Android.RemoteCode.6805

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.RemoteCode.277.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) zgx.powerle####.com:80
TCP(HTTP/1.1) ad.d####.360.cn:80
TCP(HTTP/1.1) qd.sh####.qih####.com:80
TCP(HTTP/1.1) and####.api.36####.com:80
TCP(HTTP/1.1) api.gam####.360.cn:80
TCP(HTTP/1.1) w####.pcon####.com.cn:80
TCP(HTTP/1.1) p3.q####.com:80
TCP(HTTP/1.1) gd.a.s####.com:80
TCP(HTTP/1.1) n####.gam####.360.cn:80
TCP(HTTP/1.1) ny.bul####.cn:666
TCP(HTTP/1.1) sh####.me####.com:80
TCP(HTTP/1.1) p.s.3####.cn:80
TCP(TLS/1.0) api.w####.com:443
TCP(TLS/1.0) m####.m####.360.cn:443
TCP(TLS/1.0) vide####.e.360.####.com:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) o####.m####.360.cn:443
TCP(TLS/1.0) s####.tf.360.cn:443
TCP(TLS/1.0) mdm.ope####.360.cn:443
TCP 36.1####.215.104:80

Запросы DNS:

ad.d####.360.cn
and####.api.36####.com
api####.me####.com
api.gam####.360.cn
api.w####.com
cc.p####.dc.####.cn
m####.m####.360.cn
mdm.ope####.360.cn
n####.gam####.360.cn
np.bul####.cn
ny.bul####.cn
o####.m####.360.cn
p.s.3####.cn
p0.q####.com
p3.q####.com
plb####.u####.com
pv.s####.com
qd.sh####.qih####.com
s####.s.360.cn
s####.tf.360.cn
sdkc####.e.360.cn
sh####.me####.com
u####.u####.com
vide####.e.360.cn
w####.pcon####.com.cn
zgx.powerle####.com

Запросы HTTP GET:

ad.d####.360.cn/report
and####.api.36####.com/group/?method=####&n=dmhXY####
api.gam####.360.cn/10/popup/activity?appid=####&nonce=####&rkey=AC####&s...
api.gam####.360.cn/10/popup/activity?appid=####&nonce=####&rkey=FL####&s...
api.gam####.360.cn/10/popup/activity?appid=####&nonce=####&rkey=Q4####&s...
api.gam####.360.cn/10/popup/activity?appid=####&nonce=####&rkey=kz####&s...
api.gam####.360.cn/10/popup/activity?appid=####&nonce=####&rkey=pE####&s...
api.gam####.360.cn/10/popup/activity?appid=####&nonce=####&rkey=xK####&s...
api.gam####.360.cn/10/popup/bbs?appid=####&nonce=####&rkey=By####&signid...
api.gam####.360.cn/10/popup/bbs?appid=####&nonce=####&rkey=Go####&signid...
api.gam####.360.cn/10/popup/bbs?appid=####&nonce=####&rkey=T3####&signid...
api.gam####.360.cn/10/popup/bbs?appid=####&nonce=####&rkey=Ue####&signid...
api.gam####.360.cn/10/popup/bbs?appid=####&nonce=####&rkey=Wo####&signid...
api.gam####.360.cn/10/popup/bbs?appid=####&nonce=####&rkey=bE####&signid...
api.gam####.360.cn/10/popup/bbs?appid=####&nonce=####&rkey=cs####&signid...
api.gam####.360.cn/10/popup/bbs?appid=####&nonce=####&rkey=hC####&signid...
api.gam####.360.cn/10/popup/floatconf?appid=####&nonce=####&m2=####&os=#...
api.gam####.360.cn/10/popup/popwin?appid=####&nonce=####&rkey=Lo####&sig...
api.gam####.360.cn/10/popup/popwin?appid=####&nonce=####&rkey=T6####&sig...
api.gam####.360.cn/10/popup/popwin?appid=####&nonce=####&rkey=l+####&sig...
api.gam####.360.cn/10/system/updatecertificate?appid=####&nonce=####&rke...
api.gam####.360.cn/9/popup/onexit?appid=####&nonce=####&rkey=Rj####&sign...
api.gam####.360.cn/9/popup/onexit?appid=####&nonce=####&rkey=bo####&sign...
n####.gam####.360.cn/7/common/recommendlogin?v=####&clienttype=####&m1=#...
n####.gam####.360.cn/7/gamebox/getgidbypname?pname=####
p3.q####.com/t014ddec07456c8c93d.png
p3.q####.com/t0178c548e210e9c425.png
qd.sh####.qih####.com/media/4bcb630a96475abf571d410f8fc018aa/5d88aac3afc...
zgx.powerle####.com/dnfile/cmm/PWrap20200431C.jar

Запросы HTTP POST:

gd.a.s####.com/cityjson
ny.bul####.cn:666/slsdk/getdata.aspx
p.s.3####.cn/update/update.php?p=####
sh####.me####.com/adsdk?pver=####&skey=A7####
sh####.me####.com/adsdk?pver=####&skey=Bx####
sh####.me####.com/adsdk?pver=####&skey=Dj####
sh####.me####.com/adsdk?pver=####&skey=HT####
sh####.me####.com/adsdk?pver=####&skey=LA####
sh####.me####.com/adsdk?pver=####&skey=LR####
sh####.me####.com/adsdk?pver=####&skey=SB####
sh####.me####.com/adsdk?pver=####&skey=SQ####
sh####.me####.com/adsdk?pver=####&skey=UE####
sh####.me####.com/adsdk?pver=####&skey=Xh####
sh####.me####.com/adsdk?pver=####&skey=Zp####
sh####.me####.com/adsdk?pver=####&skey=h2####
sh####.me####.com/adsdk?pver=####&skey=jj####
sh####.me####.com/adsdk?pver=####&skey=kr####
sh####.me####.com/adsdk?pver=####&skey=oD####
sh####.me####.com/adsdk?pver=####&skey=sc####
sh####.me####.com/adsdk?pver=####&skey=sf####
sh####.me####.com/adsdk?pver=####&skey=wf####
w####.pcon####.com.cn/ip.jsp

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/010e0ec035f009121de9c55fb588da06e71
/data/data/####/0125c61deb6f2484369abfb189f11f8c4c1
/data/data/####/0156f658df33d810480bd86fd62efb83a01
/data/data/####/017444f36f76ee2ec20e71fca57fd81b0b1
/data/data/####/0184621306fbcab64a7e6d76b454ac5bce1
/data/data/####/01a4f383da0306145100f47374576e87ae1
/data/data/####/01bb7b08b867921e3e1720adde4bfdea8f1
/data/data/####/01bf3dbc0a6f6e51f375eef566f49d8d061
/data/data/####/01e23883d1692249fb2e7e56054e1fbb911
/data/data/####/074a1904f5d0a89df5038ab04f40687f.0.tmp
/data/data/####/074a1904f5d0a89df5038ab04f40687f.1.tmp
/data/data/####/0b431d4b0230d2b50072983150746741.0.tmp
/data/data/####/0b431d4b0230d2b50072983150746741.1.tmp
/data/data/####/1052595726.png.tmp
/data/data/####/360sdk_1_2148.zip
/data/data/####/360sdk_3_1000.zip
/data/data/####/565524924.png.tmp
/data/data/####/66f6a7bc546f9e11bf44e81c7a047417.0.tmp
/data/data/####/AKTorchDownload.db-journal
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/Pay_config.xml
/data/data/####/QH_DeviceSDK.xml
/data/data/####/QH_SDK_M2.xml
/data/data/####/QH_SDK_UserData02522a2b2726fb0a03bb19f2d8d9524d.xml
/data/data/####/QH_SDK_UserData6766aa2750c19aad2fa1b32f36ed4aee.xml
/data/data/####/QH_SDK_sessionID02522a2b2726fb0a03bb19f2d8d9524d.xml
/data/data/####/Y29tLnRvbWF0by5nZGRkZC5xaWhvbw==.tick.lock
/data/data/####/a==7.5.3&&1.0.3_1588602500070_envelope.log
/data/data/####/aeb04bb9640e82fe94e2f1fa4d275856.0.tmp
/data/data/####/aeb04bb9640e82fe94e2f1fa4d275856.1.tmp
/data/data/####/com.tomato.gdddd.qihoo.v2.playerprefs.xml
/data/data/####/com.tomato.gdddd.qihoo_preferences.xml
/data/data/####/coolcloud_config.xml
/data/data/####/core_update
/data/data/####/core_update_locker
/data/data/####/d2729e40aaeef0243b419523d16048a6.0.tmp
/data/data/####/d2729e40aaeef0243b419523d16048a6.1.tmp
/data/data/####/dW1weF9pbnRlcm5hbF8xNTg4NjAyNDkyNzU0;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTg4NjAyNTA4Mjk2;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTg4NjAyNTEzNTUy;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTg4NjAyNTI5Njg1;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTg4NjAyNTQ0Njky;
/data/data/####/device_collector
/data/data/####/device_collector_locker
/data/data/####/e6a7971090af2e85af625da630786878.0.tmp
/data/data/####/e6a7971090af2e85af625da630786878.1.tmp
/data/data/####/engc.jar
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/frameso
/data/data/####/game_union_share_preference.xml
/data/data/####/gamecenter_sdk_plugin_pre.xml
/data/data/####/gameunion.db-journal
/data/data/####/i==1.2.0&&1.0.3_1588602492767_envelope.log
/data/data/####/i==1.2.0&&1.0.3_1588602508341_envelope.log
/data/data/####/i==1.2.0&&1.0.3_1588602513580_envelope.log
/data/data/####/i==1.2.0&&1.0.3_1588602529944_envelope.log
/data/data/####/i==1.2.0&&1.0.3_1588602545001_envelope.log
/data/data/####/info.xml
/data/data/####/journal.tmp
/data/data/####/libmono.so
/data/data/####/log_reupload_task
/data/data/####/log_reupload_task_locker
/data/data/####/plugin_login_rz.xml
/data/data/####/pnd620.data
/data/data/####/prdopt.xml
/data/data/####/profile_task
/data/data/####/profile_task_locker
/data/data/####/profile_torch_platform
/data/data/####/push_share.xml
/data/data/####/q_p2_plib_plugin_lib_sp.xml
/data/data/####/qh_login_cfg.xml
/data/data/####/qh_login_cfg.xml.bak
/data/data/####/qihoo_hosts_cfg.xml
/data/data/####/qihoo_https_cer_pre.xml
/data/data/####/sdk_apk_info.xml
/data/data/####/tmp7.xml
/data/data/####/tmpbl.jar
/data/data/####/torch_game_sdk_config.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/uninstall_apk
/data/data/####/uninstall_apk_locker
/data/data/####/waitingDown
/data/data/####/waitingDown_locker
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.deviceId
/data/media/####/.iddata
/data/media/####/.nomedia
/data/media/####/.sfp
/data/media/####/.testf
/data/media/####/.umm.dat
/data/media/####/02522a2b2726fb0a03bb19f2d8d9524d
/data/media/####/0d35b9b9c38e3b000c0be9d37c373d5e
/data/media/####/0d35b9b9c38e3b000c0be9d37c373d5e.tmp
/data/media/####/6766aa2750c19aad2fa1b32f36ed4aee
/data/media/####/6766aa2750c19aad2fa1b32f36ed4aee (deleted)
/data/media/####/6809bf9703d7a4e92db21a7224c884ea.tmp
/data/media/####/9yu
/data/media/####/9yu (deleted)
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/D7p
/data/media/####/D7p (deleted)
/data/media/####/IGn
/data/media/####/IGn (deleted)
/data/media/####/Lf5
/data/media/####/Lf5 (deleted)
/data/media/####/ONk
/data/media/####/ONk (deleted)
/data/media/####/WTU
/data/media/####/WTU (deleted)
/data/media/####/Wi1
/data/media/####/Wi1 (deleted)
/data/media/####/Y29tLnRvbWF0by5nZGRkZC5xaWhvbw==
/data/media/####/Y29tLnRvbWF0by5nZGRkZC5xaWhvbw== (deleted)
/data/media/####/a8B
/data/media/####/a8B (deleted)
/data/media/####/d89abce8fdd74885b1102a2316ed968b.tmp
/data/media/####/data.lock
/data/media/####/journal
/data/media/####/journal.tmp
/data/media/####/kPH
/data/media/####/kPH (deleted)
/data/media/####/kg9
/data/media/####/kg9 (deleted)
/data/media/####/qTS
/data/media/####/qTS (deleted)
/data/media/####/report.lock
/data/media/####/sysid.dat
/data/media/####/uninstall_apk_list
/data/media/####/wEL
/data/media/####/wEL (deleted)

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
cat /sys/class/net/wlan0/address
chmod 777 /storage/emulated/0/360gamecentersdk/.cache/image
ls /
ls /sys/class/thermal

Загружает динамические библиотеки:

AudioPluginMsHRTF
AudioPluginOculusSpatializer
frameso
libAudioPluginOculusSpatializer
main
qhsdk

Использует следующие алгоритмы для шифрования данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
DES-CBC-PKCS5Padding
RSA-ECB-PKCS1Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
DES-CBC-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию о настроках APN.

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Отрисовывает собственные окна поверх других приложений.

Перехватывает уведомления.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней