Android.Rooter.43

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Rooter.24.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) na61-####.wagbr####.ali####.####.com:80
TCP(HTTP/1.1) ada####.m.ta####.com:80
TCP(HTTP/1.1) hk.wagbr####.non####.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) o####.jd.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) 1####.11.61.135:80
TCP(HTTP/1.1) amdc####.m.ta####.com:80
TCP(HTTP/1.1) 1####.11.61.137:80
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) nbsdk-b####.al####.com:443
TCP(TLS/1.0) 1####.217.20.78:443
TCP(TLS/1.0) d####.k.jd.com:443
TCP(TLS/1.0) is.sn####.com.####.com:443
TCP(TLS/1.0) e.crashly####.com:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) safebro####.google####.com:443
TCP(TLS/1.0) ke####.jd.com:443
TCP(TLS/1.0) gm.mm####.com:443
TCP(TLS/1.0) log.tracki####.com:443
TCP(TLS/1.0) za.black-u####.com:443
TCP(TLS/1.0) in####.d####.net:443
TCP(TLS/1.0) www.j####.com:443
TCP(TLS/1.0) m####.m.jd.com:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) sett####.crashly####.com:443
TCP(TLS/1.0) ap####.zuz####.com:443
TCP(TLS/1.0) gd.a.s####.com:443
TCP(TLS/1.2) 1####.217.168.234:443
TCP(TLS/1.2) p####.google####.com:443
TCP zb-cent####.m.ta####.com:80
TCP zb-cent####.m.ta####.com:443

Запросы DNS:

a####.man.aliy####.com
ad####.m.ta####.com
ada####.m.ta####.com
aexcep####.b####.qq.com
amdc####.m.ta####.com
and####.b####.qq.com
and####.google####.com
ap####.zuz####.com
d####.k.jd.com
dgst####.jd.com
e.crashly####.com
helpgam####.ksmo####.com
instant####.google####.com
is.sn####.com
ke####.jd.com
log.tracki####.com
log.u####.com
m####.go####.com
m####.m.jd.com
nbsdk-b####.al####.com
o####.jd.com
p####.google####.com
plb####.u####.com
pv.s####.com
safebro####.google####.com
sett####.crashly####.com
u####.u####.com
umen####.m.ta####.com
umengj####.m.ta####.com
wb.110.ta####.com
wgo.mm####.com
y####.al####.com
za.black-u####.com

Запросы HTTP POST:

ada####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=###...
aexcep####.b####.qq.com:8012/rqd/async?aid=####
amdc####.m.ta####.com/amdc/mobileDispatch?appkey=####&deviceId=####&plat...
and####.b####.qq.com/rqd/async?aid=####
hk.wagbr####.non####.####.com/saveWb.json
na61-####.wagbr####.ali####.####.com/api/update.do
o####.jd.com/upload
sh.wagbr####.aliyun####.com/man/api?ak=####&s=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.dex2oatlock
/data/data/####/.imprint
/data/data/####/.updateIV.dat
/data/data/####/0000000lllll_0.dex
/data/data/####/0000000lllll_1.dex
/data/data/####/000O00ll111l_0.dex
/data/data/####/000O00ll111l_1.dex
/data/data/####/00O000ll111l_0.dex
/data/data/####/00O000ll111l_0.dex (deleted)
/data/data/####/00O000ll111l_0.dex.flock
/data/data/####/00O000ll111l_0.dex.flock (deleted)
/data/data/####/00O000ll111l_1.dex
/data/data/####/00O000ll111l_1.dex (deleted)
/data/data/####/00O000ll111l_1.dex.flock
/data/data/####/00O000ll111l_1.dex.flock (deleted)
/data/data/####/0OO00l111l1l
/data/data/####/0OO00l111l1l.lock
/data/data/####/0a231bd8575dcf72.txt
/data/data/####/1002
/data/data/####/1004
/data/data/####/1d77ea041509fe06.lock
/data/data/####/21c22f492aba3de8.lock
/data/data/####/5D8A2772015B-0001-0CA3-CCB60BC90D6CBeginSession.cls_temp
/data/data/####/5D8A2772015B-0001-0CA3-CCB60BC90D6CBeginSession.json
/data/data/####/5D8A2772015B-0001-0CA3-CCB60BC90D6CSessionApp.cls_temp
/data/data/####/5D8A2772015B-0001-0CA3-CCB60BC90D6CSessionApp.json
/data/data/####/5D8A2772015B-0001-0CA3-CCB60BC90D6CSessionDevice.cls_temp
/data/data/####/5D8A2772015B-0001-0CA3-CCB60BC90D6CSessionDevice.json
/data/data/####/5D8A2772015B-0001-0CA3-CCB60BC90D6CSessionOS.cls_temp
/data/data/####/5D8A2772015B-0001-0CA3-CCB60BC90D6CSessionOS.json
/data/data/####/5D8A2772015B-0001-0CA3-CCB60BC90D6CSessionUser.cls_temp
/data/data/####/5D8A277F035A-0001-0E3C-CCB60BC90D6CBeginSession.cls_temp
/data/data/####/5D8A277F035A-0001-0E3C-CCB60BC90D6CBeginSession.json
/data/data/####/5D8A277F035A-0001-0E3C-CCB60BC90D6CSessionApp.cls_temp
/data/data/####/5D8A277F035A-0001-0E3C-CCB60BC90D6CSessionApp.json
/data/data/####/5D8A277F035A-0001-0E3C-CCB60BC90D6CSessionDevice.cls_temp
/data/data/####/5D8A277F035A-0001-0E3C-CCB60BC90D6CSessionDevice.json
/data/data/####/5D8A277F035A-0001-0E3C-CCB60BC90D6CSessionOS.cls_temp
/data/data/####/5D8A277F035A-0001-0E3C-CCB60BC90D6CSessionOS.json
/data/data/####/86528a32f3b84a9ab34006757272559d
/data/data/####/86_1f032a24-af82-4b39-a467-b7d4a4a6dd34_1569335..._0.ich
/data/data/####/86_2ecd7aac-e68e-4e59-85eb-c46f9f9b66c6_1569335..._0.ich
/data/data/####/86_5a726bc4-44b4-4a19-9ad8-7fbee6ffe316_1569335..._0.ich
/data/data/####/86_768b288b-273e-4ea8-aed0-8607d173011a_1569335..._0.ich
/data/data/####/86_97cdc70f-1e33-41c0-965d-533617f64b36_1569335..._0.ich
/data/data/####/86_adef7c34-6c06-4609-9f8f-d281895e25e3_1569335..._0.ich
/data/data/####/86_b9fbd049-9ec4-43de-8e8f-e01163147653_1569335..._0.ich
/data/data/####/86_f0d9824b-af42-4d90-8df6-96e5dd5ec70e_1569335..._0.ich
/data/data/####/86_f3009c4b-3f83-4717-8c2e-3168d849137a_1569335..._0.ich
/data/data/####/86_f4b92a31-9e2d-41f1-acea-03e0173be8e5_1569335..._0.ich
/data/data/####/8ef9c457b3bbb403.lock
/data/data/####/930a31b34bd52c08.lock
/data/data/####/ACCS_BINDumeng;5ba0bc0df1f55680ec0000c0.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/ACCS_SDK_CHANNEL.xml.bak
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/BUGLY_COMMON_VALUES.xml
/data/data/####/ContextData.xml
/data/data/####/Cookies-journal
/data/data/####/MessageStore.db
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db
/data/data/####/MsgLogStore.db-journal
/data/data/####/Reyun.db
/data/data/####/Reyun.db-journal
/data/data/####/SGMANAGER_DATA2
/data/data/####/SGMANAGER_DATA2.tmp
/data/data/####/TwitterAdvertisingInfoPreferences.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/UTCommon.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/a5105d09b79a4c078d82760f5e4e1301
/data/data/####/accs.db
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/aliTradeConfigSP.xml
/data/data/####/ap.Lock
/data/data/####/auth_sdk_device.xml
/data/data/####/auth_shared.xml
/data/data/####/bugly_db_-journal
/data/data/####/bugly_db_yaq-journal
/data/data/####/com.black.unique-journal
/data/data/####/com.black.unique.BETA_VALUES.xml
/data/data/####/com.black.unique.BETA_VALUES.xml.bak
/data/data/####/com.black.unique_infoc_config_pref.xml
/data/data/####/com.black.unique_preferences.xml
/data/data/####/com.crashlytics.prefs.xml
/data/data/####/com.crashlytics.sdk.android;answers;settings.xml
/data/data/####/com.crashlytics.settings.json
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDa...ml.bak
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
/data/data/####/crashrecord.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNTY5MzM1MTU1MzY4;
/data/data/####/dW1weF9wdXNoX2xhdW5jaF8xNTY5MzM1MTY3MzA5;
/data/data/####/dW1weF9zaGFyZV8xNTY5MzM1MTU3NzUy;
/data/data/####/dW1weF9zaGFyZV8xNTY5MzM1MTU3Nzgx;
/data/data/####/deviceid_prefs.xml
/data/data/####/downloader.db-journal
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/i==1.2.0&&1.16.1_1569335155540_envelope.log
/data/data/####/imei.xml
/data/data/####/info.xml
/data/data/####/initialization_marker
/data/data/####/io.fabric.sdk.android;fabric;a.a.a.a.n.xml
/data/data/####/kepler_public.xml
/data/data/####/libsgmain_312757200000.dex
/data/data/####/libsgmain_312757200000.dex.flock (deleted)
/data/data/####/libsgmainso-5.1.81.so.tmp
/data/data/####/libshellx-super.2019.so
/data/data/####/local_crash_lock
/data/data/####/local_crash_lock (deleted)
/data/data/####/lock.lock
/data/data/####/map_record.txt
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/metrics_guid
/data/data/####/native_record_lock
/data/data/####/native_record_lock (deleted)
/data/data/####/o0oooOO0ooOo.dat
/data/data/####/proc_auxv
/data/data/####/reg_record.txt
/data/data/####/rqd_record.eup
/data/data/####/sa_229b717b-5d2f-4e76-b019-168b294caf62_1569335157640.tap
/data/data/####/sa_40a1a323-ee57-4b4d-8fa7-7a0c4c92650c_1569335155641.tap
/data/data/####/sa_5768284e-1994-425f-b4aa-e5015a8bd0d4_1569335168184.tap
/data/data/####/security_info
/data/data/####/sensorsdata.xml
/data/data/####/session_analytics.tap
/data/data/####/session_analytics.tap.tmp
/data/data/####/share.db
/data/data/####/share.db-journal
/data/data/####/sp.lock
/data/data/####/t==8.1.3&&1.16.1_1569335156811_envelope.log
/data/data/####/timestamp
/data/data/####/tomb.zip
/data/data/####/tomb_1569335153015.txt
/data/data/####/tomb_1569335165850.txt
/data/data/####/tosversion
/data/data/####/tracking_device_id_cache.xml
/data/data/####/tracking_install.xml
/data/data/####/tracking_interval.xml
/data/data/####/tt_sdk_settings.xml
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopenadsdk.xml.bak
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml.bak (deleted)
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/umeng_socialize.xml
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/dex2oat --dex-file=/data/user/0/<Package>/files/prodexdir/00O000ll111l_0.dex --oat-file=/data/user/0/<Package>/files/prodexdir/odexdir/00O000ll111l_0.dex --compiler-filter=interpret-only
/system/bin/dex2oat --dex-file=/data/user/0/<Package>/files/prodexdir/00O000ll111l_1.dex --oat-file=/data/user/0/<Package>/files/prodexdir/odexdir/00O000ll111l_1.dex --compiler-filter=interpret-only
/system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86 --instruction-set-features=default --dex-file=/data/user/0/<Package>/app_SGLib/libsgmain_312757200000.zip --oat-fd=99 --oat-location=/data/user/0/<Package>/app_SGLib/libsgmain_312757200000.dex --compiler-filter=speed
cat /sys/class/net/wlan0/address
getprop
getprop persist.sys.use.flyme.icon
getprop ro.build.display.id
getprop ro.build.hw_emui_api_level
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.flyme.published
getprop ro.letv.release.version
getprop ro.meizu.setupwizard.flyme
getprop ro.miui.ui.version.code
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.vivo.os.build.display.id
logcat -d -v threadtime -s dalvikvm art zygote zygote64 OpenGLRenderer Bugly-libunwind:S
logcat -t 1000 -v threadtime Bugly-libunwind:S
ls /
ls /sys/class/thermal

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней