Android.Spy.3200

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Spy.2442

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ifconsu####.htba####.com:80
TCP(HTTP/1.1) up####.sdk.jig####.cn:80
TCP(HTTP/1.1) l####.cc:80
TCP(HTTP/1.1) i.t####.com:80
TCP(HTTP/1.1) 5b0988e####.cdn.so####.com:80
TCP(HTTP/1.1) 2####.205.239.188:80
TCP(HTTP/1.1) www.i####.com:80
TCP(TLS/1.0) av1.x####.com:443
TCP(TLS/1.0) c####.x####.com:443
TCP(TLS/1.0) s####.j####.cn:443
UDP s.j####.cn:19000
TCP 1####.230.236.10:7008

Запросы DNS:

5b0988e####.cdn.so####.com
av1.x####.com
c####.x####.com
i.t####.com
ifconsu####.htba####.com
l####.cc
mt####.go####.com
nfs.htba####.com
s####.j####.cn
s.j####.cn
up####.sdk.jig####.cn
www.i####.com

Запросы HTTP GET:

5b0988e####.cdn.so####.com/images/20191012/1a3eed3f001340b69544dac12fc87...
5b0988e####.cdn.so####.com/images/20191012/35ede554bfc94677b1cc3dd078ee6...
5b0988e####.cdn.so####.com/images/20191012/64ed1d5eab40416f94cc0d37e6ffd...
5b0988e####.cdn.so####.com/images/20191012/a926b85b9b1c480cac06ed8c4eab7...
i.t####.com/a/3f1015e9bf50ada78026b1c25e124f454
ifconsu####.htba####.com/android/poster/628270873819820032.jpg
ifconsu####.htba####.com/android/poster/628270948834947072.jpg
ifconsu####.htba####.com/android/poster/628271047208153088.jpg
ifconsu####.htba####.com/android/poster/628271425882501120.jpg
ifconsu####.htba####.com/android/poster/631807793711624192.jpg
ifconsu####.htba####.com/android/wx_img/34a93b9d-ac69-43ae-b1c8-bbf92ba7...
ifconsu####.htba####.com/android/wx_img/3ae4e37f-d5ad-46f8-a068-b273eb5a...
ifconsu####.htba####.com/android/wx_img/6b83178c-bcbd-473c-9bb3-d7fccfb8...
ifconsu####.htba####.com/android/wx_img/75eeecff-fd7e-4231-b4a2-a9cf4543...
ifconsu####.htba####.com/android/wx_img/8736eec9-35aa-49e9-ab91-564ece34...
ifconsu####.htba####.com/android/wx_img/ca4501be-05d4-4e5f-ab89-a3513a4a...
ifconsu####.htba####.com/android/wx_img/db428a74-7614-4aae-94e4-c549a77c...
ifconsu####.htba####.com/android/wx_img/f4229134-9253-485a-be3e-50f2b874...
ifconsu####.htba####.com/app/home/getCarouselImage?locationType=####
ifconsu####.htba####.com/app/news/getArticleList?userId=####&articleType...
ifconsu####.htba####.com/app/news/getArticleTypes?userId=####
ifconsu####.htba####.com/app/news/getBasicNewsList?pageIndex=####&pageSi...
ifconsu####.htba####.com/app/news/getPosterList?posterType=####&pageInde...
ifconsu####.htba####.com/app/news/getPosterType?userId=####
ifconsu####.htba####.com/app/operate/bootPage
l####.cc/i/sdk/is_gal?sign=####&timestamp=####&android_id=####&imei_md5=...
www.i####.com/uploads/image/20191012/1570869156736511.png

Запросы HTTP POST:

l####.cc/i/sdk/install
up####.sdk.jig####.cn/v1/push/sdk/postlist

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/045a0e3a1d28d3168824072795999b6db1b53fec79b9682....0.tmp
/data/data/####/1004
/data/data/####/1570894782595_2264
/data/data/####/1570894783294_2264
/data/data/####/1570894783981_2264
/data/data/####/1570894784517_2264
/data/data/####/1570894785067_2264
/data/data/####/1570894785597_2264
/data/data/####/1570894786082_2264
/data/data/####/1570894786464_2264
/data/data/####/1570894787415_2264
/data/data/####/1570894787727_2264
/data/data/####/1570894787922_2264
/data/data/####/1570894788100_2264
/data/data/####/1570894788301_2264
/data/data/####/1570894788460_2264
/data/data/####/1570894789333_2264
/data/data/####/1570894789482_2264
/data/data/####/1570894790015_2264
/data/data/####/1570894790182_2264
/data/data/####/1570894791343_2264
/data/data/####/1570894791506_2264
/data/data/####/1570894791668_2264
/data/data/####/1570894791884_2264
/data/data/####/1570894792065_2264
/data/data/####/1570894792273_2264
/data/data/####/1570894793379_2264
/data/data/####/1570894793733_2264
/data/data/####/1570894793969_2264
/data/data/####/1570894794121_2264
/data/data/####/1570894794283_2264
/data/data/####/1570894794456_2264
/data/data/####/1570894794616_2264
/data/data/####/1570894796087_2264
/data/data/####/1570894796238_2264
/data/data/####/1570894796461_2264
/data/data/####/1570894796629_2264
/data/data/####/1570894796786_2264
/data/data/####/1570894797008_2264
/data/data/####/1570894797155_2264
/data/data/####/1570894799554_2264
/data/data/####/1570894799934_2264
/data/data/####/1570894800370_2264
/data/data/####/1570894800752_2264
/data/data/####/1570894801273_2264
/data/data/####/1570894801475_2264
/data/data/####/1570894801658_2264
/data/data/####/1570894801922_2264
/data/data/####/1570894802127_2264
/data/data/####/1570894804239_2264
/data/data/####/1570894804404_2264
/data/data/####/1570894804571_2264
/data/data/####/1570894804748_2264
/data/data/####/1570894805229_2264
/data/data/####/1570894805438_2264
/data/data/####/1570894805696_2264
/data/data/####/1570894805972_2264
/data/data/####/1570894806287_2264
/data/data/####/1570894808028_2264
/data/data/####/1570894808251_2264
/data/data/####/1570894808490_2264
/data/data/####/1570894808765_2264
/data/data/####/1570894809097_2264
/data/data/####/1570894809277_2264
/data/data/####/1570894809428_2264
/data/data/####/1570894809594_2264
/data/data/####/1570894809748_2264
/data/data/####/1570894812081_2264
/data/data/####/1570894812364_2264
/data/data/####/1570894812548_2264
/data/data/####/1570894812720_2264
/data/data/####/1570894812903_2264
/data/data/####/1570894813163_2264
/data/data/####/1570894813554_2264
/data/data/####/1570894813821_2264
/data/data/####/1570894814093_2264
/data/data/####/1570894815578_2264
/data/data/####/1570894815746_2264
/data/data/####/1570894815925_2264
/data/data/####/1570894816074_2264
/data/data/####/1570894816223_2264
/data/data/####/1570894816370_2264
/data/data/####/1570894816770_2264
/data/data/####/1570894816931_2264
/data/data/####/1570894817073_2264
/data/data/####/1570894818936_2264
/data/data/####/1570894819086_2264
/data/data/####/1570894819259_2264
/data/data/####/1570894819691_2264
/data/data/####/1570894819924_2264
/data/data/####/1570894820085_2264
/data/data/####/1570894820226_2264
/data/data/####/1570894820407_2264
/data/data/####/1570894820563_2264
/data/data/####/1570894822210_2264
/data/data/####/1570894822339_2264
/data/data/####/1570894822513_2264
/data/data/####/1570894822685_2264
/data/data/####/1570894822832_2264
/data/data/####/1570894822972_2264
/data/data/####/1570894823124_2264
/data/data/####/1570894823273_2264
/data/data/####/1570894823414_2264
/data/data/####/1570894824921_2264
/data/data/####/1570894825063_2264
/data/data/####/1570894825221_2264
/data/data/####/1570894825390_2264
/data/data/####/1570894825556_2264
/data/data/####/1570894825691_2264
/data/data/####/1570894825837_2264
/data/data/####/1570894826043_2264
/data/data/####/1570894826185_2264
/data/data/####/1570894827685_2264
/data/data/####/1570894827834_2264
/data/data/####/1570894828045_2264
/data/data/####/1570894828224_2264
/data/data/####/1570894828472_2264
/data/data/####/1570894829620_2264
/data/data/####/1570894829814_2264
/data/data/####/1570894829976_2264
/data/data/####/1570894830116_2264
/data/data/####/1570894830315_2264
/data/data/####/1570894830482_2264
/data/data/####/1570894830632_2264
/data/data/####/1570894832009_2264
/data/data/####/1570894832167_2264
/data/data/####/1570894832633_2264
/data/data/####/1570894832878_2264
/data/data/####/1570894833027_2264
/data/data/####/1570894833218_2264
/data/data/####/1570894833362_2264
/data/data/####/1570894834438_2264
/data/data/####/1570894834575_2264
/data/data/####/1570894834737_2264
/data/data/####/1570894834887_2264
/data/data/####/1570894835030_2264
/data/data/####/1570894835176_2264
/data/data/####/1570894835562_2264
/data/data/####/1570894835717_2264
/data/data/####/1570894835852_2264
/data/data/####/1570894837177_2264
/data/data/####/1570894837325_2264
/data/data/####/1570894837487_2264
/data/data/####/1570894837787_2264
/data/data/####/1570894838116_2264
/data/data/####/1570894838278_2264
/data/data/####/1570894838410_2264
/data/data/####/1570894838584_2264
/data/data/####/1570894838716_2264
/data/data/####/1570894840027_2264
/data/data/####/1570894840166_2264
/data/data/####/1570894840377_2264
/data/data/####/1570894840593_2264
/data/data/####/1570894840854_2264
/data/data/####/1570894841704_2264
/data/data/####/1570894841992_2264
/data/data/####/1570894842241_2264
/data/data/####/1570894842452_2264
/data/data/####/1570894842648_2264
/data/data/####/1570894842844_2264
/data/data/####/1570894843045_2264
/data/data/####/1570894844170_2264
/data/data/####/1570894844337_2264
/data/data/####/1570894844531_2264
/data/data/####/1570894844748_2264
/data/data/####/1570894844989_2264
/data/data/####/1570894845404_2264
/data/data/####/1570894845611_2264
/data/data/####/1570894845816_2264
/data/data/####/1570894845981_2264
/data/data/####/1570894847720_2264
/data/data/####/1570894847906_2264
/data/data/####/1570894848145_2264
/data/data/####/1570894848335_2264
/data/data/####/1570894848495_2264
/data/data/####/1570894848783_2264
/data/data/####/1570894848938_2264
/data/data/####/1570894849115_2264
/data/data/####/1570894849272_2264
/data/data/####/1570894850958_2264
/data/data/####/1570894851130_2264
/data/data/####/1570894851311_2264
/data/data/####/1570894851463_2264
/data/data/####/1570894851628_2264
/data/data/####/1570894851774_2264
/data/data/####/1570894851939_2264
/data/data/####/1570894852155_2264
/data/data/####/265102fe83231aa13f6376538009fd2534bbb29c41649cb....0.tmp
/data/data/####/4608f24fb541840e5568b8c25e721353a954d1d2f93ab6b....0.tmp
/data/data/####/463da7aa9cc2a3bef25b38b4c428297ba46194cd4a973d1....0.tmp
/data/data/####/7a5718ab04537c8fadb014187a03d5eced8e5bbc6859a2b....0.tmp
/data/data/####/Archimedes_p1
/data/data/####/Archimedes_p2
/data/data/####/Archimedes_p3
/data/data/####/Archimedes_p4
/data/data/####/Archimedes_p5
/data/data/####/JPushSA_Config.xml
/data/data/####/LKME_Server_Request_Queue.xml
/data/data/####/MultiDex.lock
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TDpref_cloudcontrol1.xml
/data/data/####/TDpref_longtime.xml
/data/data/####/TDpref_longtime0.xml
/data/data/####/TDpref_shorttime.xml
/data/data/####/TDpref_shorttime0.xml
/data/data/####/UserCache.xml
/data/data/####/appPackageNames_v2
/data/data/####/be75427a74739de6b0dbe2a2139a47a3dbd7c37a740968d....0.tmp
/data/data/####/bf66b66d3b04aca8abad74356fe2fa4a948d215099873f9....0.tmp
/data/data/####/bugly_db_-journal
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.preferences.v2.rid.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/com.dolphin.insuranceAgent_preferences.xml
/data/data/####/crashrecord.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/e53a54e3e53b4cff79af52f1339b640b892b0a827195882....0.tmp
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/fbaf42ba7c3f69cbe098d2315409ac509122723358fd4cc....0.tmp
/data/data/####/index
/data/data/####/iv
/data/data/####/journal.tmp
/data/data/####/jpush_device_info.xml
/data/data/####/jpush_local_notification.db
/data/data/####/jpush_local_notification.db-journal
/data/data/####/jpush_local_notification.db-wal
/data/data/####/jpush_stat_cache.json
/data/data/####/jpush_stat_cache_history.json
/data/data/####/jpush_statistics.db
/data/data/####/jpush_statistics.db-journal
/data/data/####/jpush_statistics.db-shm (deleted)
/data/data/####/jpush_statistics.db-wal
/data/data/####/libjiagu-275804198.so
/data/data/####/linkedme_referral_shared_pref.xml
/data/data/####/local_crash_lock
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/salt
/data/data/####/security_info
/data/data/####/share_cache.xml
/data/data/####/tdid.xml
/data/data/####/wakeup_cache.json
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/.lm_device_id
/data/media/####/.nomedia
/data/media/####/.push_deviceid
/data/media/####/.tcookieid

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
/system/bin/sh -c type su
cat /sys/class/net/wlan0/address
chmod 755 <Package Folder>/.jiagu/libjiagu-275804198.so
getprop

Загружает динамические библиотеки:

Bugly
jcore119
libjiagu-275804198

Использует следующие алгоритмы для шифрования данных:

AES
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-ECB-NoPadding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней