Android.Hidden.8111

Техническая информация

Вредоносные функции:

Скрывает свою иконку с экрана.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) q####.c####.l####.####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) www.weica####.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) cdn-sdk####.g####.com.####.com:80
TCP(HTTP/1.1) amdc####.m.ta####.com:80
TCP(HTTP/1.1) 47.93.1####.141:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP cm-1####.ig####.com:5226
TCP 1####.134.98.75:5224
TCP zb-cent####.m.ta####.com:443

Запросы DNS:

7j####.c####.z0.####.com
a####.exc.mob.com
a####.man.aliy####.com
ag####.m.ta####.com
amdc####.m.ta####.com
and####.b####.qq.com
c-h####.g####.com
cdn-sdk####.g####.com
cm-1####.ig####.com
plb####.u####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
u####.u####.com
umen####.m.ta####.com
umengj####.m.ta####.com
www.weica####.com
www.weica####.com.cn

Запросы HTTP GET:

cdn-sdk####.g####.com.####.com/tdata_ATg619
cdn-sdk####.g####.com.####.com/tdata_Dfe903
cdn-sdk####.g####.com.####.com/tdata_EDB102
q####.c####.l####.####.com/config/hz-hzv6.conf
q####.c####.l####.####.com/tdata_VBT051
sdk.o####.p####.####.com/api/addr.htm
www.weica####.com/pubapi1/advert_one?position=####&myversion=####&token=...
www.weica####.com/pubapi1/cert_no?myversion=####&token=####&myclient=####
www.weica####.com/pubapi1/get_app_config?myversion=####&token=####&mycli...
www.weica####.com/pubapi1/get_version?myversion=####&token=####&myclient...
www.weica####.com/upload/feed/2019/8/31/20190831114412659_v3.png

Запросы HTTP POST:

a####.exc.mob.com/errconf
a####.exc.mob.com/errlog
amdc####.m.ta####.com/amdc/mobileDispatch?appkey=####&deviceId=####&plat...
and####.b####.qq.com/rqd/async?aid=####
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####&d=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.artc_lock
/data/data/####/.at_lock
/data/data/####/.di
/data/data/####/.dic_lock
/data/data/####/.duid
/data/data/####/.globalLock
/data/data/####/.im_lock
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.jg.ri
/data/data/####/.jg.store.report_cf
/data/data/####/.lesd_lock
/data/data/####/.lock
/data/data/####/.pg_lock
/data/data/####/.pgs_lock
/data/data/####/.rc_lock
/data/data/####/.vpl_lock
/data/data/####/1002
/data/data/####/1004
/data/data/####/1098498c078f4de8a2dfc40ff74b7ca4
/data/data/####/252af3903efb456b946fcac9f04745e6
/data/data/####/33dd50fc1819aef7294a4b2a161e9c91.0
/data/data/####/33dd50fc1819aef7294a4b2a161e9c91.0.tmp
/data/data/####/33dd50fc1819aef7294a4b2a161e9c91.1
/data/data/####/33dd50fc1819aef7294a4b2a161e9c91.1.tmp
/data/data/####/375acd7e1dc84061b33ec946e8f7c3f5
/data/data/####/6962dc53a129461781da38e84154d40d
/data/data/####/9e395fe274979c3756def009e619e045.0.tmp
/data/data/####/9e395fe274979c3756def009e619e045.1.tmp
/data/data/####/ACCS_BINDumeng;548d6f26fd98c57bca0002ba.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/BUGLY_COMMON_VALUES.xml
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/MessageStore.db
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db
/data/data/####/MsgLogStore.db-journal
/data/data/####/MultiDex.lock
/data/data/####/SP_AROUTER_CACHE.xml
/data/data/####/ThrowalbeLog.db
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/a==8.0.0&&7.2.1_1579444742934_envelope.log
/data/data/####/a==8.0.0&&7.2.1_1579444767215_envelope.log
/data/data/####/accs.db
/data/data/####/accs.db-journal
/data/data/####/acdedefd13d4
/data/data/####/agoo.pid
/data/data/####/b87eada4248a4ee80732964129fb945f.0.tmp
/data/data/####/b87eada4248a4ee80732964129fb945f.1.tmp
/data/data/####/bugly_db_
/data/data/####/bugly_db_-journal
/data/data/####/c0d054176bbab156fe171f929250e356.0.tmp
/data/data/####/c0d054176bbab156fe171f929250e356.1.tmp
/data/data/####/channel_umeng_common_config.xml
/data/data/####/com.cjmrh.app.BETA_VALUES.xml
/data/data/####/com.cjmrh.app.xml
/data/data/####/crashrecord.xml
/data/data/####/d3764d411e1bdda1688bf874dcb152d79d5101a19b73104....0.tmp
/data/data/####/dW1weF9pbnRlcm5hbF8xNTc5NDQ0NzMxMzI0;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTc5NDQ0NzQxNzEx;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTc5NDQ0NzU4NTEz;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTc5NDQ0NzUwOTY0;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTc5NDQ0NzY2MTg2;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTc5NDQ0Nzc1Mzcz;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTc5NDQ0NzgzMzI0;
/data/data/####/dW1weF9wdXNoX3JlZ2lzdGVyXzE1Nzk0NDQ3MzQ0NTc=;
/data/data/####/eudemon
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f437b3c992e24cceb6f6c3b151737aa0
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gx_sp.xml
/data/data/####/httpdns_config_cache.xml
/data/data/####/i==1.2.0&&7.2.1_1579444731387_envelope.log
/data/data/####/i==1.2.0&&7.2.1_1579444741768_envelope.log
/data/data/####/i==1.2.0&&7.2.1_1579444751007_envelope.log
/data/data/####/i==1.2.0&&7.2.1_1579444783328_envelope.log
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jni_log_1579444757912.txt
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/libjiagu-2064392418.so
/data/data/####/local_crash_lock
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/pushservice_umeng_common_config.xml
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/run.pid
/data/data/####/security_info
/data/data/####/sys_log_1579444757912.txt
/data/data/####/t==8.0.0&&7.2.1_1579444732369_envelope.log
/data/data/####/tdata_ATg619
/data/data/####/tdata_ATg619.jar
/data/data/####/tdata_Dfe903
/data/data/####/tdata_Dfe903.jar
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.mn_234987532
/data/media/####/.nomedia
/data/media/####/.slw
/data/media/####/.umm.dat
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/app.db
/data/media/####/com.cjmrh.app.bin
/data/media/####/com.cjmrh.app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/deviceToken
/data/media/####/sysid.dat
/data/media/####/tdata_ATg619
/data/media/####/tdata_Dfe903
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/sh -c getprop
<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:548d6f26fd98c57bca0002ba","utdid":"XiRp+mhfipgDAGdzx1FtTCPp","sdkVersion":"221"} -I agoodm.m.taobao.com -O 80 -T -Z
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.jhjr.ncommon.getui.GetuiService 24264 300 0
cat /sys/class/net/wlan0/address
chmod 500 <Package Folder>/files/DaemonServer
chmod 700 <Package Folder>/files/gdaemon_20161017
getprop
logcat -d -v threadtime
ls /
ls /sys/class/thermal
mount
sh
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.jhjr.ncommon.getui.GetuiService 24264 300 0

Загружает динамические библиотеки:

Bugly
alicomphonenumberauthsdk-log-release_alijtca_plus
getuiext3
libjiagu-2064392418
tnet-3.1

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NoPadding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding
AES-ECB-NoPadding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию о настроках APN.

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней