Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.405.origin
Предлагает установить сторонние приложения.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) co####.h####.com:80
- TCP(HTTP/1.1) 1####.36.111.143:80
- TCP(HTTP/1.1) oc.u####.com:80
- TCP(HTTP/1.1) kk####.h####.com:80
- TCP(HTTP/1.1) rp-na####.ron####.com:80
- TCP(HTTP/1.1) msg.umengc####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) 58.2####.138.54:80
- TCP(HTTP/1.1) ad####.oss-cn-####.aliy####.com:80
- TCP(HTTP/1.1) m####.h####.com:80
- TCP(HTTP/1.1) a####.b####.qq.com:8011
- TCP(HTTP/1.1) a####.a####.m.####.com:80
- TCP(TLS/1.0) msg.umengc####.com:443
- TCP(TLS/1.0) kk####.h####.com:443
- TCP(TLS/1.0) 14.17.1####.251:443
- TCP(TLS/1.0) s####.cn.ron####.com:443
- TCP 1####.92.22.171:8626
- TCP 1####.205.160.76:443
- TCP zb-cent####.m.ta####.com:80
Запросы DNS:
- a####.b####.qq.com
- a####.m.ta####.com
- ad####.oss-cn-####.aliy####.com
- ag####.m.ta####.com
- and####.b####.qq.com
- co####.h####.com
- feed####.u####.com
- kk####.du####.com
- kkpoe####.du####.com
- m####.h####.com
- msg.umengc####.com
- nav.cn.ron####.com
- oc.u####.com
- resupg####.du####.com
- s####.cn.ron####.com
- umengj####.m.ta####.com
- zi####.kuai####.cn
Запросы HTTP GET:
- ad####.oss-cn-####.aliy####.com/dev/xxx.png
- co####.h####.com/api/getAppConfig?sys=####
- co####.h####.com/api/getSdkListConfig?sys=####
- kk####.h####.com/api/message/getMsgInfo.do
- kk####.h####.com/api/profile/setUmengToken.do?umengToken=####&type=####
- kk####.h####.com/api/recommend/cover.do
- kk####.h####.com/api/recommend/list.do
- kk####.h####.com/client/query.do?app=####&resource=####&versionCode=####...
Запросы HTTP POST:
- 1####.36.111.143/c.gif?act=####&smkdata=####&EC=####&appkey=####&enc=####
- 1####.36.111.143/c.gif?act=####&smkdata=####&EC=####&appkey=####&item=##...
- a####.a####.m.####.com/amdc/mobileDispatch?appkey=####&platform=####&v=#...
- a####.b####.qq.com:8011/rqd/async
- and####.b####.qq.com/rqd/async
- m####.h####.com/c.gif?act=####&smkdata=####&EC=####&appkey=####&enc=####
- msg.umengc####.com/launch
- oc.u####.com/v2/check_config_update
- oc.u####.com/v2/get_update_time
- rp-na####.ron####.com/navipush.json
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/ACCS_BIND.xml
- /data/data/####/ACCS_SDK.xml
- /data/data/####/ACCS_SDK_CHANNEL.xml
- /data/data/####/AGOO_BIND.xml
- /data/data/####/Agoo_AppStore.xml
- /data/data/####/Alvin2.xml
- /data/data/####/COUNTLY_STORE.xml
- /data/data/####/ContextData.xml
- /data/data/####/DaemonServer
- /data/data/####/Hiido_BasicBehavior_Appa_v3
- /data/data/####/Hiido_BasicBehavior_Event_v3
- /data/data/####/Hiido_BasicBehavior_Page_v3
- /data/data/####/Hiido_Statis_module_used_file_v3
- /data/data/####/MessageStore.db-journal
- /data/data/####/MsgLogStore.db-journal
- /data/data/####/Poem.db-journal
- /data/data/####/RongPush.xml
- /data/data/####/Statistics.xml
- /data/data/####/_kksync_config.xml
- /data/data/####/account.doing
- /data/data/####/accs.db-journal
- /data/data/####/agoo.pid
- /data/data/####/bugly_db_-journal
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/classes.jar
- /data/data/####/com.kk.poem-1.apk.classes-695836674.zip
- /data/data/####/com.kk.poem.BETA_VALUES.xml
- /data/data/####/com.kk.poem_preferences.xml
- /data/data/####/config.db4
- /data/data/####/config.db4-journal
- /data/data/####/daily_active.xml
- /data/data/####/daily_things.xml
- /data/data/####/desktop_short_cut.xml
- /data/data/####/folder_bundle.doing
- /data/data/####/guide_view_config.xml
- /data/data/####/hd_default_pref.xml
- /data/data/####/hd_default_pref_-1296927421.xml
- /data/data/####/hd_default_pref_-1393705303.xml
- /data/data/####/hd_default_pref_-1894289751.xml
- /data/data/####/hdcommon_config_cache_pref.xml
- /data/data/####/hdcommon_config_cache_pref_-1296927421.xml
- /data/data/####/hdcommon_config_cache_pref_-1393705303.xml
- /data/data/####/hdcommon_config_cache_pref_-1894289751.xml
- /data/data/####/hdid.bck
- /data/data/####/hdstatis_cache_7597ecf0_l
- /data/data/####/hduuid.bck
- /data/data/####/hiido_config_cache_pref.xml
- /data/data/####/hiido_online_config_pref.xml
- /data/data/####/hiido_statis_default_pref.xml
- /data/data/####/ib_favorite_favorite.doing
- /data/data/####/local_crash_lock
- /data/data/####/message_accs_db
- /data/data/####/message_accs_db-journal
- /data/data/####/mobclick_agent_cached_com.jingdian.tangsa59
- /data/data/####/mobclick_agent_cached_com.kk.poem441
- /data/data/####/multidex.version.xml
- /data/data/####/native_record_lock
- /data/data/####/onlineconfig_agent_online_setting_com.kk.poem.xml
- /data/data/####/op_folder_bundle.doing
- /data/data/####/op_item_bundle.doing
- /data/data/####/preference_file.xml
- /data/data/####/root_install.xml
- /data/data/####/security_info
- /data/data/####/share.xml
- /data/data/####/umeng_feedback_conversations.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/ver_bundle.doing
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/media/####/.nomedia
- /data/media/####/201df1f3332047388f461b1bc7ce64ee
- /data/media/####/6d71421412474fb588e7ceea8527330d
- /data/media/####/8a6f49ce08dc405f8d2f106bcfca63ec
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/Device
- /data/media/####/Global
- /data/media/####/accs_election
- /data/media/####/hdstatis_20200128.log
- /data/media/####/hduuid.bck
- /data/media/####/journal.tmp
- /data/media/####/kkpoem.apk
- /data/media/####/poem_cut.db
- /data/media/####/poem_lite.db
- /data/media/####/poem_zidian.db
- /data/media/####/statislog_20200128.log
Другие:
Запускает следующие shell-скрипты:
- /data/data/com.kk.poem/files/DaemonServer -s /data/data/com.kk.poem/lib/ -n runServer -p startservice -n com.kk.poem/com.taobao.accs.ChannelService --user 0 -f /data/data/com.kk.poem -t 600 -c agoo.pid -P /data/data/com.kk.poem -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"com.kk.poem","appKey":"umeng:54b7877cfd98c5ddc5000965","utdid":"XjBudwFZgTsDAGdzx1GYwlNi","sdkVersion":"212"} -I agoodm.m.taobao.com -O 80 -T -Z
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/sh -c getprop androVM.vbox_dpi
- /system/bin/sh -c getprop gsm.sim.state
- /system/bin/sh -c getprop gsm.sim.state2
- /system/bin/sh -c getprop qemu.sf.fake_camera
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.debuggable
- /system/bin/sh -c getprop ro.genymotion.version
- /system/bin/sh -c getprop ro.secure
- /system/bin/sh -c type su
- app_process /system/bin com.android.commands.pm.Pm get-install-location
- chmod 500 /data/data/com.kk.poem/files/DaemonServer
- getprop androVM.vbox_dpi
- getprop gsm.sim.state
- getprop gsm.sim.state2
- getprop qemu.sf.fake_camera
- getprop ro.board.platform
- getprop ro.debuggable
- getprop ro.genymotion.version
- getprop ro.secure
- ls -l /system/bin/su
- ps
- sh
- su
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- DES
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Использует повышенные привилегии.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
