Android.SmsSpy.10416

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.SmsSpy.69.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) c.d####.mob.com:80
TCP(HTTP/1.1) stati####.in####.j####.com:80
TCP(HTTP/1.1) gd.a.s####.com:80
TCP(HTTP/1.1) i####.in####.j####.com:80
TCP(HTTP/1.1) api.s####.mob.com:80
TCP(HTTP/1.1) h####.b####.com:80
TCP(HTTP/1.1) d####.d####.mob.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) m.d####.mob.com:80
TCP(HTTP/1.1) bus.in####.j####.com:80
TCP(HTTP/1.1) s####.j####.cn:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
TCP(HTTP/1.1) web.sma####.in####.####.com:80
TCP(HTTP/1.1) q.in####.j####.com:80
TCP(HTTP/1.1) imgc####.qq.com.####.com:80
TCP(TLS/1.0) 5g.bai####.net.####.com:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) api.voic####.cn:443
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) log####.ifl####.com:443
UDP s.j####.cn:19000
TCP 1####.25.50.215:7005

Запросы DNS:

5g.bai####.net
a####.exc.mob.com
amap####.cn-hang####.oss####.####.com
api.s####.mob.com
api.voic####.cn
bus.in####.j####.com
c.d####.mob.com
d####.d####.mob.com
h####.b####.com
i####.in####.j####.com
imgc####.qq.com
l####.tbs.qq.com
log####.ifl####.com
m.d####.mob.com
n####.in####.j####.com
plb####.u####.com
pv.s####.com
q.in####.j####.com
res####.a####.com
s####.e.qq.com
s####.j####.cn
s.j####.cn
stati####.in####.j####.com
u####.u####.com
web.sma####.in####.####.com

Запросы HTTP GET:

api.s####.mob.com/date
bus.in####.j####.com/Uploads/Advert/20170512/59152dd6b4f72.jpg
bus.in####.j####.com/Uploads/Advert/20190930/5d91648754731.jpg
bus.in####.j####.com/getHomeApi?client=####&type=####&version=####
gd.a.s####.com/cityjson
gd.a.s####.com/cityjson?ie=####
i####.in####.j####.com/version?category=####&rest=####&client=####&ver=#...
imgc####.qq.com.####.com/qzone/biz/gdt/mod/android/AndroidAllInOne/progu...
m.d####.mob.com/v4/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
q.in####.j####.com/api/v2/detail?client=####&ver=####&newId=####
q.in####.j####.com/data/upload/2018/0102/16/5a4b496a524d0.png
q.in####.j####.com/data/upload/2018/0102/16/5a4b497807ab8.png
q.in####.j####.com/data/upload/2018/0102/16/5a4b49a42fe38.png
q.in####.j####.com/data/upload/2018/0102/16/5a4b49b23a3d5.png
q.in####.j####.com/data/upload/2018/0102/16/5a4b49c150796.png
q.in####.j####.com/data/upload/2018/0102/16/5a4b49ebb6f7c.png
q.in####.j####.com/data/upload/2018/0102/17/5a4b4a573673f.png
q.in####.j####.com/data/upload/2018/0102/17/5a4b4a5fd7321.png
q.in####.j####.com/data/upload/2018/0102/17/5a4b4a6f5bf36.png
q.in####.j####.com/data/upload/2018/0102/17/5a4b4a8329920.png
q.in####.j####.com/data/upload/2018/0102/17/5a4b4a9dc710c.png
q.in####.j####.com/data/upload/2018/0102/17/5a4b4ac2ea8f5.png
q.in####.j####.com/data/upload/2018/0102/17/5a4b4acecd473.png
q.in####.j####.com/data/upload/2018/0102/17/5a4b4aeb7dcf4.png
q.in####.j####.com/data/upload/2018/0102/17/5a4b4b025b929.png
q.in####.j####.com/data/upload/2018/0102/17/5a4b4b0dabb23.png
q.in####.j####.com/data/upload/2018/0102/17/5a4b4b20d21a7.png
q.in####.j####.com/data/upload/2018/0102/17/5a4b4b2d64cef.png
q.in####.j####.com/data/upload/2018/0102/17/5a4b4b3991a49.png
q.in####.j####.com/data/upload/2018/0102/17/5a4b4b5cb2c37.png
q.in####.j####.com/data/upload/2018/0102/17/5a4b4b689b9bb.png
q.in####.j####.com/data/upload/2018/0103/09/5a4c33ef7b78d.png
q.in####.j####.com/data/upload/2018/0103/09/5a4c350662052.png
q.in####.j####.com/data/upload/2019/0123/12/5c47f35408a20.png
q.in####.j####.com/getAdConfig?client=####&version=####
q.in####.j####.com/getRank?client=####&imei=####&euid=####
q.in####.j####.com/temperature/weather/b0.png?v=####
q.in####.j####.com/userinfo?client=####&mid=tWL####&user_id####&key=####
sh.wagbr####.aliyun####.com/sdkcoor/android/x86/libJni_wgs2gcj.so
stati####.in####.j####.com/Uploads/Activity/2018-12/201812271504419991.jpg
stati####.in####.j####.com/Uploads/Activity/2018-7/201807241545491239.jpg
stati####.in####.j####.com/Uploads/Activity/2019-1/201901311152025584.jpg
stati####.in####.j####.com/Uploads/Activity/2019-3/201903291351512951.jpg
stati####.in####.j####.com/Uploads/News/2019-9/201909191036212168.jpg_s....
stati####.in####.j####.com/Uploads/News/2019-9/201909191138547275.jpg_s....
stati####.in####.j####.com/Uploads/News/2019-9/201909191139126186.jpg_s....
stati####.in####.j####.com/Uploads/News/2019-9/201909231614258028.jpg_s....
stati####.in####.j####.com/Uploads/News/2019-9/201909231614503202.jpg_b....
stati####.in####.j####.com/Uploads/StreetScape/2019-4/26/Thumbnail/20190...
web.sma####.in####.####.com//HtmlPage/News/2019-9/137258.html?1=####&cli...

Запросы HTTP POST:

a####.exc.mob.com/errconf
api.s####.mob.com/conf5
api.s####.mob.com/conn
api.s####.mob.com/log4
api.s####.mob.com/snsconf
c.d####.mob.com/v3/cdata
d####.d####.mob.com/dinfo
d####.d####.mob.com/dsign
h####.b####.com/app.gif
q.in####.j####.com/addUserInfo
s####.e.qq.com/activate
s####.j####.cn/v2/report

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1169818910.tmp
/data/data/####/-1190099254.tmp
/data/data/####/-1227478746.tmp
/data/data/####/-1270945639.tmp
/data/data/####/-127512087.tmp
/data/data/####/-1288425462.tmp
/data/data/####/-1297256444.tmp
/data/data/####/-1533026027.tmp
/data/data/####/-1570697124.tmp
/data/data/####/-1668689297.tmp
/data/data/####/-1713610005.tmp
/data/data/####/-1895930687.tmp
/data/data/####/-2082189689.tmp
/data/data/####/-267883143.tmp
/data/data/####/-373132205.tmp
/data/data/####/-435256951.tmp
/data/data/####/-585338512.tmp
/data/data/####/-617527125.tmp
/data/data/####/-682485924.tmp
/data/data/####/-709314341.tmp
/data/data/####/-763137869.tmp
/data/data/####/-828425399.tmp
/data/data/####/.duid
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.mrecord
/data/data/####/.mrlock
/data/data/####/.statistics
/data/data/####/.vpl_lock
/data/data/####/1014119185.tmp
/data/data/####/1045292864.tmp
/data/data/####/1166343777.tmp
/data/data/####/1252031899.tmp
/data/data/####/1399045643.tmp
/data/data/####/1528932046.tmp
/data/data/####/1565756577.tmp
/data/data/####/1715822410.tmp
/data/data/####/1928315393.tmp
/data/data/####/1d2b904cbeadfb72ed9546111a231c85.0
/data/data/####/20125377331884.0
/data/data/####/232325630.tmp
/data/data/####/263531262648.0
/data/data/####/356905472.tmp
/data/data/####/361052134.tmp
/data/data/####/465135807.tmp
/data/data/####/5284173735484.0
/data/data/####/632132338.tmp
/data/data/####/635365934.tmp
/data/data/####/646702105.tmp
/data/data/####/8104742262706.0
/data/data/####/857921338.tmp
/data/data/####/AdDex.4.0.1.dex
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/FLY_AD_SHARED.xml
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__local_last_session.json
/data/data/####/__local_stat_cache.json
/data/data/####/a==7.5.4&&2.7_1570054042366_envelope.log
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/core_info
/data/data/####/d734a396262fed7b7e4fa1276c05b624.0
/data/data/####/dW1weF9pbnRlcm5hbF8xNTcwMDU0MDQxNDk5;
/data/data/####/data.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/debug.conf
/data/data/####/domainset
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_plugin.tmp.sig
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/i==1.2.0&&2.7_1570054041658_envelope.log
/data/data/####/ibus_20180712
/data/data/####/ibus_20180712-journal
/data/data/####/iflytek_collect_state.xml
/data/data/####/iflytek_device_info.zip
/data/data/####/index
/data/data/####/indexnews
/data/data/####/info.xml
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/jpush_device_info.xml
/data/data/####/jpush_local_notification.db
/data/data/####/jpush_local_notification.db-journal
/data/data/####/jpush_stat_cache_history.json
/data/data/####/jpush_statistics.db
/data/data/####/jpush_statistics.db-journal
/data/data/####/libjiagu312090826.so
/data/data/####/loctemp.so
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/multidex.version.xml
/data/data/####/native_plates
/data/data/####/native_plates-journal
/data/data/####/pref.xml
/data/data/####/share_sdk_1
/data/data/####/sharesdk.db-journal
/data/data/####/smartbusdata.db-journal
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/test.dat
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/update_lc
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/welcome
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.artc_lock
/data/media/####/.cca.dat
/data/media/####/.dh-journal
/data/media/####/.dhlock
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.digap
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.lecd
/data/media/####/.lesd_lock
/data/media/####/.mcli
/data/media/####/.mn_1360822780
/data/media/####/.nomedia
/data/media/####/.pkg_lock
/data/media/####/.push_deviceid
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/.umm.dat
/data/media/####/1570054042887.db
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/alsn20170807.db
/data/media/####/alsn20170807.db-journal

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
cat /sys/class/net/wlan0/address
getprop ro.product.cpu.abi
ls /
ls /sys/class/thermal

Загружает динамические библиотеки:

X86Bridge
jpush213
libjiagu312090826
utlilib

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-NoPadding
AES-ECB-PKCS7Padding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Управляет Wi-Fi-подключением.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней