Android.Rooter.47

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Rooter.24.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) rq####.sp####.mig.####.net:80
TCP(HTTP/1.1) o####.jd.com:80
TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
TCP(HTTP/1.1) amdc####.m.ta####.com:80
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) api.t####.com:443
TCP(TLS/1.0) 1####.217.168.202:443
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP(TLS/1.0) ke####.jd.com:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) m.black-u####.com:443
TCP(TLS/1.0) safebro####.google####.com:443
TCP(TLS/1.0) user####.al####.com:443
TCP(TLS/1.0) ap####.zuz####.com:443
TCP(TLS/1.0) log.tracki####.com:443
TCP(TLS/1.0) 1####.217.17.74:443
TCP(TLS/1.0) d####.k.jd.com:443
TCP(TLS/1.0) h-adash####.ut.ta####.com:443
TCP(TLS/1.0) za.black-u####.com:443
TCP(TLS/1.0) in####.d####.net:443
TCP(TLS/1.0) baichua####.al####.com:443
TCP(TLS/1.0) android####.go####.com:443
TCP(TLS/1.0) instant####.google####.com:443
TCP(TLS/1.0) www.j####.com:443
TCP(TLS/1.0) m####.m.jd.com:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) secgw-n####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) sett####.crashly####.com:443
TCP(TLS/1.0) is.sn####.com:443
TCP(TLS/1.0) gd.a.s####.com:443
TCP(TLS/1.0) c####.web.q####.####.com:443
TCP(TLS/1.2) 2####.58.208.110:443
TCP(TLS/1.2) 1####.217.17.74:443
TCP(TLS/1.2) 1####.217.19.195:443
TCP(TLS/1.2) 1####.217.168.202:443
TCP zb-cent####.m.ta####.com:443
UDP 1####.0.12.1:137

Запросы DNS:

a####.b####.qq.com
a####.man.aliy####.com
ada####.ut.ta####.com
adas####.ut.ta####.com
aexcep####.b####.qq.com
amdc####.m.ta####.com
and####.b####.qq.com
and####.cli####.go####.com
and####.google####.com
android####.go####.com
ap####.zuz####.com
api.t####.com
baichua####.al####.com
baichua####.ta####.com
d####.k.jd.com
dgst####.jd.com
helpgam####.ksmo####.com
im####.chuxing####.com
instant####.google####.com
is.sn####.com
ke####.jd.com
log.tracki####.com
log.u####.com
m####.m.jd.com
m.black-u####.com
o####.jd.com
p####.google####.com
plb####.u####.com
pv.s####.com
safebro####.google####.com
sett####.crashly####.com
u####.u####.com
umen####.m.ta####.com
umengj####.m.ta####.com
user####.al####.com
y####.al####.org
za.black-u####.com

Запросы HTTP POST:

aexcep####.b####.qq.com:8011/rqd/async?aid=####
aexcep####.b####.qq.com:8012/rqd/async?aid=####
amdc####.m.ta####.com/amdc/mobileDispatch?appkey=####&deviceId=####&plat...
o####.jd.com/upload
rq####.sp####.mig.####.net/rqd/async?aid=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.dex2oatlock
/data/data/####/.imprint
/data/data/####/.updateIV.dat
/data/data/####/0000000lllll_0.dex
/data/data/####/0000000lllll_1.dex
/data/data/####/0000000lllll_2.dex
/data/data/####/000O00ll111l_0.dex
/data/data/####/000O00ll111l_1.dex
/data/data/####/000O00ll111l_2.dex
/data/data/####/00O000ll111l_0.dex
/data/data/####/00O000ll111l_0.dex (deleted)
/data/data/####/00O000ll111l_0.dex.flock
/data/data/####/00O000ll111l_0.dex.flock (deleted)
/data/data/####/00O000ll111l_1.dex
/data/data/####/00O000ll111l_1.dex (deleted)
/data/data/####/00O000ll111l_1.dex.flock
/data/data/####/00O000ll111l_1.dex.flock (deleted)
/data/data/####/00O000ll111l_2.dex
/data/data/####/00O000ll111l_2.dex.flock
/data/data/####/00O000ll111l_2.dex.flock (deleted)
/data/data/####/0OO00l111l1l
/data/data/####/0OO00l111l1l.lock
/data/data/####/0a231bd8575dcf72.txt
/data/data/####/1002
/data/data/####/1004
/data/data/####/31f1fe52e5404d8dadcbb3fdb32072ea
/data/data/####/5EE9BF710354-0001-0D68-FCEFF816D002BeginSession.cls_temp
/data/data/####/5EE9BF710354-0001-0D68-FCEFF816D002BeginSession.json
/data/data/####/5EE9BF710354-0001-0D68-FCEFF816D002SessionApp.cls_temp
/data/data/####/5EE9BF710354-0001-0D68-FCEFF816D002SessionApp.json
/data/data/####/5EE9BF710354-0001-0D68-FCEFF816D002SessionDevice.cls_temp
/data/data/####/5EE9BF710354-0001-0D68-FCEFF816D002SessionDevice.json
/data/data/####/5EE9BF710354-0001-0D68-FCEFF816D002SessionOS.cls_temp
/data/data/####/5EE9BF710354-0001-0D68-FCEFF816D002SessionOS.json
/data/data/####/5EE9BF710354-0001-0D68-FCEFF816D002SessionUser.cls_temp
/data/data/####/5EE9BF7F0205-0001-0ECF-FCEFF816D002BeginSession.cls_temp
/data/data/####/5EE9BF7F0205-0001-0ECF-FCEFF816D002BeginSession.json
/data/data/####/5EE9BF7F0205-0001-0ECF-FCEFF816D002SessionApp.cls_temp
/data/data/####/5EE9BF7F0205-0001-0ECF-FCEFF816D002SessionApp.json
/data/data/####/5EE9BF7F0205-0001-0ECF-FCEFF816D002SessionDevice.cls_temp
/data/data/####/5EE9BF7F0205-0001-0ECF-FCEFF816D002SessionDevice.json
/data/data/####/5EE9BF7F0205-0001-0ECF-FCEFF816D002SessionOS.cls_temp
/data/data/####/5EE9BF7F0205-0001-0ECF-FCEFF816D002SessionOS.json
/data/data/####/5EE9BF7F0205-0001-0ECF-FCEFF816D002SessionUser.cls_temp
/data/data/####/5EE9BF9A007A-0001-100B-FCEFF816D002BeginSession.cls_temp
/data/data/####/5EE9BF9A007A-0001-100B-FCEFF816D002BeginSession.json
/data/data/####/5EE9BF9A007A-0001-100B-FCEFF816D002SessionApp.cls_temp
/data/data/####/5EE9BF9A007A-0001-100B-FCEFF816D002SessionApp.json
/data/data/####/5EE9BF9A007A-0001-100B-FCEFF816D002SessionDevice.cls_temp
/data/data/####/5EE9BF9A007A-0001-100B-FCEFF816D002SessionDevice.json
/data/data/####/5EE9BF9A007A-0001-100B-FCEFF816D002SessionOS.cls_temp
/data/data/####/5EE9BF9A007A-0001-100B-FCEFF816D002SessionOS.json
/data/data/####/778ac26121f940ba8927c46eea4a526b
/data/data/####/86_77e57424-f425-4815-9e92-128a3a04e0ea_1592377..._0.ich
/data/data/####/ACCS_BINDumeng;5ba0bc0df1f55680ec0000c0.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/ACCS_SDK_CHANNEL.xml.bak
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/BUGLY_COMMON_VALUES.xml
/data/data/####/ContextData.xml
/data/data/####/Cookies-journal
/data/data/####/JX0WDG83P1ZN.txtd68
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/Reyun.db
/data/data/####/Reyun.db-journal
/data/data/####/SGMANAGER_DATA2
/data/data/####/SGMANAGER_DATA2 (deleted)
/data/data/####/SGMANAGER_DATA2.tmp
/data/data/####/SG_INNER_DATA
/data/data/####/TwitterAdvertisingInfoPreferences.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/UTCommon.xml
/data/data/####/Web Data
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/ap.Lock
/data/data/####/auth_sdk_device.xml
/data/data/####/auth_shared.xml
/data/data/####/avmp_312757200.pkgInfo
/data/data/####/avmp_312757200.pkgInfo.tmp
/data/data/####/ba335fd03fef437d84eeee28e2015183
/data/data/####/bc_config
/data/data/####/bugly_db_-journal
/data/data/####/bugly_db_yaq-journal
/data/data/####/com.black.unique-journal
/data/data/####/com.black.unique.BETA_VALUES.xml
/data/data/####/com.black.unique.BETA_VALUES.xml.bak
/data/data/####/com.black.unique_infoc_config_pref.xml
/data/data/####/com.black.unique_preferences.xml
/data/data/####/com.crashlytics.prefs.xml
/data/data/####/com.crashlytics.sdk.android;answers;settings.xml
/data/data/####/com.crashlytics.settings.json
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDa...ml.bak
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
/data/data/####/crashrecord.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNTkyMzc3MjA1Mjg0;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTkyMzc3MjE5ODYz;
/data/data/####/dW1weF9wdXNoX2xhdW5jaF8xNTkyMzc3MjMwNjEx;
/data/data/####/dW1weF9wdXNoX3JlZ2lzdGVyXzE1OTIzNzcyMjA1MDE=;
/data/data/####/dW1weF9zaGFyZV8xNTkyMzc3MjA1NjY2;
/data/data/####/dc5e7bbfc62e7feea9
/data/data/####/dcdf0be000df3b1fe6
/data/data/####/dcdf89fc4eed89d2be
/data/data/####/dced7d7df2eff9f5d0
/data/data/####/dceda1a472ff81c391
/data/data/####/dcefafbececf35623d
/data/data/####/deviceid_prefs.xml
/data/data/####/downloader.db-journal
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/i==1.2.0&&1.18.0_1592377208125_envelope.log
/data/data/####/info.xml
/data/data/####/initialization_marker
/data/data/####/io.fabric.sdk.android;fabric;a.a.a.a.n.xml
/data/data/####/kepler_public.xml
/data/data/####/kepler_public.xml.bak
/data/data/####/libsgavmpso-5.4.36.so.tmp.3432
/data/data/####/libsgmainso-5.4.171.so.tmp.3432
/data/data/####/libsgsecuritybodyso-5.4.99.so
/data/data/####/libsgsgmiddletierso-5.4.7.so
/data/data/####/libshellx-super.2019.so
/data/data/####/local_crash_lock
/data/data/####/local_crash_lock (deleted)
/data/data/####/lock.lock
/data/data/####/main_312757200.pkgInfo
/data/data/####/main_312757200.pkgInfo.tmp
/data/data/####/map_record.txt
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/metrics_guid
/data/data/####/native_record_lock
/data/data/####/native_record_lock (deleted)
/data/data/####/o0oooOO0ooOo.dat
/data/data/####/pattern_urls
/data/data/####/proc_auxv
/data/data/####/reg_record.txt
/data/data/####/rqd_record.eup
/data/data/####/sa_797bb946-326d-4432-bdc2-f4e0e74d591b_1592377204248.tap
/data/data/####/security_info
/data/data/####/securitybody_312757200.pkgInfo
/data/data/####/securitybody_312757200.pkgInfo.tmp
/data/data/####/sensorsdata.xml
/data/data/####/session_analytics.tap
/data/data/####/session_analytics.tap (deleted)
/data/data/####/session_analytics.tap.tmp
/data/data/####/sgFile.lock
/data/data/####/sgmiddletier_312757200.pkgInfo
/data/data/####/sgmiddletier_312757200.pkgInfo.tmp
/data/data/####/share.db-journal
/data/data/####/smart_link_sp.xml
/data/data/####/smart_link_sp.xml.bak
/data/data/####/sp.lock
/data/data/####/t==8.1.3&&1.18.0_1592377234298_envelope.log
/data/data/####/timestamp
/data/data/####/tomb.zip
/data/data/####/tomb_1592377199785.txt
/data/data/####/tomb_1592377218241.txt
/data/data/####/tomb_1592377245897.txt
/data/data/####/tosversion
/data/data/####/tracking_device_id_cache.xml
/data/data/####/tracking_install.xml
/data/data/####/tracking_interval.xml
/data/data/####/tt_sdk_settings.xml
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopenadsdk.xml.bak
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml.bak
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/umeng_socialize.xml
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/data/####/webview_data.lock
/data/media/####/.0
/data/media/####/.1
/data/media/####/.10
/data/media/####/.11
/data/media/####/.2
/data/media/####/.3
/data/media/####/.4
/data/media/####/.5
/data/media/####/.6
/data/media/####/.7
/data/media/####/.8
/data/media/####/.9
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.lock
/data/media/####/.nomedia
/data/media/####/.umm.dat
/data/media/####/18d2ed21a6e7170c48de5438de9b9d8e
/data/media/####/@gs_1241_com.black.unique_
/data/media/####/@gs_1241_com.black.unique_.lock
/data/media/####/ANDROID.PERMISSION.TEST
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/d41d8cd98f00b204e9800998ecf8427e
/data/media/####/deviceToken
/data/media/####/dfe55732e3ae9e6e6f3a4348457e1ba7
/data/media/####/hid.dat.new
/data/media/####/splash_134_40ecbfa5e686674dd36ac4984de6e7a3.jpeg
/data/media/####/uuid
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/data/user/0/<Package>/files/dcdf0be000df3b1fe6
/data/user/0/<Package>/files/dcdf89fc4eed89d2be
/data/user/0/<Package>/files/dceda1a472ff81c391
/data/user/0/<Package>/files/dcefafbececf35623d
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/dex2oat --dex-file=/data/user/0/<Package>/files/prodexdir/00O000ll111l_0.dex --oat-file=/data/user/0/<Package>/files/prodexdir/odexdir/00O000ll111l_0.dex --compiler-filter=interpret-only
/system/bin/dex2oat --dex-file=/data/user/0/<Package>/files/prodexdir/00O000ll111l_1.dex --oat-file=/data/user/0/<Package>/files/prodexdir/odexdir/00O000ll111l_1.dex --compiler-filter=interpret-only
/system/bin/dex2oat --dex-file=/data/user/0/<Package>/files/prodexdir/00O000ll111l_2.dex --oat-file=/data/user/0/<Package>/files/prodexdir/odexdir/00O000ll111l_2.dex --compiler-filter=interpret-only
/system/bin/sh -c getprop
cat /sys/class/net/wlan0/address
getprop
getprop persist.sys.use.flyme.icon
getprop ro.build.display.id
getprop ro.build.hw_emui_api_level
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.flyme.published
getprop ro.letv.release.version
getprop ro.meizu.setupwizard.flyme
getprop ro.miui.ui.version.code
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.vivo.os.build.display.id
logcat -d -v threadtime -s dalvikvm art zygote zygote64 OpenGLRenderer Bugly-libunwind:S
logcat -t 1000 -v threadtime Bugly-libunwind:S
ls /
ls /sys/class/thermal

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней