Android.Packed.53239

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.DownLoader.957.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) gd.a.s####.com:80
TCP(HTTP/1.1) j.souso####.com:80
TCP(HTTP/1.1) a2.junshi####.cn:80
TCP(HTTP/1.1) ip.ta####.com:80
TCP(HTTP/1.1) f####.q####.com:80
TCP(HTTP/1.1) 47.1####.216.93:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) api.a####.mob.com:80
TCP(HTTP/1.1) api.ad.yipin####.com:80
TCP(HTTP/1.1) luna-im####.qq.com.####.com:80
TCP(HTTP/1.1) f####.ihu####.cn:80
TCP(HTTP/1.1) p####.ugd####.com.####.com:80
TCP(HTTP/1.1) wap.junshi####.cn:80
TCP(HTTP/1.1) tinychi####.q####.com.####.com:80
TCP(HTTP/1.1) 1####.40.11.167:80
TCP(HTTP/1.1) p.s.3####.cn:80
TCP(HTTP/1.1) sdk.s.360.####.com:80
TCP(HTTP/1.1) f####.52####.com:80
TCP(HTTP/1.1) mm.ylx####.com:80
TCP(TLS/1.0) dig.b####.net:443
TCP(TLS/1.0) xst.52####.com:443
TCP(TLS/1.0) sf3-ttc####.ps####.com:443
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) s####.e.qq.com:443
TCP(TLS/1.0) t####.m.qq.com:443
TCP(TLS/1.0) commu####.52####.com:443
TCP(TLS/1.0) bds.sn####.com:443
TCP(TLS/1.0) to####.ctobsn####.com:443
TCP(TLS/1.0) mi.g####.qq.com:443
TCP(TLS/1.0) dp.p####.dc.####.cn:443
TCP(TLS/1.0) f####.ihu####.cn:443
TCP(TLS/1.0) l####.tbs.qq.com:443
TCP(TLS/1.0) cc.p####.dc.####.cn:443
TCP(TLS/1.0) log.sgsn####.com:443
TCP(TLS/1.0) dpush####.d####.cn:443
TCP 2####.167.166.46:80

Запросы DNS:

a####.exc.mob.com
a2.junshi####.cn
and####.b####.qq.com
api.a####.mob.com
api.ad.yipin####.com
bds.sn####.com
cc.p####.dc.####.cn
col####.52####.com
commu####.52####.com
dig.b####.net
dp.p####.dc.####.cn
dpush####.d####.cn
f####.52####.com
f####.ihu####.cn
f####.q####.com
imgc####.qq.com
ip.ta####.com
j.souso####.com
l####.tbs.qq.com
log.sgsn####.com
mi.g####.qq.com
mm.ylx####.com
p####.ugd####.com
p.s.3####.cn
pang####.sn####.com
pv.s####.com
res####.a####.com
s####.e.qq.com
s####.s.360.cn
s####.sn####.com
sf3-ttc####.ps####.com
so####.52####.com
st####.xinxian####.com
t####.m.qq.com
to####.ctobsn####.com
wap.junshi####.cn
xst.52####.com

Запросы HTTP GET:

f####.52####.com/group2/M00/79/A8/ChtgeF7CRtaAPQqYAAI0hDen48k939.png
f####.ihu####.cn/group2/M00/78/72/ChtgeF61K-WAX5GLAAImhpjzcro066.gif
f####.q####.com/novel/novel_12898229822721680692.jpeg
f####.q####.com/novel/novel_15237556628783979553.jpeg
f####.q####.com/novel/novel_15300281012771903209.jpeg
f####.q####.com/novel/novel_16724928804585347014.jpg
f####.q####.com/novel/novel_3349510628115772538.jpeg
f####.q####.com/novel/novel_3706219658130722407.jpeg
f####.q####.com/novel/novel_448320967619295191.jpeg
f####.q####.com/novel/novel_5000817843759486671.jpeg
f####.q####.com/novel/novel_7193328668044593617.jpeg
f####.q####.com/novel/novel_8273717939815167750.jpeg
f####.q####.com/novel/novel_8659301817032048798.jpeg
f####.q####.com/novel/novel_9865654829898341216.jpeg
gd.a.s####.com/cityjson
ip.ta####.com/service/getIpInfo.php?ip=####
ip.ta####.com/service/getIpInfo2.php?ip=####
luna-im####.qq.com.####.com/qzone/biz/gdt/dev/sdk/cdn/resources/common/S...
mm.ylx####.com/tt.json
p####.ugd####.com.####.com/gdt/0/DAA5_O4AQ4AeAAB3BeuTx0BR5ntF8H.jpg/0?ck...
sdk.s.360.####.com/ak/6766aa2750c19aad2fa1b32f36ed4aee.html?m2=####
tinychi####.q####.com.####.com/sdk_bXlfcmVsZWFzZXY0Mi56aXBfMTU4NjUwOTA2O...

Запросы HTTP POST:

a####.exc.mob.com/errconf
a2.junshi####.cn/jc/jdu
a2.junshi####.cn/jc/jdujson/noticeboard
and####.b####.qq.com/rqd/async?aid=####
api.a####.mob.com/sdk/ads/policy
api.ad.yipin####.com/getByRealTime
api.ad.yipin####.com/report
j.souso####.com/ad/config
p.s.3####.cn/pstat/plog.php
p.s.3####.cn/update/update.php?p=####
s####.e.qq.com/activate
wap.junshi####.cn/encrypt/json/akj
wap.junshi####.cn/encrypt/json/lako

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.bak
/data/data/####/.cl
/data/data/####/.duid
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.turing.dat
/data/data/####/.vpl_lock
/data/data/####/04ced8e039c10b3e2b7bf339c471c540.0
/data/data/####/0b5acad474cc1f6d4ef74c5bae158a6ea88940b55fca04c...682f.0
/data/data/####/0e624d5d247a95ed338b7c88976dbe10f5da7d0349a32ea....0.tmp
/data/data/####/1004
/data/data/####/1482b6e4c9222f5431aa3757abf907c342f8654a14a23fb....0.tmp
/data/data/####/152826603-1509997924
/data/data/####/2033145970-602345128
/data/data/####/2178.yaqcookie
/data/data/####/22f10074b1bacfc7a22a1d7ac9dff82527bfce5e389360d....0.tmp
/data/data/####/25655562a3c721a2637f212eab54940be22c47c54f31eac....0.tmp
/data/data/####/41ecacd286ef609308fd56d0263a469ffe70356b0bc3906....0.tmp
/data/data/####/4265853738095.0
/data/data/####/4cae4d40994c7064815bc87d2473f05ecad3df151b5c63b....0.tmp
/data/data/####/5e6ba614a9923fa05e525022a6d49a48ba7b2a3c4d7d687....0.tmp
/data/data/####/64dccc2e833530c6574a302a44ce3088ea0a49d910a1a3b....0.tmp
/data/data/####/71cbac78a25074fe448be076dd0439e039d0f6fdbcf5927....0.tmp
/data/data/####/7761798447222.0
/data/data/####/8112109633df5f3462724c06103d30e44b987367c73e245....0.tmp
/data/data/####/82CFE0C35829BE9D67E08925EC816654.xml
/data/data/####/91bb3a83147574e2d3348929005465e4.temp
/data/data/####/972e73199868ab5d57867961a400faa7.temp
/data/data/####/AD_SP_NAME_CLOSE_PID.xml
/data/data/####/AD_SP_NAME_COMMON.xml
/data/data/####/AD_SP_NAME_DATA.xml
/data/data/####/AD_SP_NAME_EVENT_KEY_COUNT.xml
/data/data/####/AD_SP_NAME_REPORT.xml
/data/data/####/AD_SP_NAME_SEAL_TIME_DATA.xml
/data/data/####/AD_SP_NAME_SEQUENCE_EVENT.xml
/data/data/####/AD_SP_NAME_STAT.xml
/data/data/####/BuglySdkInfos.xml
/data/data/####/CHUANGYUE_CONFIG.xml
/data/data/####/CHUANGYUE_USER.xml
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/HttpApiHost.xml
/data/data/####/JY_STAT_CONFIG.xml
/data/data/####/MobAd_0
/data/data/####/MultiDex.lock
/data/data/####/Novel.db-journal
/data/data/####/QH_SDK_M2.xml
/data/data/####/QH_SDK_UserData6766aa2750c19aad2fa1b32f36ed4aee.xml
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/Y29tLnFpaG9vLmhhb3NvdS5zdWJzY3JpYmUudmVydGljYWw...k.lock
/data/data/####/alsn20170807.db
/data/data/####/alsn20170807.db-journal
/data/data/####/androidx.work.workdb-journal
/data/data/####/assets-info.xml
/data/data/####/b2272cdd056b73d27253ad5866ecd484.xml
/data/data/####/bc.config
/data/data/####/bd_embed_tea_agent.db-journal
/data/data/####/book_shelf_dialog_event_info.xml
/data/data/####/bugly_db_-journal
/data/data/####/bx_sdk.so
/data/data/####/bx_sdk.xml
/data/data/####/c0586a10777146560765a69231d89beb.xml
/data/data/####/cbxlib.xml
/data/data/####/cid
/data/data/####/cmcc.xml
/data/data/####/com.qq.e.sdkconfig.xml
/data/data/####/config
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/d032b904c9123a39fb33968e7e449fb7a31088ad64c4f8c....0.tmp
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/dir-map.xml
/data/data/####/disposable-res.xml
/data/data/####/downloader.db-journal
/data/data/####/embed_applog_stats.xml
/data/data/####/embed_header_custom.xml
/data/data/####/gdt_config.cfg
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_stat.db
/data/data/####/gdt_stat.db-journal
/data/data/####/gdt_suid
/data/data/####/global-info.xml
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/k.store
/data/data/####/libMMANDKSignature.30d51ee8.so
/data/data/####/libjiagu1928948741.so
/data/data/####/libturingau.30d51ee8.so
/data/data/####/libyaqbasic.30d51ee8.so
/data/data/####/libyaqpro.30d51ee8.so
/data/data/####/list_rule.json
/data/data/####/list_rule.json_bak
/data/data/####/live.xml
/data/data/####/local_crash_lock
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/mpdc_105498_1
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/npth.xml
/data/data/####/npth_log.db-journal
/data/data/####/personal-info.xml
/data/data/####/pref.xml
/data/data/####/push_share.xml
/data/data/####/readsetting.xml
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/search_rule.json
/data/data/####/security_info
/data/data/####/snssdk_openudid.xml
/data/data/####/sp_ad_http_config.xml
/data/data/####/sp_push_time.xml
/data/data/####/task_info_4bbfe5edb631c3720b2212613b171ecd.xml
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/temp.dat
/data/data/####/temp.png
/data/data/####/trans.proto
/data/data/####/trans.proto_bak
/data/data/####/trans_rule.json
/data/data/####/tt_dns_settings.xml
/data/data/####/tt_sdk_settings.xml
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopensdk.db-journal
/data/data/####/turingfd_conf_105498_auMini.xml
/data/data/####/turingfd_protect_105498_41_auMini.xml
/data/data/####/update_lc
/data/data/####/wap_rule.json
/data/data/####/wap_rule.json_bak
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/xst_update.xml
/data/data/####/yaq.30d51ee8.sec
/data/data/####/yaq2.30d51ee8.sec
/data/data/####/yaq3_0.30d51ee8.sec
/data/data/####/yaqsdkcookie
/data/data/####/youzhai.db-journal
/data/media/####/.3deaedc28469674418c57af6b7cc832b
/data/media/####/.artc_lock
/data/media/####/.at_lock
/data/media/####/.bs_lock
/data/media/####/.bt_lock
/data/media/####/.bts_lock
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.du_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.gm_lock
/data/media/####/.im_lock
/data/media/####/.lesd_lock
/data/media/####/.mn_1666188972
/data/media/####/.nomedia
/data/media/####/.pkg_lock
/data/media/####/.pkgs_lock
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/.ss_lock
/data/media/####/.turing.dat
/data/media/####/059ed3e30af79aa054a59648190707f4
/data/media/####/4d29639a37e58723b0741a323c76858e.tmp
/data/media/####/6766aa2750c19aad2fa1b32f36ed4aee
/data/media/####/6766aa2750c19aad2fa1b32f36ed4aee (deleted)
/data/media/####/XCJ
/data/media/####/XCJ (deleted)
/data/media/####/clientudid.dat
/data/media/####/da48d872719fbc49bcfb42e7596c9f0c.tmp
/data/media/####/data.lock
/data/media/####/report.lock
/data/media/####/temp_pkg_info.json

Другие:

Запускает следующие shell-скрипты:

/system/bin/df
/system/bin/getprop
/system/bin/sh -c getprop
<Package Folder>/files/cid
cat /sys/class/net/wlan0/address
chmod 0755 <Package Folder>/app_cache/sdk/bx_sdk.so
chmod 0755 <Package Folder>/app_cache/sdk/temp.dat
chmod 777 <Package Folder>/files/cid
getprop
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.sv.version
getprop ro.lenovo.lvp.version
getprop ro.letv.release.version
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.smartisan.version
getprop ro.vivo.os.build.display.id
getprop ro.vivo.os.version
mount
sh

Загружает динамические библиотеки:

Bugly
X86Bridge
libMMANDKSignature.30d51ee8
libjiagu1928948741
libturingau.30d51ee8
libyaqbasic.30d51ee8
libyaqpro.30d51ee8
nms
secret
tobEmbedEncrypt
verify

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CFB-NOPADDING
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
DES
DES-CBC-PKCS5Padding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-NoPadding
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NOPADDING
AES-ECB-NoPadding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Перехватывает уведомления.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней