Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Waps.5.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) www.qili####.com:80
- TCP(HTTP/1.1) app.w####.cn:80
- TCP(HTTP/1.1) axy.qili####.com:80
- TCP(HTTP/1.1) happ####.qili####.com:80
- TCP(TLS/1.0) h####.b####.com:443
- TCP(TLS/1.0) bj.bc####.com:443
Запросы DNS:
- app.w####.cn
- axy.qili####.com
- gzto####.bj.bc####.com
- h####.b####.com
- happ####.qili####.com
- l####.tbs.qq.com
- www.qili####.com
Запросы HTTP GET:
- app.w####.cn/action/connect/active?app_id=####&udid=####&imsi=####&net=#...
- axy.qili####.com/images/banner4.jpg
- happ####.qili####.com/happyApi/v1/banner/praise
- happ####.qili####.com/upload/banner/banner_2017_02_21.jpg
- happ####.qili####.com/upload/banner/banner_agent.jpg
- happ####.qili####.com/upload/banner/bannervideo.jpg
- happ####.qili####.com/upload/images/dy_img1.png
- happ####.qili####.com/upload/images/dy_img2.png
- happ####.qili####.com/upload/images/dy_img4.png
- happ####.qili####.com/upload/images/kg_img1.png
- happ####.qili####.com/upload/images/kg_img2.png
- happ####.qili####.com/upload/images/kg_img3.png
- happ####.qili####.com/upload/images/kg_img4.png
- happ####.qili####.com/upload/images/kj_img1.png
- happ####.qili####.com/upload/images/kj_img2.png
- happ####.qili####.com/upload/images/kj_img3.png
- happ####.qili####.com/upload/images/kj_img4.png
- happ####.qili####.com/upload/images/kj_img5.png
- happ####.qili####.com/upload/images/kj_img6.png
- happ####.qili####.com/upload/images/kj_img7.png
- happ####.qili####.com/upload/images/kj_img8.png
- happ####.qili####.com/upload/images/kj_img9.png
- happ####.qili####.com/upload/images/ks_img1.png
- happ####.qili####.com/upload/images/ks_img2.png
- happ####.qili####.com/upload/images/ks_img3.png
- happ####.qili####.com/upload/images/wx_img1.png
- happ####.qili####.com/upload/images/wx_img2.png
- happ####.qili####.com/upload/images/wx_img3.png
- www.qili####.com/QQPraise/app/v2/login/support
- www.qili####.com/QQPraise/v3/menu/all
Запросы HTTP POST:
- app.w####.cn/action/user_info
- www.qili####.com/QQPraise/billboard/user/get
- www.qili####.com/QQPraise/v3/version
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/003624b030e94c9f91091e939bb58895.0.tmp
- /data/data/####/003624b030e94c9f91091e939bb58895.1.tmp
- /data/data/####/10c3d28eaad5155c065bcf6a700142b1.0.tmp
- /data/data/####/10c3d28eaad5155c065bcf6a700142b1.1.tmp
- /data/data/####/1e16d309e0c8d4cbf69c1c1eccfc3091.0.tmp
- /data/data/####/1e16d309e0c8d4cbf69c1c1eccfc3091.1.tmp
- /data/data/####/41bdffe5e547c2d6543809d516f32f8d.0.tmp
- /data/data/####/41bdffe5e547c2d6543809d516f32f8d.1.tmp
- /data/data/####/4LC_P2f44w6krezG14SaGj55m6o.1930576059.tmp
- /data/data/####/4f570ea6ddbf81d0536dc369f44aba00.0.tmp
- /data/data/####/4f570ea6ddbf81d0536dc369f44aba00.1.tmp
- /data/data/####/4vBqbNggKM4F_6gTxL6QclW7g54.-2070669673.tmp
- /data/data/####/5NPImuC-53QPB3tFgz34G4WJSo4.-1657689527.tmp
- /data/data/####/5hpJhN63cTDGH6tLtq43qTqSa40.-1064027188.tmp
- /data/data/####/6Qbu_0b_mOEcaancFQJA_SUaoao.374509518.tmp
- /data/data/####/6c0AtbVs10mVhXlPDNLp5E1E0fM.1626078498.tmp
- /data/data/####/785a41fa679dee85fcff467f662fd503.0.tmp
- /data/data/####/785a41fa679dee85fcff467f662fd503.1.tmp
- /data/data/####/82d31ec4264e84081018938e77e8b552.0.tmp
- /data/data/####/82d31ec4264e84081018938e77e8b552.1.tmp
- /data/data/####/8b3c23942dafd7b8fd5dad3d0ec02d07.0.tmp
- /data/data/####/8b3c23942dafd7b8fd5dad3d0ec02d07.1.tmp
- /data/data/####/8c0cd66e8a27ff8dc25889bb00be199f.0.tmp
- /data/data/####/8c0cd66e8a27ff8dc25889bb00be199f.1.tmp
- /data/data/####/8zZ474xVLpjnu_IF85dkYEnT8Xw.-2104521675.tmp
- /data/data/####/99Z-PM66KKX6aTf-F04ZYwJnXmg.-577736408.tmp
- /data/data/####/9be86a0e2ab51b41615e55f5b08ad5dc.0.tmp
- /data/data/####/9be86a0e2ab51b41615e55f5b08ad5dc.1.tmp
- /data/data/####/9c8835d086baefea4c5920714205f3e0.0.tmp
- /data/data/####/9c8835d086baefea4c5920714205f3e0.1.tmp
- /data/data/####/Aa-R9bzS0CvoF_UA4ilwzgaW84g.1367368631.tmp
- /data/data/####/AppSettings.xml
- /data/data/####/Bz_mJS_nCKYCx0_cv21_0rO8l9g.-75288472.tmp
- /data/data/####/CacheTime.dat
- /data/data/####/E0i6ucRXH6frEi12Ls4H86RA8nI.-1943309063.tmp
- /data/data/####/FEqCYV0fqzj47IOodNTmEeHJwjI.-1136298371.tmp
- /data/data/####/FryC_GMcAIZafj6r1VKUU-JFZAw.1155813955.tmp
- /data/data/####/Fs5Fo2rSOp4GzVJIpAdipbD6p7k.-956051681.tmp
- /data/data/####/JXSwEuDrz_NVV70VJXyMm9KIDF8.853882612.tmp
- /data/data/####/PAS2YLU0Fgfjys9nnX3CxHLPj-Y.-360748350.tmp
- /data/data/####/PaySettings.xml
- /data/data/####/ShowAdFlag.xml
- /data/data/####/TfWbg7-udc3K5rKRVRCTs25Xwr8.-934096444.tmp
- /data/data/####/W8AMAagIYygNrvpMDAanifyBKC4.-562374608.tmp
- /data/data/####/Xt8_adQ_kPgIcqxfl8uPELarDdw.-1317944568.tmp
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_ap_info_cache.json
- /data/data/####/__local_last_session.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/__send_data_1572026123204
- /data/data/####/a1c457134c98633eec979f6ffdc816f7.0.tmp
- /data/data/####/a1c457134c98633eec979f6ffdc816f7.1.tmp
- /data/data/####/a3eb5467e1ec599be0474511216d3054.0.tmp
- /data/data/####/a3eb5467e1ec599be0474511216d3054.1.tmp
- /data/data/####/a83e4c725fd925d24218193d7efbfe50.0.tmp
- /data/data/####/a83e4c725fd925d24218193d7efbfe50.1.tmp
- /data/data/####/abd27f6d23d9e478d22bb8c6ff2ff8ab.0.tmp
- /data/data/####/abd27f6d23d9e478d22bb8c6ff2ff8ab.1.tmp
- /data/data/####/acbadb178bf7f2350381b89082f8fe1d.0.tmp
- /data/data/####/acbadb178bf7f2350381b89082f8fe1d.1.tmp
- /data/data/####/ae8292f4d344a145be1d7a83435baf56.0.tmp
- /data/data/####/ae8292f4d344a145be1d7a83435baf56.1.tmp
- /data/data/####/afX0gsjm8nJMf2NFI0I6fsQkOw4.55682314.tmp
- /data/data/####/baidu_mtj_sdk_record.xml
- /data/data/####/baidu_mtj_sdk_record.xml.bak
- /data/data/####/c27a3d1f849ce802476e401e15e89340.0.tmp
- /data/data/####/c27a3d1f849ce802476e401e15e89340.1.tmp
- /data/data/####/c5a88edaced76baa15474fae67a80e17.0.tmp
- /data/data/####/c5a88edaced76baa15474fae67a80e17.1.tmp
- /data/data/####/cc3e11c2c1ad1860f4e481828bf6334f.0.tmp
- /data/data/####/cc3e11c2c1ad1860f4e481828bf6334f.1.tmp
- /data/data/####/core_info
- /data/data/####/d11847f35025eba940d8b1d670af7ca8.0.tmp
- /data/data/####/d11847f35025eba940d8b1d670af7ca8.1.tmp
- /data/data/####/d4042464e7bf7b713b21f15f71d3edef.0.tmp
- /data/data/####/d4042464e7bf7b713b21f15f71d3edef.1.tmp
- /data/data/####/d68ce73d5d991e121b88b8cb30c54f4f.0.tmp
- /data/data/####/d68ce73d5d991e121b88b8cb30c54f4f.1.tmp
- /data/data/####/d7392e99f72c5bb7d2eab7161af34dc4.0.tmp
- /data/data/####/d7392e99f72c5bb7d2eab7161af34dc4.1.tmp
- /data/data/####/disk_entries_list_image_cache_-1903640536.xml
- /data/data/####/djfNIj8QDTVZSFpkqSLtobWgdVM.410773917.tmp
- /data/data/####/download_upload
- /data/data/####/f81c6c649919e26549c9472c0358c8ec.0.tmp
- /data/data/####/f81c6c649919e26549c9472c0358c8ec.1.tmp
- /data/data/####/f8a3a1b212fe0bc467a62a3298c297c8.0.tmp
- /data/data/####/f8a3a1b212fe0bc467a62a3298c297c8.1.tmp
- /data/data/####/jglm_pr.xml
- /data/data/####/journal.tmp
- /data/data/####/libcuid.so
- /data/data/####/libjiagu-1000908597.so
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbs_download_config.xml.bak
- /data/data/####/tbs_download_stat.xml
- /data/data/####/tbs_pv_config
- /data/data/####/tbscoreinstall.txt
- /data/data/####/tbslock.txt
- /data/data/####/yi3uxi-Nl-HefWs2w__YtGjhqTk.1480232323.tmp
- /data/media/####/.confd
- /data/media/####/.confd-journal
- /data/media/####/.cuid2
- /data/media/####/.timestamp
- /data/media/####/AppPackage.dat
- /data/media/####/CacheTime.dat
- /data/media/####/UnPackage.dat
- /data/media/####/android
- /data/media/####/dzzone.apk
- /data/media/####/tbslog.txt
Другие:
Запускает следующие shell-скрипты:
- getprop ro.build.display.id
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.product.cpu.abi
- getprop ro.smartisan.version
- getprop ro.vivo.os.version
Загружает динамические библиотеки:
- crash_analysis
- imagepipeline
- libjiagu-1000908597
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- DES-CBC-PKCS5Padding
- RSA-ECB-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- DES-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
