Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.611.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) nb.i36####.com:9000
- TCP(HTTP/1.1) sj.i36####.com:9000
- TCP(HTTP/1.1) gd.a.s####.com:80
- TCP(HTTP/1.1) dn.tc####.com:80
- TCP(HTTP/1.1) 4####.98.65.82:997
- TCP(HTTP/1.1) s####.e.qq.com:80
- TCP(HTTP/1.1) 2####.98.33.230:8888
- TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
- TCP(HTTP/1.1) p####.api.w5i.top:80
- TCP(HTTP/1.1) app-t####.b0.a####.com:80
- TCP(HTTP/1.1) v3.bule####.cn:666
- TCP(HTTP/1.1) t####.3g.qq.com:80
- TCP(HTTP/1.1) z####.heyc####.net:80
- TCP(HTTP/1.1) api.chen####.com:80
- TCP(HTTP/1.1) pic.87g.com.####.com:80
- TCP(HTTP/1.1) j.i36####.com:9000
- TCP(HTTP/1.1) w####.pcon####.com.cn:80
- TCP(HTTP/1.1) a####.3gu.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) v3.bule####.cn:7001
- TCP(HTTP/1.1) 1####.26.106.206:8088
- TCP(TLS/1.0) analy####.map.qq.com:443
- TCP(TLS/1.0) mi.s####.qq.com:443
- TCP(TLS/1.0) sf3-ttc####.ps####.com:443
- TCP(TLS/1.0) s####.e.qq.com:443
- TCP(TLS/1.0) en####.lveha####.com:443
- TCP(TLS/1.0) mi.g####.qq.com:443
- TCP(TLS/1.0) mtjso####.b####.com:443
- TCP(TLS/1.0) dxp.b####.com:443
- TCP(TLS/1.0) h####.b####.com:443
- TCP(TLS/1.0) down####.ydst####.com:443
- TCP m####.3g.qq.com:443
Запросы DNS:
- a####.3gu.com
- a####.u####.com
- acti####.tuia####.com
- aexcep####.b####.qq.com
- analy####.map.qq.com
- api.chen####.com
- app-t####.img.3gu.com
- dn.tc####.com
- down####.ydst####.com
- dxp.b####.com
- en####.lveha####.com
- h####.b####.com
- is.sn####.com
- j.i36####.com
- kua####.chen####.com
- m####.3g.qq.com
- mi.g####.qq.com
- mi.s####.qq.com
- mtjso####.b####.com
- nb.i36####.com
- ny.bul####.cn
- p####.87g.com
- p####.api.w5i.top
- pv.s####.com
- s####.e.qq.com
- sf3-ttc####.ps####.com
- sj.i36####.com
- t####.3g.qq.com
- v3.bule####.cn
- w####.pcon####.com.cn
- yun.tuis####.com
- z####.heyc####.net
- zgx.powerle####.com
Запросы HTTP GET:
- api.chen####.com/adApi/appAd
- api.chen####.com/api/getCommentList?json=####
- api.chen####.com/api/getHzCat?json=SM####
- api.chen####.com/api/getHzList?json=####
- api.chen####.com/api/getHzRelateNews?json=####
- api.chen####.com/article/hz/27
- app-t####.b0.a####.com/apps/ad_word.json
- app-t####.b0.a####.com/resource/img/0e2ed1d7a2ec7c68b74fa0b0e967c448.jpg
- app-t####.b0.a####.com/resource/img/1acad00b21ba12f28d1e146988ed2d11.jpg
- app-t####.b0.a####.com/resource/img/1c46063712a238ea1675dd0e830aca9f.png
- app-t####.b0.a####.com/resource/img/2692bdfbf7586c8fd9afc6837ed09bc9.jpg
- app-t####.b0.a####.com/resource/img/46bb8eec7db44f346943b7cb3085f094.jpg
- app-t####.b0.a####.com/resource/img/86621569740e1ace57ca53da2cd061a5.jpg
- app-t####.b0.a####.com/resource/img/b653292cd0633574e52df330e42a4023.png
- app-t####.b0.a####.com/resource/img/c0188c2b95efeaab2f2e00f1f9ce9a5c.png
- app-t####.b0.a####.com/resource/img/d8197498ba76b476199473315f64d9f7.jpg
- app-t####.b0.a####.com/resource/img/e7bb1afb73b1f11f70c6472c138fc053.png
- dn.tc####.com/dnfile/wmp/WG20181221145126.jar
- j.i36####.com:9000/jsonServer/LanMei01
- pic.87g.com.####.com/upload/2018/0727/20180727025207399.jpg
- pic.87g.com.####.com/upload/2018/0727/20180727025221140.jpg
- pic.87g.com.####.com/upload/2018/0727/20180727025229155.jpg
- pic.87g.com.####.com/upload/2019/0116/20190116093434830.jpg
- pic.87g.com.####.com/upload/2019/0116/20190116094542153.jpg
- pic.87g.com.####.com/upload/2019/0116/20190116095603250.jpg
- pic.87g.com.####.com/upload/2019/0116/20190116100812516.jpg
- t####.3g.qq.com/cw.html
Запросы HTTP POST:
- a####.3gu.com/index.php/mcBox/code?json=####
- a####.3gu.com/index.php/mcBox/js?json=####
- a####.3gu.com/index.php/mcBox/material?json=####
- a####.3gu.com/index.php/mcBox/save?json=####
- a####.3gu.com/index.php/mcBox/skin?json=####
- a####.u####.com/app_logs
- aexcep####.b####.qq.com:8012/rqd/async?aid=####
- gd.a.s####.com/cityjson
- nb.i36####.com:9000/api/getAdInfoByDevice.do
- nb.i36####.com:9000/api/getAdInfoById.do
- nb.i36####.com:9000/api/vsp/getVspCore.do
- p####.api.w5i.top/G/getmsg.ashx?pack=####&imei=####
- p####.api.w5i.top/R/SS.ashx
- s####.e.qq.com/activate
- s####.e.qq.com/getad
- sj.i36####.com:9000/api/getAdInfoById.do
- v3.bule####.cn:666/slsdk/exrep.aspx
- v3.bule####.cn:666/slsdk/getdata.aspx
- v3.bule####.cn:666/slsdk/settings.aspx
- v3.bule####.cn:7001/v3/api_request.aspx
- v3.bule####.cn:7001/v3/api_settings.aspx
- v3.bule####.cn:7001/verrlog.aspx
- w####.pcon####.com.cn/ip.jsp
- z####.heyc####.net/getlist
- z####.heyc####.net/xlogin
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1127729055-1266689676
- /data/data/####/.imprint
- /data/data/####/.turing.dat
- /data/data/####/.updateIV.dat
- /data/data/####/00O000ll111l_0.dex
- /data/data/####/00O000ll111l_1.dex
- /data/data/####/0OO00l111l1l
- /data/data/####/0OO00l111l1l.lock
- /data/data/####/1004
- /data/data/####/1021689741840853517
- /data/data/####/1s.jar
- /data/data/####/2238.yaqcookie
- /data/data/####/307b9e4376c43a6f1cd36286309bd904a3ebc5f22fab162....0.tmp
- /data/data/####/3762a7228f60ef2487e434d9b8fa6e594c4d0692218bc4e....0.tmp
- /data/data/####/4db05865493740453cc3d4d56ed811f8c463132e5b678e8....0.tmp
- /data/data/####/62cb0a452f97c3f781af03f68989a24db47e26c2ec9e0c6....0.tmp
- /data/data/####/64161d9fd7dbfa8486c0cdc0785a619606a6544e56452bf....0.tmp
- /data/data/####/74dd961aaf318ce792b7b0cb0638bbf4be236394306c9fe....0.tmp
- /data/data/####/9508c3bf7e0c6855beb4a4a0b46fe9382f82ab57dfa75c8....0.tmp
- /data/data/####/988a93c52ca1041812f4480910ff91d8dcc035ef1578d43....0.tmp
- /data/data/####/BuglySdkInfos.xml
- /data/data/####/GDTSDK.db
- /data/data/####/GDTSDK.db-journal
- /data/data/####/MultiDex.lock
- /data/data/####/VideoRes.apk
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_ap_info_cache.json
- /data/data/####/__local_last_session.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/__local_stat_full_cache.json
- /data/data/####/__send_data_1569686995123
- /data/data/####/__send_data_1569687007138
- /data/data/####/__send_data_1569687013616
- /data/data/####/__track_send_data_1569687013658
- /data/data/####/afa1bb23c891bd854a3ddf8f2f159ba04ac067a36a17160....0.tmp
- /data/data/####/app_crash_copy.xml
- /data/data/####/baidu_mtj_sdk_record.xml
- /data/data/####/bugly_db_yaq-journal
- /data/data/####/c1a0d3060b3fc252f93bd2de855ec0853969b4577af23ba....0.tmp
- /data/data/####/c7ab8e2f0154082af1a38ea2341f54a4d5cf6e9e1d3bc0a....0.tmp
- /data/data/####/c87c060cb617141b3e9e8e529ab6b5fb702f9916bf62c7b....0.tmp
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.mojang.minecraftpetool_preferences.xml
- /data/data/####/com.mojang.minecraftpetool_preferences.xml.bak
- /data/data/####/config
- /data/data/####/config.xml
- /data/data/####/config.xml.bak
- /data/data/####/crashrecord.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/devCloudSetting.cfg
- /data/data/####/devCloudSetting.sig
- /data/data/####/downloader.db-journal
- /data/data/####/dpi
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/gdt_config.cfg
- /data/data/####/gdt_plugin.jar
- /data/data/####/gdt_plugin.jar.sig
- /data/data/####/gdt_stat.db
- /data/data/####/gdt_stat.db-journal
- /data/data/####/gdt_suid
- /data/data/####/hid.db
- /data/data/####/hxdata.xml
- /data/data/####/idef6385d8-653f-4d04-bb52-64dad76f7f0e.tmp
- /data/data/####/index
- /data/data/####/journal.tmp
- /data/data/####/kobox.0.sp.xml
- /data/data/####/libMMANDKSignature.2dae176c.so
- /data/data/####/libcuid.so
- /data/data/####/libshellx-super.2019.so
- /data/data/####/libturingau.2dae176c.so
- /data/data/####/libyaqbasic.2dae176c.so
- /data/data/####/libyaqpro.2dae176c.so
- /data/data/####/local_crash_lock
- /data/data/####/mtj_autoTracker.js
- /data/data/####/multidex.version.xml
- /data/data/####/native_record_lock
- /data/data/####/o0oooOO0ooOo.dat
- /data/data/####/phoneuid.xml
- /data/data/####/prdopt.xml
- /data/data/####/read.db
- /data/data/####/read.db-journal
- /data/data/####/sdkCloudSetting.cfg
- /data/data/####/sdkCloudSetting.sig
- /data/data/####/security_info
- /data/data/####/sh_name_interactive.xml
- /data/data/####/sk.xml
- /data/data/####/sp_push_time.xml
- /data/data/####/tdargs.xml
- /data/data/####/tmp-com.mojang.minecraftpetool-1.apk.classes1155813955.zip
- /data/data/####/tmp7.xml
- /data/data/####/tms_base.xml
- /data/data/####/tools8977.xml
- /data/data/####/tosversion
- /data/data/####/trace_circle.data
- /data/data/####/tt_sdk_settings.xml
- /data/data/####/tt_sdk_settings.xml.bak (deleted)
- /data/data/####/ttopenadsdk.xml
- /data/data/####/ttopenadsdk.xml.bak
- /data/data/####/ttopensdk.db-journal
- /data/data/####/turingfd_conf_105498_28_audienceMini.xml
- /data/data/####/turingfd_protect_105498_28_audienceMini.xml
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/update_lc
- /data/data/####/videokernel.apk
- /data/data/####/videonewyd_db-journal
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/yaq.2dae176c.sec
- /data/data/####/yaqsdkcookie
- /data/media/####/.cdeviceID
- /data/media/####/.confd
- /data/media/####/.confd-journal
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/.nid
- /data/media/####/.nomedia
- /data/media/####/.timestamp
- /data/media/####/.turing.dat
- /data/media/####/190619qipai21sZY68b.mp4
- /data/media/####/190619qipai21sZY68b.mp4.tmp
- /data/media/####/2e365c88c5590ed77520ef63ca6fe721.tmp
- /data/media/####/Videoshell.log
- /data/media/####/a407261d0ab25f2fe94b640889e5ff3d
- /data/media/####/engc.jar
- /data/media/####/kernel.dat.tmp
- /data/media/####/ks.db
- /data/media/####/ks.db-journal
- /data/media/####/tag2.dat174c541d-547d-4dcb-b8f0-2e3b045b6a53.tmp
- /data/media/####/temp_pkg_info.json
- /data/media/####/tmpbl.jar
- /data/media/####/webengine.jar
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/df
- /system/bin/getprop
- /system/bin/sh
- /system/bin/sh -c getprop
- cat /sys/class/android_usb/android0/idProduct
- cat /sys/class/android_usb/android0/idVendor
- cat /sys/class/net/wlan0/address
- getprop
- getprop ro.baseband
- getprop ro.build.description
- getprop ro.build.display.id
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.letv.release.version
- getprop ro.miui.ui.version.name
- getprop ro.product.cpu.abi
- getprop ro.smartisan.version
- getprop ro.vivo.os.build.display.id
- getprop ro.vivo.os.version
- ls -l /dev
- ls -l /dev/block
- ls -l /dev/block/vold
- ls -l /dev/bus
- ls -l /dev/bus/usb
- ls -l /dev/bus/usb/001
- ls -l /dev/com.android.settings.daemon
- ls -l /dev/cpuctl
- ls -l /dev/cpuctl/apps
- ls -l /dev/cpuctl/apps/bg_non_interactive
- ls -l /dev/graphics
- ls -l /dev/input
- ls -l /dev/log
- ls -l /dev/pts
- ls -l /dev/snd
- ls -l /dev/socket
- ps
Загружает динамические библиотеки:
- Bugly-yaq
- Tcc-1.0
- crash_analysis
- libMMANDKSignature.2dae176c
- libshellx-super.2019
- libturingau.2dae176c
- libyaqbasic.2dae176c
- libyaqpro.2dae176c
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
- AES-ECB-PKCS7Padding
- AES-GCM-NoPadding
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
- AES-ECB-PKCS7Padding
- AES-GCM-NoPadding
- DES
- RSA-ECB-PKCS1Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
