Android.RemoteCode.6755

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.DownLoader.960.origin
Android.RemoteCode.262.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.0) en.hatch####.com:80
TCP(HTTP/1.1) c####.baidust####.com.####.com:80
TCP(HTTP/1.1) en.hatch####.com:80
TCP(HTTP/1.1) c.c####.com:80
TCP(HTTP/1.1) gm.mm####.com:80
TCP(HTTP/1.1) 1####.27.70.235:80
TCP(HTTP/1.1) n####.zizheng####.com:80
TCP(HTTP/1.1) ip.ta####.com:80
TCP(HTTP/1.1) log.u####.com:8080
TCP(HTTP/1.1) st####.mob####.com:80
TCP(HTTP/1.1) a####.y####.com:8089
TCP(HTTP/1.1) pic.x####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) pco####.ta####.com:80
TCP(HTTP/1.1) mob####.com:80
TCP(HTTP/1.1) z.c####.com:80
TCP(HTTP/1.1) opencdn####.jom####.com:80
TCP(HTTP/1.1) m####.x####.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) d1.sho####.com:80
TCP(HTTP/1.1) www.sm####.com:80
TCP(HTTP/1.1) u####.uu####.cn:80
TCP(HTTP/1.1) c####.hatch####.com:80
TCP(HTTP/1.1) php.sho####.com:80
TCP(HTTP/1.1) u1.a####.cn:8080
TCP(HTTP/1.1) v.sho####.com:80
TCP(TLS/1.0) dup.baidust####.com:443
TCP(TLS/1.0) opencdn####.jom####.com:443
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) ec####.b####.com:443
TCP(TLS/1.0) pos.b####.com:443
TCP(TLS/1.0) www.sm####.com:443

Запросы DNS:

a####.exc.mob.com
a####.y####.com
and####.b####.qq.com
c####.baidust####.com
c####.hatch####.com
c####.mm####.com
c.c####.com
cp####.b####.com
d1.sho####.com
dup.baidust####.com
ec####.b####.com
en.hatch####.com
ip.ta####.com
log.u####.com
m####.x####.com
mob####.com
n####.zizheng####.com
pco####.c####.com
php.sho####.com
pic.x####.com
pos.b####.com
res####.a####.com
s5.c####.com
st####.mob####.com
u####.uu####.cn
u.y####.com
u1.a####.cn
v.sho####.com
www.sm####.com
z12.c####.com
z3.c####.com
z9.c####.com

Запросы HTTP GET:

a####.y####.com:8089/search/news/clistNew?callback=####&s=####&l=####&c=...
c####.baidust####.com.####.com/cpro/ui/cm.js?v=####
c####.hatch####.com/img/pic91951.png
c####.hatch####.com/img/u_ywtalkd_lah_wk2.png
c.c####.com/core.php?web_id=####&t=####
c.c####.com/z_stat.php?id=####
en.hatch####.com/s.php?v=####&d=####&t=####&ver=####&c=####
gm.mm####.com/9.gif?abc=####&rnd=####
ip.ta####.com/service/getIpInfo.php?ip=####
log.u####.com:8080/log/s?_=0aLwC####
m####.x####.com/new_pic/2019/4/20/1555763767287.jpg
mob####.com/js/tij.js
n####.zizheng####.com/qkd7File/webview/detail_list.html
n####.zizheng####.com/qkd7File/webview/dist/css/common.css?v=####
n####.zizheng####.com/qkd7File/webview/dist/css/listStyle.css?v=####
n####.zizheng####.com/qkd7File/webview/dist/css/mescroll.min.css?v=####
n####.zizheng####.com/qkd7File/webview/dist/css/style.css?v=####
n####.zizheng####.com/qkd7File/webview/dist/img/adloading.jpg
n####.zizheng####.com/qkd7File/webview/dist/img/gotop.png
n####.zizheng####.com/qkd7File/webview/dist/img/icon-small.svg
n####.zizheng####.com/qkd7File/webview/dist/img/imgloading.jpg
n####.zizheng####.com/qkd7File/webview/dist/img/link.png
n####.zizheng####.com/qkd7File/webview/dist/js/config.js?v=####
n####.zizheng####.com/qkd7File/webview/dist/minjs/main.js?v=####
n####.zizheng####.com/qkd7File/webview/dist/minjs/news.js?v=####
opencdn####.jom####.com/static/assets/a0a7a1f9.png
pco####.ta####.com/app.gif?&cna=####
pic.x####.com/new_pic/2020/4/14/1586869008644.jpg
pic.x####.com/new_pic/2020/4/14/1586869008785.jpg
pic.x####.com/new_pic/2020/4/14/1586869008897.jpg
pic.x####.com/new_pic/2020/4/14/1586877391651.jpg
pic.x####.com/new_pic/2020/4/14/1586877391792.jpg
st####.mob####.com/1912/301013_patch3.7.jar
www.sm####.com/smu0/o.js
z.c####.com/stat.htm?id=####&cnzz_eid=####
z.c####.com/stat.htm?id=####&r=####&lg=####&ntime=####&cnzz_eid=####&sho...

Запросы HTTP POST:

a####.exc.mob.com/errconf
and####.b####.qq.com/rqd/async?aid=####
d1.sho####.com/index.php?r=####
en.hatch####.com/sck/28031/?m=R1QtS####&s=####
en.hatch####.com/tj.php
php.sho####.com/index.php?r=####
u####.uu####.cn/ads/index
u####.uu####.cn/event_all?app_type=####&data_type=####&device_imei=####&...
u####.uu####.cn/register/v2
u1.a####.cn:8080/p
u1.a####.cn:8080/p/log
u1.a####.cn:8080/u1
v.sho####.com/index.php?r=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/..dx_191_3.dx.apk
/data/data/####/.atmp_8.log
/data/data/####/.duid
/data/data/####/.dx_191_3.dx
/data/data/####/.hqcfg
/data/data/####/.lock
/data/data/####/.oxo.jar
/data/data/####/.vpl_lock
/data/data/####/1004
/data/data/####/1d2b904cbeadfb72ed9546111a231c85.0
/data/data/####/8285687079f726e81979764e271ed349
/data/data/####/844663494
/data/data/####/844663558
/data/data/####/97273377
/data/data/####/MultiDex.lock
/data/data/####/TbSngs.xml
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/WebViewBasePrefs.xml
/data/data/####/WebViewBasePrefs.xml.bak (deleted)
/data/data/####/bugly_db_-journal
/data/data/####/c0586a10777146560765a69231d89beb.xml
/data/data/####/crashrecord.xml
/data/data/####/d2wqrf.xml
/data/data/####/data.mdb
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/ed5bfe4bdbec3416c956d017ae73c00a
/data/data/####/efju65tx.xml
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/f_000004
/data/data/####/f_000005
/data/data/####/f_000006
/data/data/####/f_000007
/data/data/####/f_000008
/data/data/####/f_000009
/data/data/####/f_00000a
/data/data/####/fju78g.data-journal
/data/data/####/gpSettings.xml
/data/data/####/gwu8op08ds.data-journal
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/index
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/k.store
/data/data/####/local_crash_lock
/data/data/####/lock.mdb
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/multidex.version.xml
/data/data/####/package_caches.xml
/data/data/####/pref.xml
/data/data/####/rexxteak.jar
/data/data/####/sdk_share_file.xml
/data/data/####/security_info
/data/data/####/settingsLog.xml
/data/data/####/tdg_share.xml
/data/data/####/tmp-com.uusense.speed-1.apk.classes-326757871.zip
/data/data/####/uuspeed_mvp_file.xml
/data/data/####/v71.xml
/data/data/####/wdde4f.data-journal
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/woki8ws.xml
/data/data/####/woki8ws.xml.bak
/data/data/####/xyesout.jar
/data/media/####/.artc_lock
/data/media/####/.bs_lock
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.du_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.gm_lock
/data/media/####/.im_lock
/data/media/####/.lesd_lock
/data/media/####/.mn_1666188972
/data/media/####/.nomedia
/data/media/####/.pkg_lock
/data/media/####/.pkgs_lock
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/.ss_lock
/data/media/####/.wkl
/data/media/####/1586883557543.db
/data/media/####/alsn20170807.db
/data/media/####/alsn20170807.db-journal

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c getprop
/system/bin/sh -c type su
cat /sys/class/net/wlan0/address
getprop

Загружает динамические библиотеки:

Bugly
objectbox
pl_droidsonroids_gif
speed

Использует следующие алгоритмы для шифрования данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
DES-CBC-PKCS5Padding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-ECB-NoPadding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней