Android.DownLoader.4759

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.DownLoader.363.origin
Android.DownLoader.906.origin
Android.DownLoader.909.origin
Android.Triada.248.origin
Android.Triada.373.origin
Android.Triada.482.origin
Android.Triada.483.origin

Загружает из Интернета следующие детектируемые угрозы:

Android.DownLoader.363.origin
Android.DownLoader.906.origin
Android.DownLoader.909.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) zgx.powerle####.com:80
TCP(HTTP/1.1) i.t####.com:80
TCP(HTTP/1.1) a.bjsd####.com:80
TCP(HTTP/1.1) z####.n####.com:20193
TCP(HTTP/1.1) cdn.clou####.xyz:80
TCP(HTTP/1.1) daliu####.c####.qini####.com:80
TCP(HTTP/1.1) g####.mc####.com:9013
TCP(HTTP/1.1) www.meto####.com:7079
TCP(HTTP/1.1) z.c####.com:80
TCP(HTTP/1.1) z####.heyc####.net:80
TCP(HTTP/1.1) jp####.njt####.com:10091
TCP(HTTP/1.1) w####.pcon####.com.cn:80
TCP(HTTP/1.1) yq####.jn####.ltd:80
TCP(HTTP/1.1) d####.dd7####.com:80
TCP(HTTP/1.1) www.meto####.com:10026
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) ny.bul####.cn:666
TCP(HTTP/1.1) gd.a.s####.com:80
TCP(HTTP/1.1) e4####.0r####.com:10293
TCP(HTTP/1.1) le####.gl####.cn:80
TCP(HTTP/1.1) j####.o####.com:20193
TCP(HTTP/1.1) php.sho####.com:80
TCP(HTTP/1.1) ym####.89####.com:34656
TCP(HTTP/1.1) d.sho####.com:80
TCP(HTTP/1.1) p####.sho####.com:80
UDP(NTP) 2.and####.p####.####.org:123
TCP(SSL/3.0) api.c####.info####.cn:443
TCP(TLS/1.0) gv1.x####.com:443
TCP(TLS/1.0) c####.x####.com:443
TCP(TLS/1.0) api.c####.info####.cn:443
UDP 2####.255.255.255:67
TCP 1####.168.114.254:34072

Запросы DNS:

2.and####.p####.####.org
a.bjsd####.com
a3####.fj####.cn
api.c####.info####.cn
c####.x####.com
cdn.clou####.xyz
d####.dd7####.com
d.sho####.com
e4####.0r####.com
g####.mc####.com
gv1.x####.com
i.t####.com
j####.o####.com
jp####.njt####.com
l.ace####.com
le####.gl####.cn
loc.map.b####.com
mt####.go####.com
nfsjar####.funu####.com
ny.bul####.cn
ny.liz####.com
p####.sho####.com
php.sho####.com
pv.s####.com
sn####.kv####.com
w####.pcon####.com.cn
www.meto####.com
ym####.89####.com
yq####.jn####.ltd
z####.heyc####.net
z####.n####.com
z12.c####.com
z2.c####.com
z3.c####.com
z5.c####.com
z6.c####.com
z9.c####.com
zgx.powerle####.com

Запросы HTTP GET:

cdn.clou####.xyz/jar/365admo.jar
cdn.clou####.xyz/jar/ad367.jar
cdn.clou####.xyz/jar/adm0816.jar
cdn.clou####.xyz/jar/js1029.jar
cdn.clou####.xyz/jar/miqiu0925.jar
cdn.clou####.xyz/jar/one0805.jar
cdn.clou####.xyz/jar/san404_0924.jar
cdn.clou####.xyz/jar/santi0924.jar
cdn.clou####.xyz/jar/sm1023.jar
cdn.clou####.xyz/jar/stsp1030.jar
d####.dd7####.com//upload/plog/cvfd.jar
d####.dd7####.com//upload/sdk2/pappdex20191030.jar
d####.dd7####.com/upload/plog/bghu.jar
d####.dd7####.com/upload/sdk2/JAR31dex20190530.jar
d####.dd7####.com/upload/sdk2/sdk330dex20191009.jar
d####.dd7####.com/upload/sdk3/infodex20190809.jar
d####.dd7####.com/upload/sdk3/kzd20190809.jar
daliu####.c####.qini####.com/uploadToEnCode/1561429426558321.jar
i.t####.com/a/3f1015e9bf50ada78026b1c25e124f454
le####.gl####.cn/c/303jkjgyrt.zip
le####.gl####.cn/one/330-lkjnjhy.zip
le####.gl####.cn/zz/330jm-jkhjgyty.zip
yq####.jn####.ltd/sy/ebvxtj
z.c####.com/stat.htm?id=####&cnzz_eid=####
zgx.powerle####.com/dnfile/cmm/PWrap191102.jar

Запросы HTTP POST:

a.bjsd####.com/index.php?r=####
d.sho####.com/index.php?r=####
e4####.0r####.com:10293/widlth/
e4####.0r####.com:10293/xkeila/
g####.mc####.com:9013/nfs/nf_s/c_s_u
g####.mc####.com:9013/nfs/nf_s/g_s
g####.mc####.com:9013/nfs/nf_s/u_j
gd.a.s####.com/cityjson
j####.o####.com:20193/h3wkt/
jp####.njt####.com:10091/wisdom/marking
loc.map.b####.com/sdk.php
ny.bul####.cn:666/slsdk/getdata.aspx
p####.sho####.com/index.php?r=####
php.sho####.com/index.php?r=####
w####.pcon####.com.cn/ip.jsp
www.meto####.com:10026/GetIPLoction
www.meto####.com:7079/GetAdConfig.ashx
www.meto####.com:7079/mtappreg.ashx
ym####.89####.com:34656/ixowf/
ym####.89####.com:34656/qdkle/
ym####.89####.com:34656/rqiea/
z####.heyc####.net/getlist
z####.heyc####.net/xlogin
z####.n####.com:20193/kaub9/
z####.n####.com:20193/xr8ex/

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1163196215104703483
/data/data/####/-1699344198-1971682387
/data/data/####/-c9fUEuYF3vES-8dsq8mM5bT_hg=.new
/data/data/####/.ee6c713e-10ce-4ae0-b706-0349cea0cd91
/data/data/####/.verify
/data/data/####/1573048290349_2128
/data/data/####/1573048292174_2128
/data/data/####/1573048293064_2205
/data/data/####/1573048293959_2128
/data/data/####/1573048295233_2128
/data/data/####/1573048295342_2205
/data/data/####/1573048295938_2128
/data/data/####/1573048296166_2205
/data/data/####/1573048296235_2128
/data/data/####/1573048296664_2128
/data/data/####/1573048296882_2128
/data/data/####/1573048298043_2128
/data/data/####/1573048305553_2348
/data/data/####/1573048307900_2348
/data/data/####/1573048309241_2398
/data/data/####/1573048312149_2398
/data/data/####/1573048332957_3846
/data/data/####/1573048336059_4068
/data/data/####/1573048338709_4068
/data/data/####/15730483731561429426558321_.jar
/data/data/####/1573048381680_6021
/data/data/####/1ZNsvxA4fkGfRSYMULWV007_Y_5wVP3aHAaj4A==.new
/data/data/####/44367F39739CCD6BBF960E91E7DB78B2.xml
/data/data/####/4B8DB6B83129A65A2EF4DCFC1393C3B0.xml
/data/data/####/4h4tHC7GmdkzFopdSq0mZg==.new
/data/data/####/50cslWQHFdqvIzPfJvDq1GfUXD6JRIZj.new
/data/data/####/5WuAeTSAMuHSm2t7y-fjBcmRzYshJHyzxQ5tXg==.new
/data/data/####/8EAD111D030291821E19A80E344C340A.xml
/data/data/####/AM9bVYpTNNGq-2NE2vKA0HXKYhs=.new
/data/data/####/Archimedes_p1
/data/data/####/Archimedes_p2
/data/data/####/Archimedes_p3
/data/data/####/Archimedes_p4
/data/data/####/Archimedes_p5
/data/data/####/BScMxkzgmyM35l3roCLfSD0AUDE=.new
/data/data/####/E-dVfKu3Bj58UsL5lBA_kLe92WtVqb6V.new
/data/data/####/Hv7ZGU8S9xqsK2RtYVodPChzim2wxB5wvtDUx0ghK1U=.new
/data/data/####/IHSfF1Y3vgHn6SB0KL2GTNY5-72kgKUJ.new
/data/data/####/IRrFnr2-ihjsUlohj0e5lTEySSAR3gd9.new
/data/data/####/Im-GUUqkGvorh-b-MbU6wg==.new
/data/data/####/Jlyrn5sxEacIbiiPPRJL9hnm_3Q=.new
/data/data/####/METOO_FILE.xml
/data/data/####/MRSwdwWEdxt8di5M.new
/data/data/####/NRuQEj1FVIVLqOnVORnfWpAhX7I=
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TD_app_pefercen_profile.xml.bak
/data/data/####/TDpref_cloudcontrol3.xml
/data/data/####/TDpref_game.xml
/data/data/####/TDpref_longtime.xml
/data/data/####/TDpref_longtime3.xml
/data/data/####/TDpref_shorttime.xml
/data/data/####/Vb5CsZIp796uDnlFfi-_Wm17ZIvAJRGWc4pmoQ==.new
/data/data/####/WA4MksYWWUo_2_If
/data/data/####/WDFiADscWfhnkoEDUpyuBflLCDc=.new
/data/data/####/YPtHD37Ne1sD15Jbo0d3cw==.new
/data/data/####/_p.xml
/data/data/####/_sh.xml
/data/data/####/a73b79523b562dbcafd907e6b012a501;account_file.xml
/data/data/####/adpsdk.apk
/data/data/####/bizlog_dao.db-journal
/data/data/####/c.dat
/data/data/####/cfdsd.xml
/data/data/####/cfdsd.xml.bak
/data/data/####/cfdsd.xml.bak (deleted)
/data/data/####/cn.sirius.adpsdk.loader.apk
/data/data/####/cn.uc.gamesdk.pref.xml
/data/data/####/com.wq.PixelBumperCar.uc.v2.playerprefs.xml
/data/data/####/com.wq.PixelBumperCar.uc_preferences.xml
/data/data/####/cpl0q3.data-journal
/data/data/####/cpl0q3.xml
/data/data/####/deRERtWEXvFbyQQUI6F0fZ7F7EL-XmEZoDFMAGdCiFA=.new
/data/data/####/dewsds.data-journal
/data/data/####/domjb.data-journal
/data/data/####/donwswsmob.data-journal
/data/data/####/dpi
/data/data/####/dzbcsa.xml
/data/data/####/dzbcsa.xml.bak (deleted)
/data/data/####/edrwsfex.xml
/data/data/####/edrwsfex.xml.bak
/data/data/####/edrwsfex.xml.bak (deleted)
/data/data/####/epmk.xml
/data/data/####/fDFX8qKlkBrjL_lDLf6Rs2CO4Ts=.new
/data/data/####/fe_w00h0ZHs4EOy_FpfiHrOcfInGMfMQ_KucDaXmBlCnALf...3pHco=
/data/data/####/fe_w00h0ZHs4EOy_FpfiHrOcfInGMfMQ_KucDaXmBlCnALf...ournal
/data/data/####/fe_w00h0ZHs4EOy_FpfiHrOcfInGMfMQ_aC_mWSK8Ruciul2q
/data/data/####/fe_w00h0ZHs4EOy_FpfiHrOcfInGMfMQ_aC_mWSK8Ruciul2q-journal
/data/data/####/fe_w00h0ZHs4EOy_FpfiHrOcfInGMfMQ_fYk8dx1kNOxc2oWE-journal
/data/data/####/fe_w00h0ZHs4EOy_FpfiHrOcfInGMfMQ_iQWK3LqpsYWgxYo0-journal
/data/data/####/fe_w00h0ZHs4EOy_FpfiHrOcfInGMfMQ_vOZUxJauXD3kDb...ournal
/data/data/####/fe_w00h0ZHs4EOy_FpfiHrOcfInGMfMQ_vOZUxJauXD3kDb_SHINHNA==
/data/data/####/fe_w00h0ZHs4EOy_FpfiHrOcfInGMfMQ_zRHZKqh4qRGfTF...ournal
/data/data/####/fe_w00h0ZHs4EOy_FpfiHrOcfInGMfMQ_zRHZKqh4qRGfTFYBzFoppQ==
/data/data/####/flbepfqb.jar
/data/data/####/gameid
/data/data/####/gameid.zip
/data/data/####/hffjhas.data-journal
/data/data/####/hid.db
/data/data/####/iVYViMrcR5m8t738WMYgNc3Ctu8vaJvN.new
/data/data/####/i_55peBPq7MBXbfKWtEdD-KOapJKZ9NA.new
/data/data/####/is69y9I0hQTixELSpABaIeqbMv0tBkNVpelvELdj_3s=.new
/data/data/####/iv
/data/data/####/jt8MmxMXdFVsIP9jiaXXQg==
/data/data/####/kNFe6CY-_6T68hde1tKdGejPsxeGF5fq.new
/data/data/####/lQjYMUkmqWbBhCWs79c6otzCkYc=.new
/data/data/####/lib_ucsdk_softlink.so
/data/data/####/lib_ucsdk_xcrypt.so
/data/data/####/libtzimkc.so
/data/data/####/libtzimkc.so-32
/data/data/####/libtzimkc.so-64
/data/data/####/lwz.xml
/data/data/####/lwz.xml.bak
/data/data/####/lwz.xml.bak (deleted)
/data/data/####/nggvdd.data-journal
/data/data/####/onvwsba.xml
/data/data/####/onvwsba.xml.bak
/data/data/####/onvwsba.xml.bak (deleted)
/data/data/####/onwsewsba.xml
/data/data/####/onwsewsba.xml.bak (deleted)
/data/data/####/pI3g6i0e29ee4cmI
/data/data/####/prdopt.xml
/data/data/####/qjotck.png
/data/data/####/qrypua_f.zip
/data/data/####/rdata_comwuavensf.new
/data/data/####/ro4xFhymmHawJKdvO5M12J_VtXEe2pOqWGYskjoB1WQ=.new
/data/data/####/runner_info.prop.new
/data/data/####/sQ18mm3VkiUKHeQo.zip
/data/data/####/salt
/data/data/####/sjhesq.data-journal
/data/data/####/sv6rXLzuTurAQEm6wz679oqeKrQ=.new
/data/data/####/tdid.xml
/data/data/####/tmpbl.jar
/data/data/####/tmpbl.jar_tmp
/data/data/####/ugmarssp.xml
/data/data/####/user_register_info.xml
/data/data/####/v0W6iDRBMFwSJ0h0NDKhKk7ZlTuNBsG2.new
/data/data/####/version.ini
/data/data/####/wAHsZSj8demAEp3LAtx0Sw==
/data/data/####/wbwgdesf.xml
/data/data/####/webview.db-journal
/data/data/####/wfcwsf.xml
/data/data/####/wfcwsf.xml.bak
/data/data/####/wfcwsf.xml.bak (deleted)
/data/data/####/wjjfdwsf.xml
/data/data/####/wjjfdwsf.xml.bak (deleted)
/data/data/####/wjrwwwsswsf.xml
/data/data/####/wjrwwwsswsf.xml.bak (deleted)
/data/data/####/wswsaawsdxf.data-journal
/data/data/####/wtwtggs.data-journal
/data/data/####/wwfdswf.data-journal
/data/data/####/wwsrswf.data-journal
/data/data/####/wwsse.xml
/data/data/####/wwsse.xml.bak
/data/data/####/yd_config_c.xml
/data/media/####/.nid
/data/media/####/.odv
/data/media/####/.tcookieid
/data/media/####/.up
/data/media/####/.usdis
/data/media/####/.uunique.new
/data/media/####/15730483731561429426558321.jar
/data/media/####/201B795629C0CC90B1674AC279727C7B
/data/media/####/2448FE0151C6E68D9D4318F5F1D04F62.jar
/data/media/####/2448FE0151C6E68D9D4318F5F1D04F62.temp
/data/media/####/365admo.jar
/data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
/data/media/####/6175498551D69C57A6ECC3A59C5E1286.temp
/data/media/####/6175498551D69C57A6ECC3A59C5E1286.zip
/data/media/####/9A3CED412AF1D1344306FD186890A713.jar
/data/media/####/9A3CED412AF1D1344306FD186890A713.temp
/data/media/####/BCC41DA60E423846271F61A98DFE1E38
/data/media/####/C2174CA892CE88E1F9A05ECB4271DEA9.temp
/data/media/####/C69F3985DF04E7196BE7743ABE37A2DC
/data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
/data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
/data/media/####/JAR31dex20190530.jar
/data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
/data/media/####/_pn
/data/media/####/_shn
/data/media/####/ad367.jar
/data/media/####/adm0816.jar
/data/media/####/bghu.jar
/data/media/####/cvfd.jar
/data/media/####/debug_2019110616.preload.log
/data/media/####/engc.jar
/data/media/####/infodex20190809.jar
/data/media/####/kzd20190809.jar
/data/media/####/miqiu0925.jar
/data/media/####/one0805.jar
/data/media/####/pappdex20191030.jar
/data/media/####/r_pkDgN4OhnkSa0D
/data/media/####/san404_0924.jar
/data/media/####/santi0924.jar
/data/media/####/sdk330dex20191009.jar
/data/media/####/sm1023.jar
/data/media/####/stsp1030.jar
/data/media/####/tmpbl.jar

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/sh
<Package Folder>/code-9013617/pI3g6i0e29ee4cmI -p <Package> -c com.wuav.ensf.blender.AvocadoReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
cat /proc/version
cat /sys/class/android_usb/android0/idProduct
cat /sys/class/android_usb/android0/idVendor
cat /sys/class/net/wlan0/address
getprop
getprop ro.board.platform
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.vivo.os.version
getprop ro.yunos.version
ls -l /dev
ls -l /dev/block
ls -l /dev/block/vold
ls -l /dev/bus
ls -l /dev/bus/usb
ls -l /dev/bus/usb/001
ls -l /dev/com.android.settings.daemon
ls -l /dev/cpuctl
ls -l /dev/cpuctl/apps
ls -l /dev/cpuctl/apps/bg_non_interactive
ls -l /dev/graphics
ls -l /dev/input
ls -l /dev/log
ls -l /dev/pts
ls -l /dev/snd
ls -l /dev/socket
ps
sh <Package Folder>/code-9013617/pI3g6i0e29ee4cmI -p <Package> -c com.wuav.ensf.blender.AvocadoReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung

Загружает динамические библиотеки:

AudioPluginMsHRTF
AudioPluginOculusSpatializer
libAudioPluginOculusSpatializer
lib_ucsdk_softlink
lib_ucsdk_xcrypt
libtzimkc
main

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
DES
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-PKCS5Padding
DES
RSA-None-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию о настроках APN.

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней