Android.RemoteCode.6136

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.RemoteCode.907
Android.Triada.418.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) q####.qi1####.com:14302
TCP(HTTP/1.1) zxc####.wann####.com:8200
TCP(HTTP/1.1) q####.qi1####.com:15302
TCP(HTTP/1.1) gd.a.s####.com:80
TCP(HTTP/1.1) www.go####.com:80

Запросы DNS:

b####.bj####.com
i####.api.zhifa####.net
i####.api.zhifa####.net
pv.s####.com
q####.qi1####.com
qyc####.qi1####.com
sdk.api.zhifa####.net
www.go####.com
z####.wann####.com
zxc####.wann####.com

Запросы HTTP GET:

gd.a.s####.com/cityjson?ie=####
www.go####.com/complete/search?hl=####&client=####&q=####

Запросы HTTP POST:

q####.qi1####.com:14302/sdk_login?t=####
q####.qi1####.com:15302/sdk_login?t=####
zxc####.wann####.com:8200/qy/acceptSdkFileReq
zxc####.wann####.com:8200/qy/getOnlineLoginHttpReq

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.gitkeep
/data/data/####/01intro.mp3
/data/data/####/02pop3.mp3
/data/data/####/04pop.mp3
/data/data/####/06pop3.mp3
/data/data/####/07lazer.mp3
/data/data/####/08coin.mp3
/data/data/####/11kick.mp3
/data/data/####/12system.mp3
/data/data/####/13wow.mp3
/data/data/####/2222.png
/data/data/####/Marker Felt.ttf
/data/data/####/SP_REPLACE_CLASSLOADER_CLASS_NAME.xml
/data/data/####/a003.png
/data/data/####/a004.png
/data/data/####/a005.png
/data/data/####/a006.png
/data/data/####/a007.png
/data/data/####/a008.png
/data/data/####/a009.png
/data/data/####/a010.png
/data/data/####/about.png
/data/data/####/arrow.png
/data/data/####/arrow1.png
/data/data/####/b002.png
/data/data/####/b003.png
/data/data/####/b004.png
/data/data/####/b005.png
/data/data/####/b006.png
/data/data/####/b007.png
/data/data/####/b008.png
/data/data/####/baidu
/data/data/####/ball000.png
/data/data/####/ball001.png
/data/data/####/ball002.png
/data/data/####/ball003.png
/data/data/####/ball004.png
/data/data/####/ball004a.png
/data/data/####/ball004b.png
/data/data/####/ball005.png
/data/data/####/ball006.png
/data/data/####/ball007.png
/data/data/####/ball008.png
/data/data/####/ball009.png
/data/data/####/ball010.png
/data/data/####/ball011.png
/data/data/####/ball012.png
/data/data/####/ball013.png
/data/data/####/ball014.png
/data/data/####/ball015.png
/data/data/####/ball016.png
/data/data/####/ball017.png
/data/data/####/ball018.png
/data/data/####/ball019.png
/data/data/####/ball020.png
/data/data/####/bg.png
/data/data/####/bgStore.png
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/config.properties
/data/data/####/config50301.xml
/data/data/####/d001.png
/data/data/####/d002.png
/data/data/####/d003.png
/data/data/####/d004.png
/data/data/####/d006.png
/data/data/####/ec2658a6d6d478223f14d8551e07355c
/data/data/####/f001.png
/data/data/####/f002.png
/data/data/####/f003.png
/data/data/####/f004.png
/data/data/####/f007.png
/data/data/####/f008.png
/data/data/####/f009.png
/data/data/####/finger.png
/data/data/####/g001.png
/data/data/####/g002.png
/data/data/####/g003.png
/data/data/####/g004.png
/data/data/####/g005.png
/data/data/####/g006.png
/data/data/####/g007.png
/data/data/####/g008.png
/data/data/####/g009.png
/data/data/####/g010.png
/data/data/####/g011.png
/data/data/####/g012.png
/data/data/####/g013.png
/data/data/####/g014.png
/data/data/####/getprop
/data/data/####/h002.png
/data/data/####/helper
/data/data/####/hero.ExportJson
/data/data/####/hero0.plist
/data/data/####/hero0.png
/data/data/####/i001.png
/data/data/####/i001a.png
/data/data/####/i002.png
/data/data/####/i003.png
/data/data/####/i005.png
/data/data/####/i008.png
/data/data/####/i010.png
/data/data/####/jiage.png
/data/data/####/k001.png
/data/data/####/k002.png
/data/data/####/k003.png
/data/data/####/k004.png
/data/data/####/k005.png
/data/data/####/k006.png
/data/data/####/k007.png
/data/data/####/kefu.png
/data/data/####/kefu1.png
/data/data/####/kz.png
/data/data/####/l002.png
/data/data/####/landscape.png
/data/data/####/libgame.so
/data/data/####/libhelper.so
/data/data/####/libsmsmanager.so
/data/data/####/libzxvps.so
/data/data/####/lizi1.png
/data/data/####/lottery.png
/data/data/####/mobclick_agent_cached_zjeif.fewjf.dkewo1008
/data/data/####/name000.png
/data/data/####/name001.png
/data/data/####/name002.png
/data/data/####/name003.png
/data/data/####/name004.png
/data/data/####/name005.png
/data/data/####/name006.png
/data/data/####/name007.png
/data/data/####/name008.png
/data/data/####/name009.png
/data/data/####/name010.png
/data/data/####/name011.png
/data/data/####/name012.png
/data/data/####/name013.png
/data/data/####/name014.png
/data/data/####/name015.png
/data/data/####/name016.png
/data/data/####/name017.png
/data/data/####/name018.png
/data/data/####/name019.png
/data/data/####/name020.png
/data/data/####/new_md.dex
/data/data/####/new_md.jar
/data/data/####/num0.png
/data/data/####/num01.png
/data/data/####/num0111.png
/data/data/####/number0.png
/data/data/####/pid
/data/data/####/portrait.png
/data/data/####/qy_db_pay
/data/data/####/qy_db_pay-journal
/data/data/####/receive0.png
/data/data/####/receive1.png
/data/data/####/receive2.png
/data/data/####/timeper1.png
/data/data/####/timeper2.png
/data/data/####/tishi.png
/data/data/####/tishiAnimation.ExportJson
/data/data/####/tishiAnimation.csb
/data/data/####/tishiAnimation0.plist
/data/data/####/tishiAnimation0.png
/data/data/####/umeng_general_config.xml
/data/data/####/unknown.xml
/data/data/####/x.png
/data/data/####/xxx1.png
/data/data/####/xxx2.png
/data/data/####/xxx3.png
/data/data/####/xxx4.png
/data/data/####/zhuankuaiAnimation.ExportJson
/data/data/####/zhuankuaiAnimation0.plist
/data/data/####/zhuankuaiAnimation0.png
/data/data/####/zhuankuaiParticle_1.plist
/data/data/####/zjeif.fewjf.dkewo
/data/data/####/zwii6ri4epgz64fn.dex
/data/media/####/device

Другие:

Запускает следующие shell-скрипты:

app_process /system/bin com.android.commands.am.Am startservice --user 0 -n <Package>/com.google.android.gms.analytics.CampaignTrackingService
cat /sys/block/mmcblk0/device/cid
chmod 777 <Package Folder>/files/_zx_lib/helper
dd if <Package Folder>/files/_zx_lib/libhelper.so of <Package Folder>/files/_zx_lib/helper
dd if=<Package Folder>/files/_zx_lib/libhelper.so of=<Package Folder>/files/_zx_lib/helper
df
getprop
ls -l /system/bin/su
sh

Загружает динамические библиотеки:

gts1x40dzlyo819j
libgame
libhelper
libsmsmanager
libzxvps

Использует следующие алгоритмы для шифрования данных:

AES-ECB-PKCS5Padding
DES
DES-CBC-PKCS5Padding
DES-ECB-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

Осуществляет доступ к приватному интерфейсу ITelephony.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Парсит информацию из SMS.

Получает информацию об отправленых/принятых SMS.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней