Android.SmsSpy.10371

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.SmsSpy.677.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) q####.qi1####.com:14302
TCP(HTTP/1.1) q####.qi1####.com:15302

Запросы DNS:

mt####.go####.com
q####.qi1####.com
q####.qi1####.com

Запросы HTTP POST:

q####.qi1####.com:14302/sdk_login?t=####
q####.qi1####.com:15302/sdk_login?t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/100gift.png
/data/data/####/200gift.png
/data/data/####/Marker Felt.ttf
/data/data/####/a.so
/data/data/####/arial.ttf
/data/data/####/assignmentItem1.png
/data/data/####/assignmentPanel.png
/data/data/####/back.png
/data/data/####/baidu
/data/data/####/baozha.ExportJson
/data/data/####/baozha.csb
/data/data/####/baozha0.plist
/data/data/####/baozha0.png
/data/data/####/blood.png
/data/data/####/bloodBar.png
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/chengji.png
/data/data/####/chongzhi.PNG
/data/data/####/chongzhiBtn.png
/data/data/####/chongzhiBtondonw.png
/data/data/####/config.properties
/data/data/####/controlPad.png
/data/data/####/daodan.plist
/data/data/####/daodan.png
/data/data/####/eat.mp3
/data/data/####/evo.png
/data/data/####/fanhui.png
/data/data/####/feiyong.png
/data/data/####/fish.ExportJson
/data/data/####/fish.csb
/data/data/####/fish0.plist
/data/data/####/fish0.png
/data/data/####/fish1.plist
/data/data/####/fish1.png
/data/data/####/gold.png
/data/data/####/goldRush.png
/data/data/####/goldRushBar.png
/data/data/####/goumai.png
/data/data/####/heibeijing.png
/data/data/####/helper
/data/data/####/highprogressdimian.png
/data/data/####/huanjing.mp3
/data/data/####/human.ExportJson
/data/data/####/human.csb
/data/data/####/human0.plist
/data/data/####/human0.png
/data/data/####/human1.plist
/data/data/####/human1.png
/data/data/####/img_pause.png
/data/data/####/jiasu.png
/data/data/####/jiesuo.png
/data/data/####/jinbi.png
/data/data/####/jinbibaoshidilan.png
/data/data/####/jinbibutton.png
/data/data/####/jinbiitems.jpg
/data/data/####/jixieshazhanshi.png
/data/data/####/libao.png
/data/data/####/libcocos2dcpp.so
/data/data/####/libhelper.so
/data/data/####/libsmsmanager.so
/data/data/####/libzxvps.so
/data/data/####/lijiqude.png
/data/data/####/loading.jpg
/data/data/####/logo.png
/data/data/####/map.tmx
/data/data/####/map01.jpg
/data/data/####/map02.jpg
/data/data/####/map03.jpg
/data/data/####/map04.jpg
/data/data/####/map05.jpg
/data/data/####/map06.jpg
/data/data/####/map07.jpg
/data/data/####/map08.jpg
/data/data/####/map09.jpg
/data/data/####/map10.jpg
/data/data/####/map11.jpg
/data/data/####/map12.jpg
/data/data/####/map13.jpg
/data/data/####/map14.jpg
/data/data/####/map15.jpg
/data/data/####/map16.jpg
/data/data/####/map17.jpg
/data/data/####/map18.jpg
/data/data/####/map19.jpg
/data/data/####/map20.jpg
/data/data/####/map21.jpg
/data/data/####/map22.jpg
/data/data/####/map23.jpg
/data/data/####/map24.jpg
/data/data/####/map25.jpg
/data/data/####/map26.jpg
/data/data/####/map27.jpg
/data/data/####/map28.jpg
/data/data/####/map29.jpg
/data/data/####/map30.jpg
/data/data/####/map31.jpg
/data/data/####/map32.jpg
/data/data/####/map33.jpg
/data/data/####/map34.jpg
/data/data/####/map35.jpg
/data/data/####/map36.jpg
/data/data/####/mask.png
/data/data/####/mask1.png
/data/data/####/mobclick_agent_cached_com.daxidi.zhin1009
/data/data/####/newshayu.ExportJson
/data/data/####/newshayu.csb
/data/data/####/newshayu0.plist
/data/data/####/newshayu0.png
/data/data/####/newshayu1.plist
/data/data/####/newshayu1.png
/data/data/####/newshayu2.plist
/data/data/####/newshayu2.png
/data/data/####/newshayu3.plist
/data/data/####/newshayu3.png
/data/data/####/newshayu4.plist
/data/data/####/newshayu4.png
/data/data/####/padCenter.png
/data/data/####/pid
/data/data/####/progress.png
/data/data/####/progressdimian.png
/data/data/####/progresskuang.png
/data/data/####/pz.jpg
/data/data/####/queren.png
/data/data/####/queren_.png
/data/data/####/queren_down.png
/data/data/####/querendown.png
/data/data/####/qy_db_pay
/data/data/####/qy_db_pay-journal
/data/data/####/renwu.png
/data/data/####/return.png
/data/data/####/s8f2md8y4tmgsjun.dex
/data/data/####/scrollviewbg.png
/data/data/####/sdk.xml
/data/data/####/shayu_normal.ExportJson
/data/data/####/shayu_normal.csb
/data/data/####/shayu_normal0.plist
/data/data/####/shayu_normal0.png
/data/data/####/shayuclass.png
/data/data/####/shayuxinxi.png
/data/data/####/shayuxinximianban.png
/data/data/####/shayuzhanshi.png
/data/data/####/shengjimianban.png
/data/data/####/shengying.png
/data/data/####/shengyingguanbi.png
/data/data/####/shop.png
/data/data/####/sprint.png
/data/data/####/sprintBar.png
/data/data/####/start.mp3
/data/data/####/start_bg.jpg
/data/data/####/start_bt.png
/data/data/####/sudu.png
/data/data/####/tili.png
/data/data/####/tuichuyouxi.png
/data/data/####/umeng_general_config.xml
/data/data/####/unknown.xml
/data/data/####/waikuang.png
/data/data/####/xinxi.png
/data/data/####/yaoli.png
/data/data/####/yaolidown.png
/data/data/####/yaolisudujiasu.png
/data/data/####/yaolisudujiasuhigh.png
/data/data/####/yijianmanji.png
/data/data/####/zantingmianban.png
/data/data/####/zuanshi.png
/data/data/####/zuanshibutton.png
/data/data/####/zuanshiitems.png

Другие:

Запускает следующие shell-скрипты:

app_process /system/bin com.android.commands.am.Am startservice --user 0 -n <Package>/com.google.android.gms.analytics.CampaignTrackingService
cat /sys/block/mmcblk0/device/cid
chmod 777 <Package Folder>/files/_zx_lib/helper
dd if <Package Folder>/files/_zx_lib/libhelper.so of <Package Folder>/files/_zx_lib/helper
dd if=<Package Folder>/files/_zx_lib/libhelper.so of=<Package Folder>/files/_zx_lib/helper
ls -l /system/bin/su
sh

Загружает динамические библиотеки:

cocos2dcpp
libcocos2dcpp
libhelper
libsmsmanager
libzxvps
ncavzrp0e72e61m6

Использует следующие алгоритмы для шифрования данных:

DES-ECB-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Парсит информацию из SMS.

Получает информацию об отправленых/принятых SMS.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней