Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Click.363.origin
Загружает из Интернета следующие детектируемые угрозы:
- Android.Click.363.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) z.c####.com:80
- TCP(HTTP/1.1) bbq.aa####.cn:80
- TCP(HTTP/1.1) shp.q####.cn:80
- TCP(HTTP/1.1) c.c####.com:80
- TCP(HTTP/1.1) gm.mm####.com:80
- TCP(HTTP/1.1) www.appm####.cc:80
- TCP(HTTP/1.1) pco####.ta####.com:80
- TCP(HTTP/1.1) www.baolian####.shop:80
- TCP(HTTP/1.1) i.appm####.cc:8089
- TCP(HTTP/1.1) a####.a####.m.####.com:80
- TCP(TLS/1.0) hm.b####.com:443
- TCP 1####.205.160.76:443
- TCP zb-cent####.m.ta####.com:80
- TCP bbq.aa####.cn:6666
Запросы DNS:
- a####.m.ta####.com
- ag####.m.ta####.com
- bbq.aa####.cn
- c####.mm####.com
- c.c####.com
- hm.b####.com
- i####.c####.com
- i.appm####.cc
- pco####.c####.com
- shp.q####.cn
- umengj####.m.ta####.com
- v1.c####.com
- www.appm####.cc
- www.baolian####.shop
- z6.c####.com
Запросы HTTP GET:
- c.c####.com/core.php?web_id=####&show=####&t=####
- c.c####.com/img/pic2.gif
- c.c####.com/z_stat.php?id=####&show=####
- gm.mm####.com/9.gif?abc=####&rnd=####
- pco####.ta####.com/app.gif?&cna=####
- shp.q####.cn/collector/187111902/79fd0b20-eb01-44fb-9284-a3b6ccc50b5c/0
- shp.q####.cn/collector/187111902/d3684a18-1f9c-4850-a76b-9cb13c015a23/0
- www.baolian####.shop/Public/Home/static/css/0e08e0bac0af4e37872b2b7279cc...
- www.baolian####.shop/Public/Home/static/css/font-awesome.min.css
- www.baolian####.shop/Public/Home/static/css/material-dashboard.css
- www.baolian####.shop/Public/Home/static/js/bootstrap-material-design.min...
- www.baolian####.shop/Public/Home/static/js/bootstrap-notify.js
- www.baolian####.shop/Public/Home/static/js/chartist.min.js
- www.baolian####.shop/Public/Home/static/js/jquery.min.js
- www.baolian####.shop/Public/Home/static/js/material-dashboard.min.js
- www.baolian####.shop/Public/Home/static/js/perfect-scrollbar.jquery.min.js
- www.baolian####.shop/Public/Home/static/js/popper.min.js
- www.baolian####.shop/index.php/index/dsp.html
- z.c####.com/stat.htm?id=####&r=####&lg=####&ntime=####&cnzz_eid=####&sho...
Запросы HTTP POST:
- a####.a####.m.####.com/amdc/mobileDispatch?appkey=####&platform=####&v=#...
- bbq.aa####.cn/classes.dex
- i.appm####.cc:8089/imSdk/appmakerAdRestfulApi/newWebAd
- www.appm####.cc/restfulApi/appIsOverLate
- www.appm####.cc/restfulApi/checkAppVersion?updatetype=####&versioncode=#...
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/ACCS_BIND.xml
- /data/data/####/ACCS_SDK.xml
- /data/data/####/ACCS_SDK.xml (deleted)
- /data/data/####/ACCS_SDK_CHANNEL.xml
- /data/data/####/Agoo_AppStore.xml
- /data/data/####/Alvin2.xml
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/ContextData.xml
- /data/data/####/DaemonServer
- /data/data/####/FirstRun
- /data/data/####/MessageStore.db
- /data/data/####/MessageStore.db-journal
- /data/data/####/accs.db
- /data/data/####/accs.db-journal
- /data/data/####/agoo.pid
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/classes.dex
- /data/data/####/conf.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/eudemon
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/http_www.baoliangwang.shop_0.localstorage-journal
- /data/data/####/imnet_analytics
- /data/data/####/imnet_analytics-journal
- /data/data/####/index
- /data/data/####/libjiagu-1395516747.so
- /data/data/####/message_accs_db
- /data/data/####/message_accs_db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/webview.db
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/media/####/.nomedia
- /data/media/####/0f0ce3347e96469fa3f46232b9d34df4
- /data/media/####/58b8720f7ed84728a424c489e5037f5a
- /data/media/####/95720c922fc2414b826c4426a1d4bfaf
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/accs_election
- /data/media/####/inapp_20200911.log
- /data/media/####/service_20200911.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:574bdca667e58ef8a50036c0","utdid":"X1vjUC2prOcDAGdzx1F4jUmF","sdkVersion":"212"} -I agoodm.m.taobao.com -O 80 -T -Z
- chmod 500 <Package Folder>/files/DaemonServer
- sh
Загружает динамические библиотеки:
- libjiagu-1395516747
- tnet-3.1
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
