Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Click.338.origin
- Android.Click.339.origin
- Android.Click.340.origin
- Android.DownLoader.929.origin
- Android.DownLoader.956.origin
Загружает из Интернета следующие детектируемые угрозы:
- Android.Click.338.origin
- Android.Click.340.origin
- Android.DownLoader.906.origin
- Android.DownLoader.909.origin
- Android.DownLoader.929.origin
- Android.DownLoader.956.origin
- Android.RemoteCode.262.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) z.c####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) d.clou####.xyz:80
- TCP(HTTP/1.1) mem####.3####.net:80
- TCP(HTTP/1.1) gd.a.s####.com:80
- TCP(HTTP/1.1) isl.tvf####.com:80
- TCP(HTTP/1.1) cdn.clou####.xyz:80
- TCP(HTTP/1.1) php.sho####.com:80
- TCP(HTTP/1.1) api.reco####.h####.com:80
- TCP(HTTP/1.1) d####.dd7####.com:80
- TCP(HTTP/1.1) ai####.anal####.cn:8089
- TCP(HTTP/1.1) ur####.anal####.cn:8089
- TCP(HTTP/1.1) d.sho####.com:80
- TCP(HTTP/1.1) p####.sho####.com:80
- TCP(TLS/1.0) msg.umengc####.com:443
- TCP(TLS/1.0) a####.a####.m.####.com:443
- TCP zb-cent####.m.ta####.com:443
- TCP zb-cent####.m.ta####.com:80
Запросы DNS:
- a####.clou####.xyz
- a####.m.ta####.com
- a####.u####.com
- ag####.m.ta####.com
- ai####.anal####.cn
- api.reco####.h####.com
- c####.i####.com
- cdn.clou####.xyz
- d####.dd7####.com
- d.clou####.xyz
- d.sho####.com
- d1.sho####.com
- isl.tvf####.com
- msg.umengc####.com
- p####.sho####.com
- p####.sho####.com
- php.clou####.xyz
- php.sho####.com
- pv.s####.com
- t.clou####.xyz
- umen####.m.ta####.com
- umengj####.m.ta####.com
- ur####.anal####.cn
- www.3####.org
- z1.c####.com
- z12.c####.com
- z3.c####.com
- z6.c####.com
Запросы HTTP GET:
- api.reco####.h####.com/v1/accounts/hello?key=####
- api.reco####.h####.com/v1/settings/sign
- cdn.clou####.xyz/jar/365admo.jar
- cdn.clou####.xyz/jar/ad367.jar
- cdn.clou####.xyz/jar/adm_296_1231.jar
- cdn.clou####.xyz/jar/admob1231.jar
- cdn.clou####.xyz/jar/admob654.jar
- cdn.clou####.xyz/jar/an0416.jar
- cdn.clou####.xyz/jar/cf1231.jar
- cdn.clou####.xyz/jar/js1202.jar
- cdn.clou####.xyz/jar/la0116huo.jar
- cdn.clou####.xyz/jar/miqiu0925.jar
- cdn.clou####.xyz/jar/santi0316.jar
- cdn.clou####.xyz/jar/so0117.jar
- cdn.clou####.xyz/jar/xixi0401.jar
- cdn.clou####.xyz/jar/ys1450.jar
- cdn.clou####.xyz/jar/ys7781.jar
- d####.dd7####.com//upload/plog/cvfd.jar
- d####.dd7####.com//upload/sdk/Ericdex20200324.jar
- d####.dd7####.com//upload/sdk2/SDK442dex20200106.jar
- d####.dd7####.com/upload/plog/bghu.jar
- d####.dd7####.com/upload/sdk/zawdex20200320.jar
- d####.dd7####.com/upload/sdk2/rq02dex20190829.jar
- d####.dd7####.com/upload/sdk3/kzddex20191224.jar
- d.clou####.xyz/index.php?r=####&uid=####&tm=####&model=####&density=####...
- gd.a.s####.com/cityjson
- isl.tvf####.com/eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ4NjQiOmZhbHNlLCJ...
- mem####.3####.net/dyndns/getip
- p####.sho####.com/index.php?r=####&uid=####&tm=####&model=####&density=#...
- z.c####.com/stat.htm?id=####&cnzz_eid=####
Запросы HTTP POST:
- a####.u####.com/app_logs
- ai####.anal####.cn:8089/
- api.reco####.h####.com/v1/accounts/auth
- d.sho####.com/index.php?r=####
- p####.sho####.com/index.php?r=####
- php.sho####.com/index.php?r=####
- ur####.anal####.cn:8089/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/ACCS_BINDumeng;59841f695312dd70c4001b42.xml
- /data/data/####/ACCS_SDK.xml
- /data/data/####/ACCS_SDK_CHANNEL.xml
- /data/data/####/AGOO_BIND.xml
- /data/data/####/Agoo_AppStore.xml
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/DaemonServer
- /data/data/####/MessageStore.db-journal
- /data/data/####/MsgLogStore.db-journal
- /data/data/####/accs.db-journal
- /data/data/####/agoo.pid
- /data/data/####/app_sp.sp
- /data/data/####/app_sp.sp.bak
- /data/data/####/atai.jar
- /data/data/####/cache
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/de3wq2u.data-journal
- /data/data/####/dwrsw2w33x.xml
- /data/data/####/edghy6trds.xml
- /data/data/####/eg_policy.xml
- /data/data/####/eguan.db
- /data/data/####/eguan.db-journal
- /data/data/####/eguan_app.db
- /data/data/####/eguan_app.db-journal
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/jkjhhg.xml
- /data/data/####/kdrd3ew4.data-journal
- /data/data/####/kdrwse3w4.data-journal
- /data/data/####/kdsedqe.data-journal
- /data/data/####/kswe32w4.data-journal
- /data/data/####/libjiagu1576325489.so
- /data/data/####/message_accs_db
- /data/data/####/message_accs_db-journal
- /data/data/####/multidex.version.xml
- /data/data/####/nhbfd.data-journal
- /data/data/####/pnc_pref.xml.xml
- /data/data/####/sp_replace_flag.sp
- /data/data/####/sp_replace_flag.sp.bak
- /data/data/####/sputil.sp
- /data/data/####/sputil.sp.bak
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/ugr5trds.data-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/wbwgdesf.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/data/####/wesdrdsqse.xml
- /data/data/####/wesdrdsqse.xml.bak (deleted)
- /data/data/####/wesw2qse.xml
- /data/data/####/wesw2qse.xml.bak (deleted)
- /data/data/####/wew32sde.xml
- /data/data/####/wew32sde.xml.bak (deleted)
- /data/data/####/wewe32de.xml
- /data/data/####/wewe32de.xml.bak (deleted)
- /data/data/####/wewse23wws.data-journal
- /data/data/####/wr4532de.xml
- /data/data/####/wr4532de.xml.bak (deleted)
- /data/data/####/wrwwswe.xml
- /data/data/####/wry6reww322.xml
- /data/data/####/wry6reww322.xml.bak (deleted)
- /data/data/####/wsdewse.xml
- /data/data/####/wsdewse.xml.bak (deleted)
- /data/data/####/wtwtggs.data-journal
- /data/data/####/wwawds.data-journal
- /data/data/####/wweds3sws.data-journal
- /data/data/####/wwssse.xml
- /data/data/####/wwssse.xml.bak (deleted)
- /data/data/####/wwwseds.data-journal
- /data/media/####/.nomedia
- /data/media/####/365admo.jar
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/adm_296_1231.jar
- /data/media/####/admob1231.jar
- /data/media/####/admob654.jar
- /data/media/####/an0416.jar
- /data/media/####/cf1231.jar
- /data/media/####/d0d56a3120394f1489a93145bcec275e
- /data/media/####/deviceToken
- /data/media/####/e.g
- /data/media/####/eg.a
- /data/media/####/js1202.jar
- /data/media/####/la0116huo.jar
- /data/media/####/miqiu0925.jar
- /data/media/####/recorder_-journal
- /data/media/####/santi0316.jar
- /data/media/####/so0117.jar
- /data/media/####/xixi0401.jar
- /data/media/####/ys1450.jar
- /data/media/####/ys7781.jar
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:59841f695312dd70c4001b42","utdid":"XsKmBPijeV0DAGdzx1Eabwi6","sdkVersion":"220"} -I agoodm.m.taobao.com -O 80 -T -Z
- chmod 500 <Package Folder>/files/DaemonServer
- getprop wifi.interface
- sh
Загружает динамические библиотеки:
- libjiagu1576325489
- tnet-3.1
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Осуществляет доступ к интерфейсам записи аудио/видео.
Записывает аудио/видео.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
