Android.DownLoader.4738

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.SmsSend.2066.origin
Android.Xiny.1513

Загружает из Интернета следующие детектируемые угрозы:

Android.Xiny.1513

Предлагает установить сторонние приложения.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ji####.jieme####.com:8152
TCP(HTTP/1.1) 47.1####.13.108:8099
TCP(HTTP/1.1) adl.a####.net:5285
TCP(HTTP/1.1) bl.f.numbero####.cn:80
TCP(HTTP/1.1) hd.a####.com:80
TCP(HTTP/1.1) bl.r.numbero####.cn:80
TCP(HTTP/1.1) www.palmfun####.cn:80
TCP(HTTP/1.1) gd.a.s####.com:80
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP d.angs####.com:9270

Запросы DNS:

adl.a####.net
bl.c.numbero####.cn
bl.f.numbero####.cn
bl.i.numbero####.cn
bl.r.numbero####.cn
d.angs####.com
ji####.dl####.com
ji####.jieme####.com
plb####.u####.com
pv.s####.com
u####.u####.com
www.palmfun####.cn

Запросы HTTP GET:

adl.a####.net:5285/dd/a/dl?appId=####
gd.a.s####.com/cityjson?ie=####
hd.a####.com/jieplginf/djmdeta29x

Запросы HTTP POST:

bl.f.numbero####.cn/q3265Xdk/E60g
bl.r.numbero####.cn/J7Izocp1/FMc7
bl.r.numbero####.cn/SlAybZh1/rXfV
bl.r.numbero####.cn/m3fb2crQ/MSfQ
bl.r.numbero####.cn/m3fb2crQ/YVYZ
bl.r.numbero####.cn/q3265Xdk/E60g
ji####.jieme####.com:8152/ryf_webserver/payment/checkupdate.html
www.palmfun####.cn/fee/active
www.palmfun####.cn/fee/code
www.palmfun####.cn/fee/searchpc
www.palmfun####.cn/fee/searchpcNew

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/,MoPay_SP.xml
/data/data/####/.edata
/data/data/####/.imprint
/data/data/####/1572449830028
/data/data/####/1572449835482
/data/data/####/1572449848417
/data/data/####/1572449860883
/data/data/####/1572449873506
/data/data/####/1572449885534
/data/data/####/BloodBoard.png
/data/data/####/BloodBoardLock.png
/data/data/####/Enemy3.ExportJson
/data/data/####/Enemy30.plist
/data/data/####/Enemy30.png
/data/data/####/Enemy4.ExportJson
/data/data/####/Enemy40.plist
/data/data/####/Enemy40.png
/data/data/####/JiePay.xml
/data/data/####/SetBoard.png
/data/data/####/SetMenu.png
/data/data/####/SetOff.png
/data/data/####/SetOn.png
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/UpBox.png
/data/data/####/UpdateBoard.png
/data/data/####/UpdatePro.png
/data/data/####/UpdateSure.png
/data/data/####/UpdateSureLock.png
/data/data/####/UpdateTitle.png
/data/data/####/XinZF.xml
/data/data/####/XinZF_conf.xml
/data/data/####/a4b645a09e1352ed9a43ff469655db6d_3_1_5.dex
/data/data/####/a4b645a09e1352ed9a43ff469655db6d_3_1_5.zip.tmp
/data/data/####/a==8.1.1&&8.0.1_1572449830318_envelope.log
/data/data/####/addSpeedTitle.png
/data/data/####/att.ogg
/data/data/####/att.png
/data/data/####/attLight.png
/data/data/####/attLock.png
/data/data/####/background .png
/data/data/####/background.jpg
/data/data/####/background.png
/data/data/####/background1.jpg
/data/data/####/background1.png
/data/data/####/background2.jpg
/data/data/####/background2.png
/data/data/####/bgm_pack.png
/data/data/####/bgm_start_game.jpg
/data/data/####/bgm_welcomback.png
/data/data/####/big.ogg
/data/data/####/bigLoad.plist
/data/data/####/bigLoad.png
/data/data/####/bigOnLoad.ogg
/data/data/####/blood.png
/data/data/####/bloodBuy.png
/data/data/####/board.png
/data/data/####/board2.png
/data/data/####/bow.ogg
/data/data/####/btm_get_now.png
/data/data/####/btn_buy.png
/data/data/####/btn_buy_1.png
/data/data/####/btn_buy_2.png
/data/data/####/btn_buy_3.png
/data/data/####/btn_buy_scale.png
/data/data/####/btn_get.png
/data/data/####/btn_ok_scale.png
/data/data/####/btn_start_game.png
/data/data/####/buy.png
/data/data/####/buyDis.png
/data/data/####/buyLock.png
/data/data/####/c8ef51bca7c6ca597d96a5924f5daec5.xml
/data/data/####/c8ef51bca7c6ca597d96a5924f5daec5.xml.bak
/data/data/####/cCache.xml
/data/data/####/canSee.png
/data/data/####/check1.png
/data/data/####/check1Lock.png
/data/data/####/check2.png
/data/data/####/check2Lock.png
/data/data/####/check3.png
/data/data/####/check3Lock.png
/data/data/####/classes.dex
/data/data/####/classes.dve
/data/data/####/classes.jar
/data/data/####/com.SecShell.tmp2124
/data/data/####/com.SecShell.tmp2328
/data/data/####/com.SecShell.tmp2501
/data/data/####/com.SecShell.tmp2639
/data/data/####/com.SecShell.tmp2869
/data/data/####/com.SecShell.tmp3056
/data/data/####/com.SecShell.tmp3301
/data/data/####/congra_get_icon.png
/data/data/####/dW1weF9pbnRlcm5hbF8xNTcyNDQ5ODM1Nzcz;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTcyNDQ5ODMwMTc5;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTcyNDQ5ODQ4NDY4;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTcyNDQ5ODYwOTE1;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTcyNDQ5ODczNTU4;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTcyNDQ5ODg1NjMz;
/data/data/####/die.ogg
/data/data/####/doBuy.mp3
/data/data/####/door.png
/data/data/####/down.png
/data/data/####/downLock.png
/data/data/####/eat.plist
/data/data/####/eat.png
/data/data/####/enemy bow.plist
/data/data/####/enemy bow.png
/data/data/####/equCheck.png
/data/data/####/equip1.png
/data/data/####/equip2.png
/data/data/####/equip3.png
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/fire.png
/data/data/####/fireShow.png
/data/data/####/fly.ogg
/data/data/####/fly.plist
/data/data/####/fly.png
/data/data/####/flyGold.ogg
/data/data/####/forest.png
/data/data/####/game.json
/data/data/####/game.mid
/data/data/####/gift.ogg
/data/data/####/gift.plist
/data/data/####/gift.png
/data/data/####/gift1Title.png
/data/data/####/gift2Title.png
/data/data/####/giftBoard.png
/data/data/####/gold (1).tmx
/data/data/####/gold (2).tmx
/data/data/####/gold (3).tmx
/data/data/####/gold (4).tmx
/data/data/####/gold (5).tmx
/data/data/####/gold (6).tmx
/data/data/####/gold (7).tmx
/data/data/####/gold (8).tmx
/data/data/####/gold.ogg
/data/data/####/goldBoard.png
/data/data/####/goldBoardLock.png
/data/data/####/goldBuy.png
/data/data/####/hurt.ogg
/data/data/####/hurt.png
/data/data/####/i==1.2.0&&8.0.1_1572449830494_envelope.log
/data/data/####/i==1.2.0&&8.0.1_1572449861021_envelope.log
/data/data/####/i==1.2.0&&8.0.1_1572449885846_envelope.log
/data/data/####/icon1.png
/data/data/####/icon2.png
/data/data/####/icon3.png
/data/data/####/icon4.png
/data/data/####/info.xml
/data/data/####/jiepay_config.xml
/data/data/####/jiepayplugin.apk
/data/data/####/jiepayplugin.apkdata
/data/data/####/jiepayplugin.dex
/data/data/####/jump.png
/data/data/####/jump1.ogg
/data/data/####/jump2.ogg
/data/data/####/jumpLock.png
/data/data/####/jump_light.plist
/data/data/####/jump_light.png
/data/data/####/lb.db
/data/data/####/lb.db-journal
/data/data/####/light.jpg
/data/data/####/light.png
/data/data/####/lordBoard.png
/data/data/####/lordSure.png
/data/data/####/lordSureDis.png
/data/data/####/lordSureLock.png
/data/data/####/main.json
/data/data/####/main.mid
/data/data/####/main.png
/data/data/####/mainBoard.png
/data/data/####/man1.ExportJson
/data/data/####/man10.plist
/data/data/####/man10.png
/data/data/####/man1Hand1.png
/data/data/####/man1Hand2.png
/data/data/####/man2Hand1.png
/data/data/####/man2Hand2.png
/data/data/####/map0.tmx
/data/data/####/map1.tmx
/data/data/####/map10.tmx
/data/data/####/map11.tmx
/data/data/####/map12.tmx
/data/data/####/map13.tmx
/data/data/####/map14.tmx
/data/data/####/map15.tmx
/data/data/####/map16.tmx
/data/data/####/map17.tmx
/data/data/####/map18.tmx
/data/data/####/map2.tmx
/data/data/####/map3.tmx
/data/data/####/map4.tmx
/data/data/####/map5.tmx
/data/data/####/map6.tmx
/data/data/####/map7.tmx
/data/data/####/map8.tmx
/data/data/####/map9.tmx
/data/data/####/max.png
/data/data/####/menu.mp3
/data/data/####/menu1.png
/data/data/####/menu2.png
/data/data/####/menu3.png
/data/data/####/menu4.png
/data/data/####/menu5.png
/data/data/####/menuCancel.png
/data/data/####/menuCancelLock.png
/data/data/####/menuClose.png
/data/data/####/menuCloseLock.png
/data/data/####/menuSure.png
/data/data/####/menuSureLock.png
/data/data/####/moneyBoard.png
/data/data/####/moneyBoardLock.png
/data/data/####/moneyBuy.png
/data/data/####/newScore.png
/data/data/####/nice1.png
/data/data/####/nice2.png
/data/data/####/nice3.png
/data/data/####/noob_pack_icon.png
/data/data/####/num1.png
/data/data/####/num2.png
/data/data/####/num3.png
/data/data/####/over.ogg
/data/data/####/overBoard.png
/data/data/####/overLight.png
/data/data/####/overLight2.png
/data/data/####/p.png
/data/data/####/page.ogg
/data/data/####/pause.png
/data/data/####/pauseBoard.png
/data/data/####/pauseLock.png
/data/data/####/pauseMenu1.png
/data/data/####/pauseMenu1Lock.png
/data/data/####/pauseMenu2.png
/data/data/####/pauseMenu2Lock.png
/data/data/####/point.png
/data/data/####/power.png
/data/data/####/powerBoard.png
/data/data/####/protect.png
/data/data/####/protect1.ogg
/data/data/####/relive.png
/data/data/####/return.png
/data/data/####/returnLock.png
/data/data/####/root.plist
/data/data/####/root.png
/data/data/####/score20.png
/data/data/####/set.png
/data/data/####/setLock.png
/data/data/####/shopCount.png
/data/data/####/shopShow1.png
/data/data/####/shopShow2.png
/data/data/####/shopShow3.png
/data/data/####/shopShowPro.png
/data/data/####/sign.png
/data/data/####/signContentDay.png
/data/data/####/signDisable.png
/data/data/####/signLock.png
/data/data/####/signSign.png
/data/data/####/snow.png
/data/data/####/speedLine.png
/data/data/####/sprite.png
/data/data/####/star.png
/data/data/####/start.png
/data/data/####/startLight.png
/data/data/####/startLight2.png
/data/data/####/startLock.png
/data/data/####/start_rege_icon.png
/data/data/####/sure.png
/data/data/####/sureLock.png
/data/data/####/t==8.1.1&&8.0.1_1572449830198_envelope.log
/data/data/####/task1.png
/data/data/####/task2.png
/data/data/####/taskBoard.png
/data/data/####/taskDis.png
/data/data/####/taskDisable.png
/data/data/####/taskMenu.png
/data/data/####/taskMenuLock.png
/data/data/####/taskPro.png
/data/data/####/tips1.png
/data/data/####/tips2.png
/data/data/####/title1.png
/data/data/####/title2.png
/data/data/####/tool1.png
/data/data/####/tool2.png
/data/data/####/tool3.png
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/up.ogg
/data/data/####/vip.png
/data/data/####/warn.ogg
/data/data/####/warning.png
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.umm.dat
/data/media/####/plugin.apk
/data/media/####/sysid.dat
/data/media/####/z.jar

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/su
app_process system/bin com.google.provider.vendor.tool.Main /storage/emulated/0/goog1e/data/plugin.apk
ls -l /system/bin/su
ls /
ls /sys/class/thermal
sh
sh -c cat /sys/block/mmcblk0/device/cid
sh -c cat /sys/class/net/wlan0/address

Загружает динамические библиотеки:

SecShell
cocos2dcpp
libSecShell-x86
n3e98b
plugManager

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
DES-CBC-PKCS5Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
DES-CBC-PKCS5Padding

Использует повышенные привилегии.

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Отрисовывает собственные окна поверх других приложений.

Парсит информацию из SMS.

Получает информацию об отправленых/принятых SMS.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней