Android.Packed.49141

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.DownLoader.861.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) www.howq####.cn:80
TCP(HTTP/1.1) p####.howq####.cn:8809
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) sv.g####.qq.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) qzones####.g####.cn.####.com:80
TCP(HTTP/1.1) p0.ssl.q####.com:80
TCP(HTTP/1.1) www.i####.com:80
TCP(HTTP/1.1) p####.ugd####.com.####.com:80
TCP(HTTP/1.1) sf3-ttc####.ps####.com:80
TCP(HTTP/1.1) w####.pcon####.com.cn:80
TCP(HTTP/1.1) p3.ssl.q####.com:80
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) mi.g####.qq.com:80
TCP(HTTP/1.1) c.isds####.qq.com:80
TCP(HTTP/1.1) imgc####.qq.com.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(TLS/1.0) ti####.c####.l####.####.com:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) sf1-ttc####.ps####.com:443
TCP(TLS/1.0) p####.howq####.cn:8809
TCP(TLS/1.0) sf6-ttc####.ps####.com.####.com:443
TCP(TLS/1.0) sf3-ttc####.ps####.com:443
TCP(TLS/1.0) s####.e.qq.com:443
TCP(TLS/1.0) www.howq####.cn:443
TCP(TLS/1.0) www.i####.com:443
TCP(TLS/1.0) bj####.j####.cn:443
TCP(TLS/1.0) d####.c####.l####.####.com:443
TCP 1####.232.25.175:21000
TCP 43.2####.88.96:7008
UDP s.j####.cn:19000
UDP p####.howq####.cn:8087

Запросы DNS:

2####.i####.com
a####.exc.mob.com
and####.b####.qq.com
bj####.j####.cn
c.isds####.qq.com
dl.mfbi####.com
easytom####.com
imgc####.qq.com
is.sn####.com
l####.tbs.qq.com
mi.g####.qq.com
p####.howq####.cn
p####.howq####.cn
p####.ugd####.com
p0.ssl.q####.com
p3.ssl.q####.com
pic.fantu####.cn
plb####.u####.com
qzones####.g####.cn
s####.e.qq.com
s.j####.cn
s2.z####.cn
sf1-ttc####.ps####.com
sf3-ttc####.ps####.com
sf6-ttc####.ps####.com
sis.j####.io
sv.g####.qq.com
u####.u####.com
w####.pcon####.com.cn
www.howq####.cn
www.i####.com
www.i####.com

Запросы HTTP GET:

c.isds####.qq.com/code.cgi?domain=####&time=####&rate=####&code=####&typ...
d####.c####.l####.####.com/bookimg_800000288143?imageVi####
d####.c####.l####.####.com/bookimg_800000291165?imageVi####
imgc####.qq.com.####.com/qzone/biz/gdt/mod/android/AndroidAllInOne/progu...
mi.g####.qq.com/gdt_mview.fcg?actual_width=####&count=####&r=####&templa...
p####.howq####.cn:8809/2019.ip138.com/ic.asp
p####.howq####.cn:8809/whois.pconline.com.cn/ipJson.jsp
p####.howq####.cn:8809/www.iqiwx.com/book/27/27590/
p####.howq####.cn:8809/www.iqiwx.com/book/27/27590/398195.html
p####.howq####.cn:8809/www.iqiwx.com/book/27/27590/398196.html
p####.howq####.cn:8809/www.iqiwx.com/book/27/27590/398197.html
p####.ugd####.com.####.com/gdt/0/DAA3BmhAUAALQABHBdzUKeBuJJfwCX.jpg/0?ck...
p####.ugd####.com.####.com/gdt/0/DAA3BmhAUAALQABoBdzpbnC2Un4Slv.jpg/0?ck...
p####.ugd####.com.####.com/gdt/0/DAA3BmhAUAALQABtBdzpboBqHboEP0.jpg/0?ck...
p0.ssl.q####.com/d/novel_5801090176056627556.jpg
p0.ssl.q####.com/d/novel_7410348175230398340.jpg
p3.ssl.q####.com/d/novel_6878276284928957140.jpg
qzones####.g####.cn.####.com/qzone/biz/gdt/mob/sdk/v2/android03/js-relea...
sf3-ttc####.ps####.com/ims?kt=####&at=####&key=####&sign=yx####&tv=####&...
sf3-ttc####.ps####.com/ims?kt=####&at=####&key=aHR####&sign=yx####&tv=##...
sv.g####.qq.com/gdt_stats.fcg?viewid=####&i=####&os=####&xp=####&pre_as=...
w####.pcon####.com.cn/ipJson.jsp
www.howq####.cn/fantuan/banner/bannertableplaquelist?sign=####&timestamp...
www.howq####.cn/fantuan/bookrack/getBookrackWithNologin?sign=####&timest...
www.howq####.cn/fantuan/domain/getDomainShield
www.howq####.cn/fantuan/user/getThemes?sign=####&timestamp=####&interfac...
www.i####.com/book/27/27590/
www.i####.com/book/27/27590/398195.html
www.i####.com/book/27/27590/398196.html
www.i####.com/book/27/27590/398197.html

Запросы HTTP POST:

a####.exc.mob.com/errconf
and####.b####.qq.com/rqd/async?aid=####
l####.tbs.qq.com/ajax?c=####&k=####
l####.tbs.qq.com/ajax?c=####&v=####&k=####
s####.e.qq.com/activate
s####.e.qq.com/getad
www.howq####.cn/fantuan/config/getConfig
www.howq####.cn/fantuan/device/registration
www.howq####.cn/fantuan/rule_v2/getRuleJson

Изменения в файловой системе:

Создает следующие файлы:

/data/anr/traces.txt
/data/data/####/-1127729055-1266689676
/data/data/####/-5998622401067643521
/data/data/####/.duid
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.vpl_lock
/data/data/####/06711ea5-18aa-4022-9713-0c82ab24e911
/data/data/####/1002
/data/data/####/1004
/data/data/####/1021689741840853517
/data/data/####/10us1s6b4m34d2ulmgo7gfngq.0.tmp
/data/data/####/129a8f81-845b-434d-bf00-64fa26c951c9
/data/data/####/1b2aq22l1j4061jx8en07h41l.0.tmp
/data/data/####/1clbq8wqwkq63rouq75o43pc8.0.tmp
/data/data/####/1gr0ot5o48auez9cbey40vnrm.0.tmp
/data/data/####/1iywdguop2wch4vre807ty0kg.0.tmp
/data/data/####/1juur52jcf1ccv994xtip5d84.0.tmp
/data/data/####/1lmyrw4xo2ax9y6ebmcoikn9y.0.tmp
/data/data/####/1nvhevfv96l2rdki35gxqwz51.0.tmp
/data/data/####/1x61fn9dagqm4s8virk6os3fd.0.tmp
/data/data/####/2483.yaqcookie
/data/data/####/27da3e56-3ffa-4bc0-8bee-e05b9ad1d8fd
/data/data/####/2juh8js147xp47tt1i51r4364.0.tmp
/data/data/####/2wcj6oar4vwhzug6uolk9ny0q.0.tmp
/data/data/####/38iasyen3yhjxedrbtb1it5k.0.tmp
/data/data/####/3aebeeiirsjxejnk9nmkk8380.0.tmp
/data/data/####/3gaxzp9lgkhvtp7a48row1iyd.0.tmp
/data/data/####/3lc92nqe1jtntycfcs9z3gldx.0.tmp
/data/data/####/3r6qm7ltzwc9nb5f3v2jso7fb.0.tmp
/data/data/####/41ae7ursdwzx5s9g36po6yo7m.0.tmp
/data/data/####/43ivdpvlbc6ofrqdtekwmy9hn.0.tmp
/data/data/####/45qi86rsif6w5723aatbnh0r5.0.tmp
/data/data/####/4681a5a9-0de7-4a72-bfbd-e07328a6c72d
/data/data/####/469neeh7k1al2wtfrpcm7rttt.0.tmp
/data/data/####/4kdeewld57297va6xc899cz7g.0.tmp
/data/data/####/4llaly0m8y2cc9zyuig59upd.0.tmp
/data/data/####/4qatwoxjv1u05f3zz5vnahbyb.0.tmp
/data/data/####/4t8n4ljksjr3dob0aogt2owty.0.tmp
/data/data/####/55a9vctw0x0w4ibgnxjnvo9n1.0.tmp
/data/data/####/58s6v45xpnrkjajxp4xuvtsu6.0.tmp
/data/data/####/5grgvhy83pfu2dsssn2anq50z.0.tmp
/data/data/####/5ht0eey46fgkc5iud380jfwww.0.tmp
/data/data/####/5luh6owiul0b8vaol999ndypp.0.tmp
/data/data/####/5mkgf5cxachmo3g5p4e9gs64r.0.tmp
/data/data/####/5oe1bcj59yexg3px6zg2c1wy0.0.tmp
/data/data/####/67epni98xg405lkv7mafrefbf.0.tmp
/data/data/####/6e35jma09jg1qiclwvq9vd6h5.0.tmp
/data/data/####/6tilqvrz9swp27c1w63p7j90c.0.tmp
/data/data/####/6zp99ckv3kwjw1cmyhw77zxfj.0.tmp
/data/data/####/768e3b67-87ca-46f8-8acd-1150f67c6952
/data/data/####/78jotrg9a5etg9m17popk46bn.0.tmp
/data/data/####/7erpc7pb03n1qxshhe35aesqf.0.tmp
/data/data/####/7fs1kgu3ujlh7sf2mqvxk4fhd.0.tmp
/data/data/####/7hclq9xglf6bfqbs6hvukz9uo.0.tmp
/data/data/####/Alvin2.xml
/data/data/####/BUGLY_COMMON_VALUES.xml
/data/data/####/BuglySdkInfos.xml
/data/data/####/ContextData.xml
/data/data/####/CookiePrefsFile.xml
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/IpInfos.xml
/data/data/####/MultiDex.lock
/data/data/####/Novel.db-journal
/data/data/####/Push_Page_Config.xml
/data/data/####/TRANS_CONFIG.xml
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/WapToPc.json
/data/data/####/WapToPc.json_bak
/data/data/####/a==8.0.2&&1.1.7_1574403902097_envelope.log
/data/data/####/ad_strategy.db-journal
/data/data/####/bal.catch
/data/data/####/bc.config
/data/data/####/bugly_db_-journal
/data/data/####/bwc.catch
/data/data/####/catalog_rule.json
/data/data/####/cn.jiguang.common.xml
/data/data/####/cn.jiguang.sdk.address.xml
/data/data/####/cn.jiguang.sdk.share.profile.xml
/data/data/####/cn.jiguang.sdk.user.profile.xml
/data/data/####/cn.jiguang.sdk.user.set.profile.xml
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.config.xml
/data/data/####/cn.jpush.preferences.v2.rid.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/com.mfxxsqxjyt.BETA_VALUES.xml
/data/data/####/content_trans_rule_v2.json
/data/data/####/content_trans_rule_v2.json_bak
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNTc0NDAzODg1Mjc3;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTc0NDAzODk2MDI5;
/data/data/####/da666858-0ff5-4435-af1f-c277f00eb65c
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/debug.conf
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/dir-map.xml
/data/data/####/disposable-res.xml
/data/data/####/download_upload
/data/data/####/downloader.db-journal
/data/data/####/e9cc6a8a-84d3-4cd6-8329-d6ce7ca17c99
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/fw1znfk878tgh8r0u91w67fn.0.tmp
/data/data/####/gdt_config.cfg
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_plugin.tmp.sig
/data/data/####/gdt_stat.db
/data/data/####/gdt_stat.db-journal
/data/data/####/gdt_suid
/data/data/####/global-info.xml
/data/data/####/i==1.2.0&&1.1.7_1574403885379_envelope.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/j4io0iud5pze5a1vnaw3ls74.0.tmp
/data/data/####/journal.tmp
/data/data/####/libjiagu-802909295.so
/data/data/####/libyaqbasic.c89e9804.so
/data/data/####/libyaqpro.c89e9804.so
/data/data/####/list_rule.json
/data/data/####/list_rule.json_bak
/data/data/####/local_crash_lock
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/native_record_lock (deleted)
/data/data/####/personal-info.xml
/data/data/####/push_stat_cache.json
/data/data/####/read_setting.xml
/data/data/####/readsetting.xml
/data/data/####/rl.catch
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/security_info
/data/data/####/sensorsRecommendBook.xml
/data/data/####/sp_ft_uuid.xml
/data/data/####/systemHeads.xml
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbs_pv_config
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tt_sdk_settings.xml
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopensdk.db-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/update_lc
/data/data/####/user_pendant.xml
/data/data/####/wap_rule.json
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/y9y2syxz6ux0c6jlb7h1w9hk.0.tmp
/data/data/####/yaq.c89e9804.sec
/data/data/####/yaqsdkcookie
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.artc_lock
/data/media/####/.bs_lock
/data/media/####/.cc1b8c010b0e3e56583211c55f74cdf0-temp-1574403886586
/data/media/####/.cca.dat
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.du_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.gm_lock
/data/media/####/.im_lock
/data/media/####/.lesd_lock
/data/media/####/.mn_1360822780
/data/media/####/.nomedia
/data/media/####/.pkg_lock
/data/media/####/.pkgs_lock
/data/media/####/.push_deviceid
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/.ss_lock
/data/media/####/.umm.dat
/data/media/####/06ed0cebce9d47d5489177b41ed082a8.tmp
/data/media/####/12ce5e9737830a2e29d4de2e2ed114d8.tmp
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/diskcache-398195-temp-1574403921320
/data/media/####/diskcache-398196-temp-1574403922773
/data/media/####/diskcache-398197-temp-1574403922856
/data/media/####/diskcache-800000111440-temp-1574403919711
/data/media/####/getConfig{}-temp-1574403902137
/data/media/####/tbslog.txt
/data/media/####/temp_pkg_info.json

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
cat /sys/class/net/wlan0/address
getprop
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.letv.release.version
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.smartisan.version
getprop ro.vivo.os.build.display.id
getprop ro.vivo.os.version
ls /
ls /sys/class/thermal
ps

Загружает динамические библиотеки:

Bugly
X86Bridge
libjiagu-802909295
libyaqbasic.c89e9804
libyaqpro.c89e9804
native-lib
nms

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
DESede-ECB-PKCS5Padding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-NoPadding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
DES-CBC-PKCS5Padding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней