Android.Xiny.5214

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Xiny.1513

Предлагает установить сторонние приложения.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ji####.jieme####.com:8152
TCP(HTTP/1.1) 47.1####.13.108:8099
TCP(HTTP/1.1) adl.a####.net:5285
TCP(HTTP/1.1) bl.f.numbero####.cn:80
TCP(HTTP/1.1) hd.a####.com:80
TCP(HTTP/1.1) bl.r.numbero####.cn:80
TCP(HTTP/1.1) www.palmfun####.cn:80
TCP(HTTP/1.1) gd.a.s####.com:80
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP d.angs####.com:9270

Запросы DNS:

adl.a####.net
bl.c.numbero####.cn
bl.f.numbero####.cn
bl.i.numbero####.cn
bl.r.numbero####.cn
d.angs####.com
ji####.dl####.com
ji####.jieme####.com
plb####.u####.com
pv.s####.com
u####.u####.com
www.palmfun####.cn

Запросы HTTP GET:

adl.a####.net:5285/dd/a/dl?appId=####
gd.a.s####.com/cityjson?ie=####
hd.a####.com/jieplginf/djmdeta29x

Запросы HTTP POST:

bl.f.numbero####.cn/q3265Xdk/E60g
bl.r.numbero####.cn/J7Izocp1/FMc7
bl.r.numbero####.cn/SlAybZh1/rXfV
bl.r.numbero####.cn/m3fb2crQ/MSfQ
bl.r.numbero####.cn/m3fb2crQ/YVYZ
bl.r.numbero####.cn/q3265Xdk/E60g
ji####.jieme####.com:8152/ryf_webserver/payment/checkupdate.html
www.palmfun####.cn/fee/active
www.palmfun####.cn/fee/code
www.palmfun####.cn/fee/searchpc

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/,MoPay_SP.xml
/data/data/####/.imprint
/data/data/####/1570894485867
/data/data/####/1570894499286
/data/data/####/1570894512276
/data/data/####/1570894526089
/data/data/####/1570894538535
/data/data/####/JiePay.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/XinZF.xml
/data/data/####/XinZF_conf.xml
/data/data/####/a4b645a09e1352ed9a43ff469655db6d_3_1_5.dex
/data/data/####/a4b645a09e1352ed9a43ff469655db6d_3_1_5.zip.tmp
/data/data/####/c8ef51bca7c6ca597d96a5924f5daec5.xml
/data/data/####/cCache.xml
/data/data/####/cCache.xml.bak
/data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODk0NDg1MjUw;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODk0NDgzNjgy;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODk0NDk4NzUy;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODk0NTExNzk5;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODk0NTI1NjAx;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODk0NTM3OTcz;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTcwODk0NTU0MzAy;
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/i==1.2.0&&3_1570894483689_envelope.log
/data/data/####/i==1.2.0&&3_1570894498793_envelope.log
/data/data/####/i==1.2.0&&3_1570894511821_envelope.log
/data/data/####/i==1.2.0&&3_1570894525667_envelope.log
/data/data/####/i==1.2.0&&3_1570894538055_envelope.log
/data/data/####/i==1.2.0&&3_1570894554523_envelope.log
/data/data/####/info.xml
/data/data/####/jiepay_config.xml
/data/data/####/jiepayplugin.apk
/data/data/####/jiepayplugin.apkdata
/data/data/####/jiepayplugin.dex
/data/data/####/lb.db
/data/data/####/lb.db-journal
/data/data/####/libexec.so
/data/data/####/t==8.1.1&&3_1570894486194_envelope.log
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.umm.dat
/data/media/####/gguanb.png
/data/media/####/gmai.png
/data/media/####/gzxcagb.png
/data/media/####/jiazai.png
/data/media/####/kshi.png
/data/media/####/lingquchengg.png
/data/media/####/ningxqu.png
/data/media/####/plugin.apk
/data/media/####/quding.png
/data/media/####/sysid.dat
/data/media/####/wanbi.png
/data/media/####/xinshou.png
/data/media/####/xinshou2.png
/data/media/####/xyibuxa.png
/data/media/####/z.jar

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/su
app_process system/bin com.google.provider.vendor.tool.Main /storage/emulated/0/goog1e/data/plugin.apk
getprop ro.product.cpu.abi
ls -l /system/bin/su
ls /
ls /sys/class/thermal
sh -c cat /proc/2174/wchan
sh -c cat /proc/2327/wchan
sh -c cat /proc/2528/wchan
sh -c cat /proc/2703/wchan
sh -c cat /proc/2872/wchan
sh -c cat /proc/3090/wchan
sh -c cat /proc/3318/wchan
sh -c cat /sys/block/mmcblk0/device/cid
sh -c cat /sys/class/net/wlan0/address

Загружает динамические библиотеки:

cocos2dcpp
libexec
n3e98b
plugManager

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
DES-CBC-PKCS5Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
DES-CBC-PKCS5Padding

Использует повышенные привилегии.

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Отрисовывает собственные окна поверх других приложений.

Парсит информацию из SMS.

Получает информацию об отправленых/принятых SMS.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней