TCP(HTTP/1.1) h####.opensp####.cn:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) www.a.sh####.com:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) ws####.su####.com:443
TCP(TLS/1.0) s####.su####.com.####.com:443
TCP(TLS/1.0) s####.su####.com:443
TCP(TLS/1.0) htt####.su####.com:443
TCP o####.su####.com:1883

Запросы DNS:

a####.b####.com
api.map.b####.com
apm.su####.cn
c####.su####.cn
d####.opensp####.cn
d####.su####.cn
da.mma####.com
fp.su####.com
h####.opensp####.cn
i####.su####.com
im####.su####.cn
im####.su####.cn
im####.su####.cn
im####.su####.cn
im####.su####.cn
int.d####.s####.####.cn
ipser####.su####.com
loc.map.b####.com
o####.su####.com
pass####.su####.com
res.su####.cn
s####.su####.com
s####.su####.com
s####.su####.com
sa.su####.cn
sc####.su####.cn
smart####.su####.com
www.b####.com

Запросы HTTP GET:

h####.opensp####.cn/launchconfig?t=####&p=####
htt####.su####.com/sn_wap_v2.htm?source=####
s####.su####.com/cc.js
s####.su####.com/sa/jsConfig.action?dm=####
s####.su####.com/sa/salog.gif?t=1&id=155890996778760107&i=&type=wap&v=SA...
s####.su####.com/sa/salog.gif?t=13&id=155890996815648450&i=&type=wap&v=S...
s####.su####.com/sh-web/newsh/api/qz/queryQz?callback=####&categoryId=##...
ws####.su####.com/
ws####.su####.com/all/ju/index.html
ws####.su####.com/javascript/sn_da/sa_click.js
ws####.su####.com/javascript/sn_da/sa_simple.js
ws####.su####.com/project/passport/js/passport.min.js
ws####.su####.com/znjj2/sns/1/css/images/none_1.png
ws####.su####.com/znjj2/sns/1/css/m_base.css
ws####.su####.com/znjj2/sns/1/css/m_sns.css
ws####.su####.com/znjj2/sns/1/js/components/Comment.js
ws####.su####.com/znjj2/sns/1/js/components/CommentList.js
ws####.su####.com/znjj2/sns/1/js/components/Index.js
ws####.su####.com/znjj2/sns/1/js/components/Info.js
ws####.su####.com/znjj2/sns/1/js/components/Populations.js
ws####.su####.com/znjj2/sns/1/js/components/Praise.js
ws####.su####.com/znjj2/sns/1/js/components/ScrollPopulations.js
ws####.su####.com/znjj2/sns/1/js/getData.js
ws####.su####.com/znjj2/sns/1/js/lib/vue/vue-swipe.js
ws####.su####.com/znjj2/sns/1/js/lib/vue/vue.lazyimg.js
ws####.su####.com/znjj2/sns/1/js/sns.js
ws####.su####.com/znjj2/sns/1/js/util/DateHandler.js
ws####.su####.com/znjj2/sns/1/js/util/touch/touch.js
ws####.su####.com/znjj2/sns/1/sns.html?source=####
ws####.su####.com/znjj2/sns/1/{{item.imageUrl}}
www.a.sh####.com/search/error.html

Запросы HTTP POST:

a####.b####.com/heweather/weather/free
apm.su####.cn/httpSampling.gif
d####.opensp####.cn/index.php/clientrequest/clientcollect/isCollect
da.mma####.com/mmsdk/mmsdk?func=####&appkey=####&channel=####&code=####
loc.map.b####.com/offline_loc
loc.map.b####.com/sdk.php
s####.su####.com/sh-web/api/config/getKey
s####.su####.com/sh-web/api/config/setKey
s####.su####.com/sh-web/api/device/getUpdateClientVersion
s####.su####.com/sh-web/api2/find/queryFindTopList
s####.su####.com/sh-web/api2/home/queryClientAdvert

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/2.2.xml
/data/data/####/ApplicationCache.db-journal
/data/data/####/Configuration.xml
/data/data/####/CookiePrefsFile.xml
/data/data/####/PushService.xml
/data/data/####/authStatus_com.suning.smarthome.xml
/data/data/####/authStatus_com.suning.smarthome;baiduLocation.xml
/data/data/####/authStatus_com.suning.smarthome;mini.xml
/data/data/####/com.iflytek.id.xml
/data/data/####/com.iflytek.msc.xml
/data/data/####/com.suning.smarthome_preferences.xml
/data/data/####/com.suning.statistics.tools.c.xml
/data/data/####/com.suning.statistics.tools.c.xml.bak
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/device_uuid.xml
/data/data/####/evnlxd0
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/f_00000b
/data/data/####/f_00000c
/data/data/####/f_00000d
/data/data/####/f_00000e
/data/data/####/f_00000f
/data/data/####/f_000010
/data/data/####/f_000011
/data/data/####/f_000012
/data/data/####/f_000013
/data/data/####/f_000014
/data/data/####/f_000015
/data/data/####/f_000016
/data/data/####/f_000017
/data/data/####/f_000018
/data/data/####/f_000019
/data/data/####/f_00001a
/data/data/####/f_00001b
/data/data/####/f_00001c
/data/data/####/f_00001d
/data/data/####/f_00001e
/data/data/####/f_00001f
/data/data/####/f_000020
/data/data/####/f_000021
/data/data/####/f_000022
/data/data/####/firll.dat
/data/data/####/ifly_launch_lib.xml
/data/data/####/iflytek_state_com.suning.smarthome.xml
/data/data/####/index
/data/data/####/libjiagu.so
/data/data/####/lxdMoblieAgent_config_com.suning.smarthome.xml
/data/data/####/lxdMoblieAgent_event_com.suning.smarthome.xml
/data/data/####/lxdMoblieAgent_sys_config.xml
/data/data/####/lxdMoblieAgent_upload_com.suning.smarthome.xml
/data/data/####/multidex.version.xml
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/smartHome-db-journal
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal (deleted)
/data/media/####/.cuid
/data/media/####/conlts.dat
/data/media/####/iflyworkdir_test
/data/media/####/ller.dat
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/test.0
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

chmod 755 <Package Folder>/files/libjiagu.so
ls /sys/block
ls /sys/class/mmc_host/

Загружает динамические библиотеки:

BaiduMapSDK_base_v3_7_0
libjiagu
locSDK6a
msc
msc_open_sdk

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
DESede-ECB-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней