Android.Joker.255

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Joker.41.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) t####.3g.qq.com:80
TCP(HTTP/1.1) gd.a.s####.com:80
TCP(HTTP/1.1) j.souso####.com:80
TCP(HTTP/1.1) a.xinxian####.com:80
TCP(HTTP/1.1) beacon####.aliy####.com:80
TCP(HTTP/1.1) apidis####.adhu####.com:80
TCP(HTTP/1.1) res.ema####.com:80
TCP(HTTP/1.1) ip.ta####.com:80
TCP(HTTP/1.1) mss####.ema####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) ms####.ema####.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) qzones####.g####.cn.####.com:80
TCP(HTTP/1.1) p####.ugd####.com.####.com:80
TCP(HTTP/1.1) mcnv####.ertou####.com:80
TCP(HTTP/1.1) amdc####.m.ta####.com:80
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(HTTP/1.1) i####.g####.com:80
TCP(HTTP/1.1) d####.1####.tv:80
TCP(HTTP/1.1) rq####.sp####.mig.####.net:80
TCP(HTTP/1.1) ads.on####.mobi:80
TCP(HTTP/1.1) f####.fengkon####.com:80
TCP(HTTP/1.1) 2####.107.1.65:80
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) clouda####.y####.com:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) dig.b####.net:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) sf3-ttc####.ps####.com:443
TCP(TLS/1.0) otherbd####.x2s####.t####.####.com:443
TCP(TLS/1.0) s####.e.qq.com:443
TCP(TLS/1.0) en####.t####.cn:443
TCP(TLS/1.0) serve####.wanzhua####.com:443
TCP(TLS/1.0) to####.ctobsn####.com:443
TCP(TLS/1.0) in####.d####.net:443
TCP(TLS/1.0) c####.1####.tv:443
TCP(TLS/1.0) mi.g####.qq.com:443
TCP(TLS/1.0) mcnv####.ertou####.com:443
TCP(TLS/1.0) securit####.sp####.mig.####.net:443
TCP(TLS/1.0) cb####.oss-cn-####.aliy####.com:443
TCP zb-cent####.m.ta####.com:443
TCP m####.3g.qq.com:443

Запросы DNS:

a####.man.aliy####.com
a.xinxian####.com
ads.on####.mobi
ag####.m.ta####.com
amdc####.m.ta####.com
and####.b####.qq.com
apidis####.adhu####.com
beacon####.aliy####.com
c####.1####.tv
cb####.oss-cn-####.aliy####.com
clouda####.y####.com
d####.1####.tv
dig.b####.net
en####.t####.cn
f####.fengkon####.com
helpgam####.ksmo####.com
i####.g####.com
ip.ta####.com
is.sn####.com
j.souso####.com
l####.tbs.qq.com
log.u####.com
m####.3g.qq.com
mcnv####.ertou####.com
mi.g####.qq.com
ms####.ema####.com
mss####.ema####.com
mss####.ema####.com
p####.ugd####.com
plb####.u####.com
pv.s####.com
q####.qq.com
qzones####.g####.cn
res.ema####.com
s####.e.qq.com
serve####.wanzhua####.com
sf3-ttc####.ps####.com
st####.xinxian####.com
t####.3g.qq.com
t####.m.qq.com
to####.ctobsn####.com
u####.u####.com
umen####.m.ta####.com
umengj####.m.ta####.com

Запросы HTTP GET:

ads.on####.mobi/v2/sdkConfig?osi=####&dmk=####&publishId=####&ts=####&dm...
apidis####.adhu####.com/sdk/1.0/media-init.htm?media_id=####&package_nam...
d####.c####.l####.####.com/releasev1.zip
gd.a.s####.com/cityjson
i####.g####.com/corpimage.php?url=####&type=####&source=####&net=####&do...
ip.ta####.com/service/getIpInfo.php?ip=####
mcnv####.ertou####.com/task/1590583745750.gif
mcnv####.ertou####.com/task/1592903017167.gif
mss####.ema####.com/log?k=####&q=####&adurl=####
p####.ugd####.com.####.com/gdt/0/EAA6_ZPAUAALQAAAiM9Be_aGnBDfpygco.jpg/0...
qzones####.g####.cn.####.com/qzone/biz/gdt/mob/sdk/v2/android03/js-relea...
res.ema####.com/eboxres/images/defaultad/2020/01/21/1579611436287/157961...
t####.3g.qq.com/cw.html

Запросы HTTP POST:

a.xinxian####.com/encrypt/cf/tt
amdc####.m.ta####.com/amdc/mobileDispatch?appkey=####&deviceId=####&plat...
beacon####.aliy####.com/beacon/fetch/config/byappkey
d####.1####.tv/log?ts=####&access_key=####&udid=####&m=####&mth=####
f####.fengkon####.com/v3/cloudconf
f####.fengkon####.com/v3/profile/android
j.souso####.com/ad/config
l####.tbs.qq.com/ajax?c=####&k=####
ms####.ema####.com/getAdConfig
ms####.ema####.com/getPriority
ms####.ema####.com/getkeys
mss####.ema####.com/getad?k=####&v=####&q=####&ua=####
mss####.ema####.com/juhelog?k=####&q=####
rq####.sp####.mig.####.net/rqd/async?aid=####
s####.e.qq.com/activate

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1309376585-1770089485
/data/data/####/-14746104501466628001
/data/data/####/.cl
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.jg.ri
/data/data/####/.jg.store.report_cf
/data/data/####/.turing.dat
/data/data/####/0d16ffba8c1bbcd13c9e823880bcd3c4.0.tmp
/data/data/####/0d16ffba8c1bbcd13c9e823880bcd3c4.1.tmp
/data/data/####/0e025ed5ef909ad2c85c53697d7d669c.0.tmp
/data/data/####/0e025ed5ef909ad2c85c53697d7d669c.1.tmp
/data/data/####/1004
/data/data/####/1021689741840853517
/data/data/####/105498_auMini_1
/data/data/####/15283304531362114487
/data/data/####/1528330453361583448
/data/data/####/1767580621-1006294971
/data/data/####/1829521281-381493509
/data/data/####/1b3bedc32c086b9c0d6ec7c87baac8f0.0.tmp
/data/data/####/1b3bedc32c086b9c0d6ec7c87baac8f0.1.tmp
/data/data/####/2196.yaqcookie
/data/data/####/253029729-1615143580
/data/data/####/312249f6e68a5153b1c81717f9daa4d7.0.tmp
/data/data/####/312249f6e68a5153b1c81717f9daa4d7.1.tmp
/data/data/####/39285EFA.dex
/data/data/####/3a13c143aefa408ca69f67c28593bd11
/data/data/####/40805.dat
/data/data/####/507033571-1853433656
/data/data/####/6579e8e5b391ecc5363724aa99e79000.0.tmp
/data/data/####/6579e8e5b391ecc5363724aa99e79000.1.tmp
/data/data/####/733357cf46eae1a72c6762cfccb50680.0.tmp
/data/data/####/733357cf46eae1a72c6762cfccb50680.1.tmp
/data/data/####/7ae78a2235f73ad9f1f45b61162f0185.temp
/data/data/####/86_1d24b531-ce07-4716-a164-12578d5f06c4_1594319..._0.ich
/data/data/####/86_7822372f-d049-4907-a805-2b189426f134_1594319..._0.ich
/data/data/####/8d4ee035cfde577843a85a5b500e689f.0.tmp
/data/data/####/8d4ee035cfde577843a85a5b500e689f.1.tmp
/data/data/####/9430088871043051771
/data/data/####/ACCS_BINDdefault.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/BuglySdkInfos.xml
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/MultiDex.lock
/data/data/####/OnewaySdk2.4.0.jar
/data/data/####/StrategyConfig
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/applog_stats.xml
/data/data/####/b6dce2df020629e6552bcee5394fbeb6.0.tmp
/data/data/####/b6dce2df020629e6552bcee5394fbeb6.1.tmp
/data/data/####/bd_embed_tea_agent.db-journal
/data/data/####/bd_tea_agent.db-journal
/data/data/####/book_read_record.xml
/data/data/####/bugly_db_-journal
/data/data/####/bx_sdk.xml
/data/data/####/bytedance_downloader.db-journal
/data/data/####/cbxlib.xml
/data/data/####/channel_umeng_common_config.xml
/data/data/####/com.lucky.magicbox.xml
/data/data/####/com.lucky.magicbox_infoc_config_pref.xml
/data/data/####/com.qq.e.sdkconfig.xml
/data/data/####/com.shumei.xml
/data/data/####/com.xq.shared_preferences.xml
/data/data/####/com_alibaba_aliyun_crash_defend_sdk_info
/data/data/####/com_alibaba_aliyun_crash_defend_sdk_info_com.lu...hannel
/data/data/####/com_alibaba_aliyun_crash_defend_sdk_info_com.lu...x;step
/data/data/####/config
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNTk0MzE4OTY2ODU0;
/data/data/####/dW1weF9wdXNoX2xhdW5jaF8xNTk0MzE5MDEyOTM2;
/data/data/####/dW1weF9wdXNoX3JlZ2lzdGVyXzE1OTQzMTkwMDI4NzE=;
/data/data/####/dW1weF9zaGFyZV8xNTk0MzE5MDE1MDI0;
/data/data/####/dW1weF9zaGFyZV8xNTk0MzE5MDI3NDcy;
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/debug.conf
/data/data/####/default_config.xml
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/download_upload
/data/data/####/e30c36e87e6084225fa0543a778bf193.0.tmp
/data/data/####/e30c36e87e6084225fa0543a778bf193.1.tmp
/data/data/####/emarSdkShare.xml
/data/data/####/embed_applog_stats.xml
/data/data/####/embed_last_sp_session.xml
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f69655dcb99bac75b570098e926fafd8.0.tmp
/data/data/####/f69655dcb99bac75b570098e926fafd8.1.tmp
/data/data/####/f9a0ea3c2a537f896887bfa733c23f2e.0.tmp
/data/data/####/f9a0ea3c2a537f896887bfa733c23f2e.1.tmp
/data/data/####/f_000001
/data/data/####/fc_times.xml
/data/data/####/fde2cdb46f724fe19bfb860614b6d2d5
/data/data/####/gdt_config.cfg
/data/data/####/gdt_download.db
/data/data/####/gdt_download.db-journal
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_stat.db
/data/data/####/gdt_stat.db-journal
/data/data/####/gdt_suid
/data/data/####/header_custom.xml
/data/data/####/httpdns_config_cache.xml
/data/data/####/httpdns_config_enable.xml
/data/data/####/hudid.xml
/data/data/####/i==1.2.0&&1.6.8.6_1594318966990_envelope.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/journal.tmp
/data/data/####/last_sp_session.xml
/data/data/####/libMMANDKSignature.4c821802.so
/data/data/####/libcuid.so
/data/data/####/libjiagu-14950191.so
/data/data/####/libturingau.4c821802.so
/data/data/####/libyaqbasic.4c821802.so
/data/data/####/libyaqpro.4c821802.so
/data/data/####/local_crash_lock
/data/data/####/mcn.db-journal
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/mpdc_105498_1
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/okgo.db-journal
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/sdkShareName.xml
/data/data/####/security_info
/data/data/####/seq.xml
/data/data/####/share.db-journal
/data/data/####/sk.xml
/data/data/####/snssdk_openudid.xml
/data/data/####/sp_push_time.xml
/data/data/####/step_shared_data.xml
/data/data/####/step_umeng_common_config.xml
/data/data/####/t==8.0.2&&1.6.8.6_1594318974535_envelope.log
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak
/data/data/####/tbs_download_stat.xml
/data/data/####/tbs_pv_config
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/temp.png
/data/data/####/temp00.png
/data/data/####/tms_base.xml
/data/data/####/tracker.db-journal
/data/data/####/tt_dns_settings.xml
/data/data/####/tt_sdk_settings.xml
/data/data/####/tt_sp_app_list.xml
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopensdk.db-journal
/data/data/####/tui_base.xml
/data/data/####/tui_base.xml.bak (deleted)
/data/data/####/turingfd_conf_105498_auMini.xml
/data/data/####/turingfd_protect_105498_47_auMini.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/umeng_socialize.xml
/data/data/####/umeng_sp_oaid.xml
/data/data/####/update.xml
/data/data/####/update_lc
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/yaq.4c821802.sec
/data/data/####/yaq2.4c821802.sec
/data/data/####/yaq3_0.4c821802.sec
/data/data/####/yaqsdkcookie
/data/data/####/yilan_sdk.xml
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.cuid2
/data/media/####/.hudid
/data/media/####/.nomedia
/data/media/####/.thumbcache_idx0
/data/media/####/.turing.dat
/data/media/####/.umm.dat
/data/media/####/1236_adWeight.config
/data/media/####/1237_adWeight.config
/data/media/####/1434a714c9ccd6ac39e40a834b1f7e7562105ddfa326a1....0.tmp
/data/media/####/1d0e461eaa13e3839e7851f4b199eaa6a824955478be40....0.tmp
/data/media/####/2020-07-09 21;23;49_1.6.8.6_crash.txt
/data/media/####/2d93a4869020457ea6e349c401c0cdb7d20faef50dbc16....0.tmp
/data/media/####/38bfa928b60a16dccfa7f15ac031ce52ed333567d00839....0.tmp
/data/media/####/68a80e131b2ccaa2b79484d2cc4da070.tmp
/data/media/####/7135ba18e21a5e415265169a77270595c7728f98fa37b2....0.tmp
/data/media/####/882e51d7a5ad351c84931e54c36048fb03de0eae8d66e3....0.tmp
/data/media/####/8f5fcaf01144f7055f9237a8fbfb82e1b867937d2c92c5....0.tmp
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/a0c2fead4fb6b43040927c8e70b1ba05d8c7c8d3e65e69....0.tmp
/data/media/####/a521bd128bc0d7d16857ea6780f3e9f9e10d49492c77f1....0.tmp
/data/media/####/cefc2a31dbf15fa041faea283e631d58fe402b2210a238....0.tmp
/data/media/####/clientudid.dat
/data/media/####/deviceToken
/data/media/####/ec31c9d95e24a9c6d63e726b20894604f17d346ee934f5....0.tmp
/data/media/####/f00ebb78bee99c02b5311500fc979bf679fa175a1e8576....0.tmp
/data/media/####/fdb3f9ae386465f12cd75c5762c3c81af89864239bcb68....0.tmp
/data/media/####/filesappConfig.json
/data/media/####/journal.tmp
/data/media/####/shumei.txt
/data/media/####/token.txt

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/df
/system/bin/getprop
/system/bin/sh -c getprop
<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:5e212a44570df30ce800016d","utdid":"Xwdgdd8T7dEDAGdzx1EZ64YK","sdkVersion":"221"} -I agoodm.m.taobao.com -O 80 -T -Z
busybox ifconfig
cat /proc/cpuinfo
cat /proc/self/cgroup
chmod 500 <Package Folder>/files/DaemonServer
getprop
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.letv.release.version
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.smartisan.version
getprop ro.vivo.os.build.display.id
getprop ro.vivo.os.version
logcat -d -v threadtime
ls -l /system/xbin/su
ls /
ls /sys/class/thermal
ps
sh
sh -c cat /proc/sys/kernel/random/boot_id

Загружает динамические библиотеки:

39285EFA
Bugly
libMMANDKSignature.4c821802
libjiagu-14950191
libturingau.4c821802
libyaqbasic.4c821802
libyaqpro.4c821802
nms
pl_droidsonroids_gif
smsdk
tnet-3.1
tobEmbedEncrypt
tobEncrypt

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NOPADDING
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
DES
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NOPADDING
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
DES
DES-ECB-NoPadding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней