Android.Spy.3209

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Spy.2440

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) norma-e####.m####.com:80
TCP(HTTP/1.1) 14.17.1####.233:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(HTTP/1.1) k####.h####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) amdc####.m.ta####.com:80
TCP(HTTP/1.1) a####.3g.yy.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(TLS/1.0) cdn.h####.com:443
TCP(TLS/1.0) chase####.r####.net:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) short-y####.yy.com:443
TCP(TLS/1.0) a####.3g.yy.com:443
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) web.yyst####.com:443
TCP(TLS/1.0) co####.h####.com:443
TCP sdk.o####.t####.####.com:5224
TCP zb-cent####.m.ta####.com:80
TCP zb-cent####.m.ta####.com:443
TCP cm-1####.ig####.com:5226

Запросы DNS:

7j####.c####.z0.####.com
a####.3g.yy.com
a####.man.aliy####.com
ag####.m.ta####.com
amdc####.m.ta####.com
c-h####.g####.com
cdn.h####.com
chase####.r####.net
cm-1####.ig####.com
co####.h####.com
crash-r####.yy.com
k####.h####.com
m####.h####.com
norma-e####.m####.com
plb####.u####.com
pub-####.qin####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
short-y####.yy.com
u####.u####.com
umen####.m.ta####.com
umengj####.m.ta####.com
web.yyst####.com

Запросы HTTP GET:

a####.3g.yy.com/speed/conceal?uid=####&yyVersion=####&os=####&model=####...
a####.3g.yy.com/speed/live_navs?uid=####&yyVersion=####&os=####&model=##...
a####.3g.yy.com/speed/video_navs?uid=####&yyVersion=####&os=####&model=#...
norma-e####.m####.com/android/exchange/getpublickey.do
q####.c####.l####.####.com/config/hz-hzv6.conf
qin####.com.www.####.com/tdata_EDT369
sdk.o####.p####.####.com/api/addr.htm
ti####.c####.l####.####.com/tdata_Qtk816
ti####.c####.l####.####.com/tdata_VBT051
ti####.c####.l####.####.com/tdata_uEJ172
ti####.c####.l####.####.com/tdata_wed665

Запросы HTTP POST:

14.17.1####.233/c.gif?act=####&smkdata=####&EC=####&appkey=####&item=###...
a####.3g.yy.com/dau/reporting
a####.3g.yy.com/speed/nav/zklive_recomm/idx
a####.3g.yy.com/speed/nav/zkvideo_recomm/idx
amdc####.m.ta####.com/amdc/mobileDispatch?appkey=####&deviceId=####&plat...
c-h####.g####.com/api.php?format=####&t=####
k####.h####.com/c.gif?act=####&smkdata=####&EC=####&appkey=####&item=###...
norma-e####.m####.com/push/android/external/add.do
sdk-ope####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/375830d3081d
/data/data/####/75F0ED65DF2431A0DA6BB3D164054C01
/data/data/####/7944d0bd548247f7a29e23e2d25a5f38
/data/data/####/ACCS_BINDumeng;5a276a10f29d982f520000f1
/data/data/####/ACCS_SDK
/data/data/####/ACCS_SDK_CHANNEL
/data/data/####/AGOO_BIND
/data/data/####/Agoo_AppStore
/data/data/####/Alvin2
/data/data/####/ContextData
/data/data/####/DaemonServer
/data/data/####/KLog__com-yy-yylite.mmap2
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/UM_PROBE_DATA
/data/data/####/a0d8a1e874844bfdb2c649224d0076ac
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/channel_umeng_common_config
/data/data/####/com.x.y.1
/data/data/####/com.x.y.2
/data/data/####/com.yy.shortpushsvc.db-journal
/data/data/####/dW1weF9pbnRlcm5hbF8xNTcxNTE5Mjk1MjUy;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTcxNTE5Mjk4MjUz;
/data/data/####/dW1weF9wdXNoX2xhdW5jaF8xNTcxNTE5MzA5OTk0;
/data/data/####/dW1weF9wdXNoX3JlZ2lzdGVyXzE1NzE1MTkyOTk5Mzg=;
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/default
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp
/data/data/####/hd_default_pref
/data/data/####/hdcltid
/data/data/####/hdcommon_config_cache_pref
/data/data/####/hdid.bck
/data/data/####/hdid_v2
/data/data/####/hdstatis_cache_4b04df0e.db-journal
/data/data/####/hdstatis_cache_d6aa665f.db-journal
/data/data/####/hduuid_v1
/data/data/####/httpdns_config_cache
/data/data/####/i==1.2.0&&3.4.1_1571519295301_envelope.log
/data/data/####/index
/data/data/####/info
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/libjiagu708335345.so
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/multidex.version
/data/data/####/mz_push_preference
/data/data/####/nav_cache_http%3A%2F%2Fapp.3g.yy.com%2Fspeed%2F...vs.txt
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tdata_Qtk816
/data/data/####/tdata_Qtk816.jar
/data/data/####/tdata_VBT051
/data/data/####/tdata_VBT051.jar
/data/data/####/tdata_uEJ172
/data/data/####/tdata_uEJ172.jar
/data/data/####/tdata_wed665
/data/data/####/tdata_wed665.jar
/data/data/####/um_pri
/data/data/####/umdat
/data/data/####/umeng_common_config
/data/data/####/umeng_common_location
/data/data/####/umeng_general_config
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.umm.dat
/data/media/####/2019-10-20.log.txt
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/Device
/data/media/####/Device_v2
/data/media/####/Global
/data/media/####/KLog__com-yy-yylite_2019_10_19_21_08.txt
/data/media/####/LogPath.txt
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.yy.yylite.db
/data/media/####/config.txt
/data/media/####/deviceToken
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/hdcltid.ini
/data/media/####/hdstatis_20191020.log
/data/media/####/hduuid_v1
/data/media/####/info.txt
/data/media/####/pushsvc_log.txt
/data/media/####/tdata_Qtk816
/data/media/####/tdata_VBT051
/data/media/####/tdata_uEJ172
/data/media/####/tdata_wed665
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:5a276a10f29d982f520000f1","utdid":"Xat7PhSVbJoDAGdzx1FDzMCa","sdkVersion":"221"} -I agoodm.m.taobao.com -O 80 -T -Z
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24325 300 0
cat /sys/class/net/wlan0/address
chmod 500 <Package Folder>/files/DaemonServer
chmod 700 <Package Folder>/files/gdaemon_20161017
ls /
ls /sys/class/thermal
mount
sh
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24325 300 0

Загружает динамические библиотеки:

getuiext3
libjiagu708335345
tnet-3.1
yycrashreport
yylog

Использует следующие алгоритмы для шифрования данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CFB-NoPadding
AES-ECB-PKCS5Padding
DES
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
DES

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней