Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.1248
- Android.Triada.2018
- Android.Triada.373.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) stor####.ne####.com.####.com:80
- TCP(HTTP/1.1) i.s####.ne####.####.cn:10018
- TCP(HTTP/1.1) s####.g####.oppomo####.com:80
- TCP(TLS/1.0) iuc.oppomo####.com:443
- TCP(TLS/1.0) i####.oppomo####.com:443
- TCP(TLS/1.0) api.cdo.oppomo####.com:443
Запросы DNS:
- api.cdo.oppomo####.com
- i####.oppomo####.com
- i.s####.ne####.####.cn
- iuc.oppomo####.com
- l.ace####.com
- s####.g####.oppomo####.com
- stor####.ne####.com.cn
Запросы HTTP GET:
- stor####.ne####.com.####.com/apk/201909/09/0fc6c5f092368a7fb65c5d2941e33...
Запросы HTTP POST:
- i.s####.ne####.####.cn:10018/statistics/ClientStartUpload
- s####.g####.oppomo####.com/soporcollect/appevent/event
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-GlBwrpxceFGDFz5blhCZA==.new
- /data/data/####/.jg.ic
- /data/data/####/07XhvRBmIytWnmxm0LxqHNWNUXubKsJD.new
- /data/data/####/1ITqZY8h2mw5kVZRrizeRncMQMv2jo8r1M9opnLIJho=.new
- /data/data/####/4uuNmVBCGAl-bOaGBdT3ONOzrSU=.new
- /data/data/####/B9jLwebz4k897q4dgnL9bfY_4SdsP-hCWAac0WXMQ2g=.new
- /data/data/####/DLpcqlmxbnjR39dEgYr56v17-b5stVKozeV3hg==_3innpq...ournal
- /data/data/####/DLpcqlmxbnjR39dEgYr56v17-b5stVKozeV3hg==_3innpqS8uS4xBbaH
- /data/data/####/DLpcqlmxbnjR39dEgYr56v17-b5stVKozeV3hg==_5YW-wT...ournal
- /data/data/####/DLpcqlmxbnjR39dEgYr56v17-b5stVKozeV3hg==_OpGSbL...GWVg==
- /data/data/####/DLpcqlmxbnjR39dEgYr56v17-b5stVKozeV3hg==_OpGSbL...ournal
- /data/data/####/DLpcqlmxbnjR39dEgYr56v17-b5stVKozeV3hg==_hdRTiI...FGVT0=
- /data/data/####/DLpcqlmxbnjR39dEgYr56v17-b5stVKozeV3hg==_hdRTiI...ournal
- /data/data/####/DLpcqlmxbnjR39dEgYr56v17-b5stVKozeV3hg==_rIOByZ...ournal
- /data/data/####/DLpcqlmxbnjR39dEgYr56v17-b5stVKozeV3hg==_rIOByZ...sWIg==
- /data/data/####/DWjG7VZBudw-RfkH.zip
- /data/data/####/EN0OvTpTtiHwKmI17PPXaL5ln2K-bKRY.new
- /data/data/####/FmMxQdscKu2KiVN4DjqFBAu6nENN8m15joa5rQ==.new
- /data/data/####/J7iwCmbxXWWVXP1MSm7eKASPXgQ=
- /data/data/####/MKY7b2KPb0j5s7RXCWlu2BZ1rcG8LXhF.new
- /data/data/####/MY12tk1AkNR8meuv
- /data/data/####/NearMeSTAT.db-journal
- /data/data/####/TQdXibhGXLtybScyifBB2A==
- /data/data/####/TT3P__Mtalf6CCw8eqUeYkP8bm8=.new
- /data/data/####/WGiRsRtNq1pMm8mm_71hp0mquWK9feDKjXC7BxTHsEI=.new
- /data/data/####/_1dkmfMLtRlhYLzjfFdPZFX-PiVvdImM.new
- /data/data/####/_NSmbx3nhruPMYUnGibiRQ==.new
- /data/data/####/app.min.js
- /data/data/####/arrow.png
- /data/data/####/b7ZVPKVH0lDkD8wlHfEzFIt21Pc=.new
- /data/data/####/book_header_mask.png
- /data/data/####/book_icon_list.png
- /data/data/####/book_icon_more.png
- /data/data/####/btn_go.png
- /data/data/####/com.nearme.game.service_preferences.xml
- /data/data/####/com.nearme.gamecenter.open.xml
- /data/data/####/d7Nh1aSIvT-o3ZZs4ueiJQ==.new
- /data/data/####/d8h4_zsw75zXpv8Vwl6tJ8RE0d8=.new
- /data/data/####/default-banner.png
- /data/data/####/default-game.png
- /data/data/####/detail_icon_4.png
- /data/data/####/eJu-v5ScFu5nJEEq3o2yb6q7KXopP8rJUSV7mQ==.new
- /data/data/####/empty.png
- /data/data/####/error_sorry.png
- /data/data/####/error_wifi.png
- /data/data/####/g_PmGeSmHlkf1_c9tHcOGq7owP2OclPD.new
- /data/data/####/game_comment_bg.png
- /data/data/####/game_comment_icon_1.png
- /data/data/####/game_comment_icon_2.png
- /data/data/####/game_comment_icon_3.png
- /data/data/####/h9a-WCdZzBfDiqKUzehKcb0bEwB2T07r.new
- /data/data/####/hryiuw_f.zip
- /data/data/####/iTTzwv1E8yS-PvMeqRWI6pq9wE_V3Xhv.new
- /data/data/####/icon-close.png
- /data/data/####/icon_detail_nomessage.png
- /data/data/####/icon_evaluation.png
- /data/data/####/icon_list.png
- /data/data/####/icon_more.png
- /data/data/####/icon_pointer_right.png
- /data/data/####/icon_strategy.png
- /data/data/####/icon_title.png
- /data/data/####/icon_video.png
- /data/data/####/index.html
- /data/data/####/j5iOpew5LtnO4eRdvRavawlZSCQ=.new
- /data/data/####/kogFGmi-g_8_xcs5
- /data/data/####/l3vBhPDdw3aJ3HXk10jot2P7x3M=.new
- /data/data/####/left_bg.png
- /data/data/####/libjiagu1552538234.so
- /data/data/####/libonlywechat_plugin.so
- /data/data/####/libs.min.js
- /data/data/####/middle_bg.png
- /data/data/####/nYWJF92SvDACdqpi2DoRlcPRQ8gJXEIbB_7j5w==.new
- /data/data/####/nYpt4Lo-LtVspitnQLnJ0y9oXgxwKIarBX9AcOHawzs=.new
- /data/data/####/nearme_func_com.mfff.kuailekupao.nearme.gamecenter.xml
- /data/data/####/nearme_setting_com.mfff.kuailekupao.nearme.gamecenter.xml
- /data/data/####/no_more_left_icon.png
- /data/data/####/no_more_right_icon.png
- /data/data/####/num_bg.png
- /data/data/####/oppo_game_service_200702.apk_temp
- /data/data/####/oppo_spinner_black_16.png
- /data/data/####/oppo_spinner_black_48.png
- /data/data/####/plugin_framework.xml
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/r1ZmpxFTrwrvRAndWlEr3XpApN0=.new
- /data/data/####/rdata_comiolkgqwifa.new
- /data/data/####/round_bg1.png
- /data/data/####/runner_info.prop.new
- /data/data/####/sdk_202306_1569413234435.zip
- /data/data/####/smile_face.png
- /data/data/####/style.css
- /data/data/####/tBQcYqg0tM4um2RvofpARzsZfJGlhkde.new
- /data/data/####/table_bg.png
- /data/data/####/uekDUMbyg3yO4T3YtUp5Sg==
- /data/data/####/version
- /data/data/####/vip_tag.png
- /data/media/####/.Og.meta
- /data/media/####/.nomedia
- /data/media/####/.uc.meta
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/mcs_msg.ini
- /data/media/####/r_pkDgN4OhnkSa0D
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-591338/MY12tk1AkNR8meuv -p <Package> -c com.iolkg.qwifa.entity.RambutanReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- chmod 755 <Package Folder>/.jiagu/libjiagu1552538234.so
- sh <Package Folder>/code-591338/MY12tk1AkNR8meuv -p <Package> -c com.iolkg.qwifa.entity.RambutanReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- cocos2dcpp
- libjiagu1552538234
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
