Android.Joker.277

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Joker.41.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) gd.a.s####.com:80
TCP(HTTP/1.1) j.souso####.com:80
TCP(HTTP/1.1) a.xinxian####.com:80
TCP(HTTP/1.1) beacon####.aliy####.com:80
TCP(HTTP/1.1) apidis####.adhu####.com:80
TCP(HTTP/1.1) res.ema####.com:80
TCP(HTTP/1.1) ip.ta####.com:80
TCP(HTTP/1.1) mss####.ema####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) ms####.ema####.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) qzones####.g####.cn.####.com:80
TCP(HTTP/1.1) t####.3g.qq.com:80
TCP(HTTP/1.1) im####.pindu####.com.####.com:80
TCP(HTTP/1.1) mcnv####.ertou####.com:80
TCP(HTTP/1.1) amdc####.m.ta####.com:80
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(HTTP/1.1) i####.g####.com:80
TCP(HTTP/1.1) d####.1####.tv:80
TCP(HTTP/1.1) ads.on####.mobi:80
TCP(HTTP/1.1) f####.fengkon####.com:80
TCP(HTTP/1.1) 2####.107.1.65:80
TCP(TLS/1.0) clouda####.y####.com:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) analy####.map.qq.com:443
TCP(TLS/1.0) dig.b####.net:443
TCP(TLS/1.0) feed####.on####.mobi:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) sf3-ttc####.ps####.com:443
TCP(TLS/1.0) otherbd####.x2s####.t####.####.com:443
TCP(TLS/1.0) serve####.wanzhua####.com:443
TCP(TLS/1.0) en####.t####.cn:443
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) sh.wagbr####.aliyun####.com:443
TCP(TLS/1.0) s####.e.qq.com:443
TCP(TLS/1.0) in####.d####.net:443
TCP(TLS/1.0) c####.1####.tv:443
TCP(TLS/1.0) mi.g####.qq.com:443
TCP(TLS/1.0) mcnv####.ertou####.com:443
TCP(TLS/1.0) securit####.sp####.mig.####.net:443
TCP(TLS/1.0) cb####.oss-cn-####.aliy####.com:443
TCP zb-cent####.m.ta####.com:80
TCP zb-cent####.m.ta####.com:443
TCP m####.3g.qq.com:443

Запросы DNS:

a####.man.aliy####.com
a.xinxian####.com
ads.on####.mobi
ag####.m.ta####.com
amdc####.m.ta####.com
analy####.map.qq.com
apidis####.adhu####.com
beacon####.aliy####.com
c####.1####.tv
cb####.oss-cn-####.aliy####.com
clouda####.y####.com
d####.1####.tv
dig.b####.net
en####.t####.cn
f####.fengkon####.com
feed####.on####.mobi
helpgam####.ksmo####.com
i####.g####.com
im####.pindu####.com
ip.ta####.com
is.sn####.com
j.souso####.com
l####.tbs.qq.com
log.u####.com
m####.3g.qq.com
mcnv####.ertou####.com
mi.g####.qq.com
ms####.ema####.com
mss####.ema####.com
mss####.ema####.com
plb####.u####.com
pv.s####.com
q####.qq.com
qzones####.g####.cn
res.ema####.com
s####.e.qq.com
serve####.wanzhua####.com
sf3-ttc####.ps####.com
st####.xinxian####.com
t####.3g.qq.com
t####.m.qq.com
to####.ctobsn####.com
u####.u####.com
u####.umengc####.com
umen####.m.ta####.com
umengj####.m.ta####.com

Запросы HTTP GET:

ads.on####.mobi/v2/sdkConfig?osi=####&dmk=####&publishId=####&ts=####&dm...
apidis####.adhu####.com/sdk/1.0/media-init.htm?package_name=####&media_i...
apidis####.adhu####.com/sdk/1.1/applist.htm
apidis####.adhu####.com/sdk/1.1/saveInstallApp.htm?deviceId=####&mediaId...
d####.c####.l####.####.com/releasev1.zip
gd.a.s####.com/cityjson
gd.a.s####.com/cityjson?ie=####
i####.g####.com/corpimage.php?url=####&type=####&source=####&net=####&do...
im####.pindu####.com.####.com/marketing_api/2020-05-17/4c7c4041-5e74-4c3...
ip.ta####.com/service/getIpInfo.php?ip=####
mcnv####.ertou####.com/task/1589547883902.png
mcnv####.ertou####.com/task/1590583745750.gif
mcnv####.ertou####.com/task/1594374469621.png
mss####.ema####.com/log?k=####&q=####&adurl=####
qzones####.g####.cn.####.com/qzone/biz/gdt/mob/sdk/v2/android03/js-relea...
res.ema####.com/eboxres/images/defaultad/2020/01/21/1579611436287/157961...
t####.3g.qq.com/cw.html

Запросы HTTP POST:

a.xinxian####.com/encrypt/cf/tt
amdc####.m.ta####.com/amdc/mobileDispatch?appkey=####&deviceId=####&plat...
beacon####.aliy####.com/beacon/fetch/config/byappkey
d####.1####.tv/log?ts=####&access_key=####&udid=####&m=####&mth=####
f####.fengkon####.com/v3/cloudconf
f####.fengkon####.com/v3/profile/android
j.souso####.com/ad/config
l####.tbs.qq.com/ajax?c=####&k=####
ms####.ema####.com/getAdConfig
ms####.ema####.com/getPriority
ms####.ema####.com/getkeys
mss####.ema####.com/getPriority
mss####.ema####.com/getad?k=####&v=####&q=####&ua=####
mss####.ema####.com/juhelog?k=####&q=####
s####.e.qq.com/activate

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1330367817-923610422
/data/data/####/-1333803226-1756200109
/data/data/####/-1812857015-447647143
/data/data/####/-1890474117-843421199
/data/data/####/-1954759337-1756200109
/data/data/####/-2143282171-776934649
/data/data/####/-368679712-1903433356
/data/data/####/-598127316372973188
/data/data/####/.cl
/data/data/####/.jg.ic
/data/data/####/.turing.dat
/data/data/####/1004
/data/data/####/1021689741840853517
/data/data/####/105498_auMini_1
/data/data/####/1078305922372973188
/data/data/####/1471227806372973188
/data/data/####/15283304531362114487
/data/data/####/1528330453361583448
/data/data/####/1801369327372973188
/data/data/####/1829521281-381493509
/data/data/####/1831964913-1367343142
/data/data/####/2192.yaqcookie
/data/data/####/3126349021484705265
/data/data/####/370089343-776934649
/data/data/####/39285EFA.dex
/data/data/####/3e6262f009c5fe6b568a12f2e341d0a7.0.tmp
/data/data/####/3e6262f009c5fe6b568a12f2e341d0a7.1.tmp
/data/data/####/40805.dat
/data/data/####/465334aed6964fcd9931fadf0405d18c
/data/data/####/4e7e51631ab20624af5da8bb9fe38a71.0.tmp
/data/data/####/4e7e51631ab20624af5da8bb9fe38a71.1.tmp
/data/data/####/58d68f2f828c1ba9f27959c80d28e2a5.0.tmp
/data/data/####/58d68f2f828c1ba9f27959c80d28e2a5.1.tmp
/data/data/####/6aa93dfb4e1285f9e97adaaa2a2e6044.0.tmp
/data/data/####/6aa93dfb4e1285f9e97adaaa2a2e6044.1.tmp
/data/data/####/737121d7a377462649099a54c5c56a58.0.tmp
/data/data/####/737121d7a377462649099a54c5c56a58.1.tmp
/data/data/####/7ae78a2235f73ad9f1f45b61162f0185.temp
/data/data/####/7f14f8ae953533213c9f614ce202ae05.0.tmp
/data/data/####/7f14f8ae953533213c9f614ce202ae05.1.tmp
/data/data/####/83334f6d9082d84d98521e82aa40a521.temp
/data/data/####/8a41b0c458acb8df582bb9aed94078b0.0.tmp
/data/data/####/8a41b0c458acb8df582bb9aed94078b0.1.tmp
/data/data/####/94967c4256144d66ab454748e2312dd2
/data/data/####/ACCS_BINDdefault.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/BuglySdkInfos.xml
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/MultiDex.lock
/data/data/####/OnewaySdk2.4.0.jar
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/applog_stats.xml
/data/data/####/b6eacff236ba21ae16fa733d582acc6d.0.tmp
/data/data/####/b6eacff236ba21ae16fa733d582acc6d.1.tmp
/data/data/####/bd_embed_tea_agent.db-journal
/data/data/####/bd_tea_agent.db-journal
/data/data/####/book_read_record.xml
/data/data/####/bugly_db_-journal
/data/data/####/bx_sdk.xml
/data/data/####/bytedance_downloader.db-journal
/data/data/####/cbxlib.xml
/data/data/####/cc6da7cb97e6a5d3ece038b354ad66b7.0.tmp
/data/data/####/cc6da7cb97e6a5d3ece038b354ad66b7.1.tmp
/data/data/####/channel_umeng_common_config.xml
/data/data/####/com.lucky.magicbox.xml
/data/data/####/com.lucky.magicbox_infoc_config_pref.xml
/data/data/####/com.qq.e.sdkconfig.xml
/data/data/####/com.shumei.xml
/data/data/####/com.xq.shared_preferences.xml
/data/data/####/com_alibaba_aliyun_crash_defend_sdk_info
/data/data/####/com_alibaba_aliyun_crash_defend_sdk_info_com.lu...hannel
/data/data/####/com_alibaba_aliyun_crash_defend_sdk_info_com.lu...x;step
/data/data/####/config
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/d9bfd693bdf6c327733bb23cedb7410e.0.tmp
/data/data/####/d9bfd693bdf6c327733bb23cedb7410e.1.tmp
/data/data/####/dW1weF9pbnRlcm5hbF8xNTk1NDM4MTUxMjg4;
/data/data/####/dW1weF9wdXNoX2xhdW5jaF8xNTk1NDM4MjEzMzA0;
/data/data/####/dW1weF9wdXNoX3JlZ2lzdGVyXzE1OTU0MzgxOTA4NzU=;
/data/data/####/dW1weF9zaGFyZV8xNTk1NDM4MTk0NTQ5;
/data/data/####/dW1weF9zaGFyZV8xNTk1NDM4MjE0NDYw;
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/debug.conf
/data/data/####/default_config.xml
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/download_upload
/data/data/####/emarSdkShare.xml
/data/data/####/embed_applog_stats.xml
/data/data/####/embed_last_sp_session.xml
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f2ca74a8c14e81bc311a450085edb5d6.0.tmp
/data/data/####/f2ca74a8c14e81bc311a450085edb5d6.1.tmp
/data/data/####/f_000001
/data/data/####/fc_times.xml
/data/data/####/ff4477a89dc461605beba1dd3b0bfd2c.0.tmp
/data/data/####/ff4477a89dc461605beba1dd3b0bfd2c.1.tmp
/data/data/####/gdt_config.cfg
/data/data/####/gdt_download.db
/data/data/####/gdt_download.db-journal
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_stat.db
/data/data/####/gdt_stat.db-journal
/data/data/####/gdt_suid
/data/data/####/header_custom.xml
/data/data/####/httpdns_config_cache.xml
/data/data/####/httpdns_config_enable.xml
/data/data/####/hudid.xml
/data/data/####/i==1.2.0&&1.6.9.1_1595438151489_envelope.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/journal.tmp
/data/data/####/last_sp_session.xml
/data/data/####/libMMANDKSignature.4c821802.so
/data/data/####/libcuid.so
/data/data/####/libjiagu-14950191.so
/data/data/####/libturingau.4c821802.so
/data/data/####/libyaqbasic.4c821802.so
/data/data/####/libyaqpro.4c821802.so
/data/data/####/local_crash_lock
/data/data/####/mcn.db-journal
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/mpdc_105498_1
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/sdkShareName.xml
/data/data/####/seq.xml
/data/data/####/share.db-journal
/data/data/####/sk.xml
/data/data/####/snssdk_openudid.xml
/data/data/####/sp_push_time.xml
/data/data/####/step_shared_data.xml
/data/data/####/step_umeng_common_config.xml
/data/data/####/t==8.0.2&&1.6.9.1_1595438163260_envelope.log
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak (deleted)
/data/data/####/tbs_download_stat.xml
/data/data/####/tbs_pv_config
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/temp.png
/data/data/####/temp00.png
/data/data/####/tms_base.xml
/data/data/####/tracker.db-journal
/data/data/####/tt_dns_settings.xml
/data/data/####/tt_sdk_settings.xml
/data/data/####/tt_sp_app_list.xml
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopensdk.db-journal
/data/data/####/tui_base.xml
/data/data/####/turingfd_conf_105498_auMini.xml
/data/data/####/turingfd_protect_105498_47_auMini.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/umeng_socialize.xml
/data/data/####/umeng_sp_oaid.xml
/data/data/####/update.xml
/data/data/####/update_lc
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/yaq.4c821802.sec
/data/data/####/yaq2.4c821802.sec
/data/data/####/yaq3_0.4c821802.sec
/data/data/####/yaqsdkcookie
/data/data/####/yilan_sdk.xml
/data/media/####/.cuid2
/data/media/####/.hudid
/data/media/####/.nomedia
/data/media/####/.thumbcache_idx0
/data/media/####/.turing.dat
/data/media/####/02644baf5223e07134911a3f4f692b685884ee0d2c9241....0.tmp
/data/media/####/1236_adWeight.config
/data/media/####/1237_adWeight.config
/data/media/####/1434a714c9ccd6ac39e40a834b1f7e7562105ddfa326a1....0.tmp
/data/media/####/14c16babc62952d941719bacad0fdaa9b48c5f7dcb5d4d....0.tmp
/data/media/####/18a04e8f43d4b875fb2f0fdfefe0ae17a4bf9448052302....0.tmp
/data/media/####/1b51ab89d066dcd5e584e0606421009fc5ada8b68b6544....0.tmp
/data/media/####/1d0e461eaa13e3839e7851f4b199eaa6a824955478be40....0.tmp
/data/media/####/1dfd0707ec72a8366019af25dd180b56e8d3f679612336....0.tmp
/data/media/####/33efe242b13f3bb3595a3815c5e47e6b74c6416e38b8b1....0.tmp
/data/media/####/3b9644a0fcc10d5c4ecf26cde97471a2de8bad72956894....0.tmp
/data/media/####/75d511c232443d3bd5bc780edf110bc5.tmp
/data/media/####/882e51d7a5ad351c84931e54c36048fb03de0eae8d66e3....0.tmp
/data/media/####/8d9cd4716200323cd0da168351b6254f9deeabc1b9d7d4....0.tmp
/data/media/####/8dad16c98ea39d8e1d534cae0a7ab9df33559f05cd1f7d....0.tmp
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/cefc2a31dbf15fa041faea283e631d58fe402b2210a238....0.tmp
/data/media/####/clientudid.dat
/data/media/####/deviceToken
/data/media/####/e1f82677ecfabcb0d04d530e25d800602137d4e2d4bd0e....0.tmp
/data/media/####/e5d8d63f2dfd58926b7e4e9e49484e31.tmp
/data/media/####/filesappConfig.json
/data/media/####/journal
/data/media/####/journal.tmp
/data/media/####/shumei.txt
/data/media/####/tbslog.txt
/data/media/####/temp_pkg_info.json
/data/media/####/token.txt

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/df
/system/bin/getprop
/system/bin/sh -c getprop
<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:5e212a44570df30ce800016d","utdid":"Xxh0RBq6IHYDAGdzx1Fz+66O","sdkVersion":"221"} -I agoodm.m.taobao.com -O 80 -T -Z
busybox ifconfig
cat /proc/cpuinfo
cat /proc/self/cgroup
chmod 500 <Package Folder>/files/DaemonServer
getprop
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.letv.release.version
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.smartisan.version
getprop ro.vivo.os.build.display.id
getprop ro.vivo.os.version
logcat -d -v threadtime
ls -l /system/xbin/su
ls /
ls /sys/class/thermal
ps
sh
sh -c cat /proc/sys/kernel/random/boot_id

Загружает динамические библиотеки:

39285EFA
Bugly
libMMANDKSignature.4c821802
libjiagu-14950191
libturingau.4c821802
libyaqbasic.4c821802
libyaqpro.4c821802
nms
pl_droidsonroids_gif
smsdk
tnet-3.1
tobEmbedEncrypt
tobEncrypt

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NOPADDING
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
DES
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NOPADDING
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
DES
DES-ECB-NoPadding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней