Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.HiddenAds.466.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) cgi.con####.qq.com:80
- TCP(SSL/3.0) dmm.lo####.com:443
- TCP(TLS/1.0) api.map.b####.com:443
- TCP(TLS/1.0) api.w####.com:443
- TCP(TLS/1.0) o####.map.b####.com:443
- TCP(TLS/1.0) ce3e####.j####.cn:443
- TCP(TLS/1.0) loc.map.b####.com:443
- TCP(TLS/1.0) bj####.j####.cn:443
- TCP(TLS/1.0) dmm.lo####.com:443
- TCP(TLS/1.0) dd29ad0####.bug####.cn:443
- TCP(TLS/1.0) sdk.verific####.jig####.cn:443
- TCP 1####.232.25.183:7001
- TCP 1####.232.25.174:21007
- UDP s.j####.cn:19000
- UDP easytom####.com:19000
- TCP 1####.25.50.24:7003
- TCP dispatc####.dui####.cn:9225
Запросы DNS:
- api.map.b####.com
- api.w####.com
- bj####.j####.cn
- ce3e####.j####.cn
- cgi.con####.qq.com
- co####.cmpass####.com
- dd29ad0####.bug####.cn
- dispatc####.dui####.cn
- dispatc####.dui####.cn
- dmm.lo####.com
- easytom####.com
- i####.me
- l####.cmpass####.com
- loc.map.b####.com
- o####.e.189.cn
- o####.map.b####.com
- one####.cmpass####.com
- openc####.wos####.cn
- s.j####.cn
- sdk.verific####.jig####.cn
- sis.j####.io
- wap.cmpass####.com
- www.cmpass####.com
Запросы HTTP GET:
- cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?sdkv=####&appid=###...
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.cl
- /data/data/####/.jg.ic
- /data/data/####/195a5483-8d62-4949-90e2-bc74090f88db
- /data/data/####/1aa396aa-7f49-425f-83b4-cf9dea730ea2
- /data/data/####/1ca89079-e025-4186-a74b-874d35455dcf
- /data/data/####/1ef78746-28ce-4e15-8241-dd601c438f1a
- /data/data/####/23473235145135a4af00c34091fc0bb1.0.tmp
- /data/data/####/23473235145135a4af00c34091fc0bb1.1.tmp
- /data/data/####/37CF018B.dex
- /data/data/####/37CF018B.dex (deleted)
- /data/data/####/4b8a8c87-c0c8-46e7-aa9d-2dc0d01e02d8
- /data/data/####/611bcfa7-2e03-4636-8052-4c8f69dac601
- /data/data/####/720695e5-4e1d-47fe-a283-0f23fea6db1a
- /data/data/####/78b2932a-aa89-49c7-8774-0df5cc8f2572
- /data/data/####/7eb1a13d-0bcb-4c93-8fac-1aff10242a53
- /data/data/####/9e99f0c4-d54c-47a6-a5ad-e9ab85865abe
- /data/data/####/IpInfos.xml
- /data/data/####/Push_Page_Config.xml
- /data/data/####/VERIFY_SP.xml
- /data/data/####/authStatus_com.blackbean.dmshake;remote.xml
- /data/data/####/bal.catch
- /data/data/####/bfa4f54f-5cf2-4a95-ada3-830d19b97598
- /data/data/####/bwc.catch
- /data/data/####/c59a9893-eddc-43fb-8829-157a11644b1a
- /data/data/####/channel.xml
- /data/data/####/cn.jiguang.common.xml
- /data/data/####/cn.jiguang.jverify.xml
- /data/data/####/cn.jiguang.prefs.xml
- /data/data/####/cn.jiguang.sdk.address.xml
- /data/data/####/cn.jiguang.sdk.user.profile.xml
- /data/data/####/cn.jpush.android.user.profile.xml
- /data/data/####/cn.jpush.preferences.v2.rid.xml
- /data/data/####/cn.jpush.preferences.v2.xml
- /data/data/####/com.blackbean.dmshake_preferences.xml
- /data/data/####/com.tencent.open.config.json.1106001083
- /data/data/####/d346ed6a-4177-46c5-902b-d6f4f067be78
- /data/data/####/e875ea1e-18fb-46cb-84fb-0456b8ae1dfb
- /data/data/####/fe31f4a1-d9ef-4fa8-834c-a0497246302c
- /data/data/####/fedcda2f-bf83-490d-9a70-2c149c89adb8
- /data/data/####/firll.dat
- /data/data/####/gal.db
- /data/data/####/gal.db-journal
- /data/data/####/hst.db
- /data/data/####/hst.db-journal
- /data/data/####/journal.tmp
- /data/data/####/libcuid_v3.so
- /data/data/####/libjiagu1986365871.so
- /data/data/####/loovee_push.xml
- /data/data/####/molove.db-journal
- /data/data/####/molove_account.db-journal
- /data/data/####/multidex.version.xml
- /data/data/####/ofl_location.db
- /data/data/####/ofl_location.db-journal
- /data/data/####/ofl_statistics.db
- /data/data/####/ofl_statistics.db-journal
- /data/data/####/push_stat_cache.json
- /data/data/####/update.xml
- /data/data/####/weibo_sdk_aid1
- /data/media/####/.nomedia
- /data/media/####/.push_deviceid
- /data/media/####/2020-06-07.log
- /data/media/####/Android_null_1591487006115.txt
- /data/media/####/Android_null_1591487016401.txt
- /data/media/####/Android_null_1591487025966.txt
- /data/media/####/Android_null_1591487057505.txt
- /data/media/####/com.tencent.mobileqq_connectSdk.20.06.07.02.log
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
Другие:
Запускает следующие shell-скрипты:
- ps
Загружает динамические библиотеки:
- 37CF018B
- Bugtags
- jcore232
- libjiagu1986365871
- locSDK8a
- share
- weibosdkcore
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- RSA-ECB-OAEPWithSHA-256AndMGF1Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5PADDING
- AES-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
