Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.HiddenAds.466.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) cgi.con####.qq.com:80
- TCP(SSL/3.0) dmm.lo####.com:443
- TCP(TLS/1.0) dmm.lo####.com:443
- TCP(TLS/1.0) loc.map.b####.com:443
- TCP(TLS/1.0) gd-s####.j####.cn:443
- TCP(TLS/1.0) o####.map.b####.com:443
- TCP(TLS/1.0) ce3e####.j####.cn:443
- TCP(TLS/1.0) api.w####.com:443
- TCP(TLS/1.0) dd29ad0####.bug####.cn:443
- TCP(TLS/1.0) t####.j####.cn:443
- TCP(TLS/1.0) api.map.b####.com:443
- TCP(TLS/1.0) bj####.j####.cn:443
- TCP(TLS/1.0) sdk.verific####.jig####.cn:443
- TCP 1####.232.25.183:7005
- UDP s.j####.cn:19000
- TCP dispatc####.dui####.cn:9225
- UDP easytom####.com:19000
- TCP 1####.25.50.17:7000
- TCP 1####.25.50.79:7007
- TCP 1####.232.25.163:21003
- TCP 1####.232.25.174:21004
- TCP 1####.232.25.175:21005
Запросы DNS:
- ali-s####.j####.cn
- api.map.b####.com
- api.w####.com
- bj####.j####.cn
- ce3e####.j####.cn
- cgi.con####.qq.com
- co####.cmpass####.com
- dd29ad0####.bug####.cn
- dispatc####.dui####.cn
- dispatc####.dui####.cn
- dmm.lo####.com
- easytom####.com
- gd-s####.j####.cn
- i####.me
- l####.cmpass####.com
- loc.map.b####.com
- o####.e.189.cn
- o####.map.b####.com
- one####.cmpass####.com
- openc####.wos####.cn
- s.j####.cn
- sdk.verific####.jig####.cn
- sis.j####.io
- t####.j####.cn
- wap.cmpass####.com
- www.cmpass####.com
Запросы HTTP GET:
- cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?sdkv=####&appid=###...
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.cl
- /data/data/####/.jg.ic
- /data/data/####/0c8dd2bd-37c0-4de9-86ec-04585ec86226
- /data/data/####/0f2c9956-87d4-49f4-a609-ef1e67e1be0b
- /data/data/####/230b2ce0-0e1c-47bf-9588-15f92ec7070f
- /data/data/####/23473235145135a4af00c34091fc0bb1.0.tmp
- /data/data/####/23473235145135a4af00c34091fc0bb1.1.tmp
- /data/data/####/37CF018B.dex
- /data/data/####/37CF018B.dex (deleted)
- /data/data/####/410a118b-dd91-47b9-8275-74e74b8dd39b
- /data/data/####/512c9bb5-3015-4de1-af24-78e7c6f539e6
- /data/data/####/561c53ea-f244-46ce-a751-8adc252d6b9e
- /data/data/####/5850b6d8-ea7b-4d07-9f75-90f893041710
- /data/data/####/5941068e-1530-4664-a0b2-2af63ed23b26
- /data/data/####/61c41091-4f77-4b7e-b404-6fedaea5cc15
- /data/data/####/69ea6fe9-f9bd-403f-8504-5b71a7df1bac
- /data/data/####/7bf88bf7-acb7-4d53-a6f0-a545d3b8caef
- /data/data/####/989fc162-1608-4b6f-be39-44ccae98dc3c
- /data/data/####/9cc9056d-e518-4971-b39e-de79368e2b7d
- /data/data/####/IpInfos.xml
- /data/data/####/Push_Page_Config.xml
- /data/data/####/VERIFY_SP.xml
- /data/data/####/a018e9bf-455c-44fe-8c7e-1aea75b869a3
- /data/data/####/authStatus_com.blackbean.dmshake;remote.xml
- /data/data/####/b762e988-49f8-4615-a17a-357e0365860d
- /data/data/####/bal.catch
- /data/data/####/bf0ae521-351c-4e94-bde9-1eda8a7b22cf
- /data/data/####/bwc.catch
- /data/data/####/c0e159ed-3848-470a-bb34-3bf32611c14a
- /data/data/####/channel.xml
- /data/data/####/cn.jiguang.common.xml
- /data/data/####/cn.jiguang.jverify.xml
- /data/data/####/cn.jiguang.prefs.xml
- /data/data/####/cn.jiguang.sdk.address.xml
- /data/data/####/cn.jiguang.sdk.report.xml
- /data/data/####/cn.jiguang.sdk.user.profile.xml
- /data/data/####/cn.jiguang.verifysdk.sms.xml
- /data/data/####/cn.jpush.android.user.profile.xml
- /data/data/####/cn.jpush.preferences.v2.rid.xml
- /data/data/####/cn.jpush.preferences.v2.xml
- /data/data/####/com.blackbean.dmshake_preferences.xml
- /data/data/####/com.tencent.open.config.json.1106001083
- /data/data/####/f3ee0907-8e91-4c55-b153-ae3cfad4c453
- /data/data/####/firll.dat
- /data/data/####/gal.db
- /data/data/####/gal.db-journal
- /data/data/####/hst.db
- /data/data/####/hst.db-journal
- /data/data/####/journal.tmp
- /data/data/####/libcuid_v3.so
- /data/data/####/libjiagu1986365871.so
- /data/data/####/loovee_push.xml
- /data/data/####/molove.db-journal
- /data/data/####/molove_account.db-journal
- /data/data/####/multidex.version.xml
- /data/data/####/ofl.config
- /data/data/####/ofl_location.db
- /data/data/####/ofl_location.db-journal
- /data/data/####/ofl_statistics.db
- /data/data/####/ofl_statistics.db-journal
- /data/data/####/push_stat_cache.json
- /data/data/####/update.xml
- /data/data/####/weibo_sdk_aid1
- /data/media/####/.nomedia
- /data/media/####/.push_deviceid
- /data/media/####/2020-07-03.log
- /data/media/####/Android_null_1593741116435.txt
- /data/media/####/Android_null_1593741135481.txt
- /data/media/####/com.tencent.mobileqq_connectSdk.20.07.03.04.log
- /data/media/####/conlts.dat
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/yoh.dat
- /data/media/####/yol.dat
- /data/media/####/yom.dat
Другие:
Запускает следующие shell-скрипты:
- ps
Загружает динамические библиотеки:
- 37CF018B
- Bugtags
- jcore232
- libjiagu1986365871
- locSDK8a
- share
- weibosdkcore
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- RSA-ECB-OAEPWithSHA-256AndMGF1Padding
- RSA-ECB-OAEPWithSHA256AndMGF1Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5PADDING
- AES-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
