Android.Joker.328

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Joker.41.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) t####.3g.qq.com:80
TCP(HTTP/1.1) gd.a.s####.com:80
TCP(HTTP/1.1) j.souso####.com:80
TCP(HTTP/1.1) a.xinxian####.com:80
TCP(HTTP/1.1) beacon####.aliy####.com:80
TCP(HTTP/1.1) mcnv####.ertou####.com:80
TCP(HTTP/1.1) ip.ta####.com:80
TCP(HTTP/1.1) apidis####.adhu####.com:80
TCP(HTTP/1.1) ms####.ema####.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) tinychi####.q####.com.####.com:80
TCP(HTTP/1.1) amdc####.m.ta####.com:80
TCP(HTTP/1.1) 2####.107.1.65:80
TCP(HTTP/1.1) d####.1####.tv:80
TCP(HTTP/1.1) rq####.sp####.mig.####.net:80
TCP(HTTP/1.1) ads.on####.mobi:80
TCP(HTTP/1.1) f####.fengkon####.com:80
TCP(SSL/3.0) o####.e.kuai####.com:443
TCP(TLS/1.0) st####.yx####.com.####.net:443
TCP(TLS/1.0) clouda####.y####.com:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) dig.b####.net:443
TCP(TLS/1.0) feed####.on####.mobi:443
TCP(TLS/1.0) tx2.a.yx####.####.com:443
TCP(TLS/1.0) o####.e.kuai####.com:443
TCP(TLS/1.0) lo####.sp####.mig.####.net:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) al####.u####.com:443
TCP(TLS/1.0) sf3-ttc####.ps####.com:443
TCP(TLS/1.0) s####.e.qq.com:443
TCP(TLS/1.0) en####.t####.cn:443
TCP(TLS/1.0) serve####.wanzhua####.com:443
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) sh.wagbr####.aliyun####.com:443
TCP(TLS/1.0) to####.ctobsn####.com:443
TCP(TLS/1.0) sf3-fe####.pglstat####.com:443
TCP(TLS/1.0) in####.d####.net:443
TCP(TLS/1.0) c####.1####.tv:443
TCP(TLS/1.0) otherbd####.x2s####.t####.####.com:443
TCP(TLS/1.0) securit####.sp####.mig.####.net:443
TCP zb-cent####.m.ta####.com:443
TCP m####.3g.qq.com:443

Запросы DNS:

a####.man.aliy####.com
a.xinxian####.com
ads.on####.mobi
ag####.m.ta####.com
amdc####.m.ta####.com
and####.b####.qq.com
apidis####.adhu####.com
beacon####.aliy####.com
c####.1####.tv
clouda####.y####.com
d####.1####.tv
dig.b####.net
en####.t####.cn
f####.fengkon####.com
feed####.on####.mobi
helpgam####.ksmo####.com
ip.ta####.com
is.sn####.com
j.souso####.com
l####.tbs.qq.com
log.u####.com
m####.3g.qq.com
mcnv####.ertou####.com
ms####.ema####.com
o####.e.kuai####.com
plb####.u####.com
pv.s####.com
q####.qq.com
s####.e.qq.com
serve####.wanzhua####.com
sf3-fe####.pglstat####.com
sf3-ttc####.ps####.com
st####.xinxian####.com
st####.yx####.com
t####.3g.qq.com
t####.m.qq.com
to####.ctobsn####.com
tx2.a.yx####.com
u####.u####.com
umen####.m.ta####.com
umengj####.m.ta####.com

Запросы HTTP GET:

ads.on####.mobi/v2/sdkConfig?osi=####&dmk=####&publishId=####&ts=####&dm...
apidis####.adhu####.com/sdk/1.0/media-init.htm?package_name=####&media_i...
apidis####.adhu####.com/sdk/1.1/applist.htm
apidis####.adhu####.com/sdk/1.1/saveInstallApp.htm?deviceId=####&mediaId...
gd.a.s####.com/cityjson
gd.a.s####.com/cityjson?ie=####
ip.ta####.com/service/getIpInfo.php?ip=####
mcnv####.ertou####.com/task/1592903017167.gif
t####.3g.qq.com/cw.html
tinychi####.q####.com.####.com/releasev50.zip

Запросы HTTP POST:

a.xinxian####.com/encrypt/cf/tt
amdc####.m.ta####.com/amdc/mobileDispatch?appkey=####&deviceId=####&plat...
beacon####.aliy####.com/beacon/fetch/config/byappkey
d####.1####.tv/log?ts=####&access_key=####&udid=####&m=####&mth=####
f####.fengkon####.com/v3/cloudconf
f####.fengkon####.com/v3/profile/android
j.souso####.com/ad/config
ms####.ema####.com/getAdConfig
ms####.ema####.com/getkeys
rq####.sp####.mig.####.net/rqd/async?aid=####
s####.e.qq.com/activate

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.cl
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.turing.dat
/data/data/####/091136d0d4e23c08d976ba49c078daff.0.tmp
/data/data/####/091136d0d4e23c08d976ba49c078daff.1.tmp
/data/data/####/1004
/data/data/####/1021689741840853517
/data/data/####/105498_auMini_1
/data/data/####/1528330453361583448
/data/data/####/1829521281-381493509
/data/data/####/2.apk
/data/data/####/2193.yaqcookie
/data/data/####/39285EFA.dex
/data/data/####/40805.dat
/data/data/####/ACCS_BINDdefault.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/AndroidAria.db
/data/data/####/AndroidAria.db-journal
/data/data/####/AriaApp.cfg
/data/data/####/AriaDownload.cfg
/data/data/####/BuglySdkInfos.xml
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/MultiDex.lock
/data/data/####/OnewaySdk2.4.0.jar
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/applog_stats.xml
/data/data/####/base-1.apk
/data/data/####/bc60f9ddc8a84f1889bd64f772fb916d
/data/data/####/bd_embed_tea_agent.db-journal
/data/data/####/bd_tea_agent.db-journal
/data/data/####/book_read_record.xml
/data/data/####/bugly_db_-journal
/data/data/####/bx_sdk.xml
/data/data/####/bytedance_downloader.db-journal
/data/data/####/c2c4ceb2084636fe8d40ccfcaf33af82.temp
/data/data/####/cbxlib.xml
/data/data/####/channel_umeng_common_config.xml
/data/data/####/com.lucky.magicbox.xml
/data/data/####/com.lucky.magicbox_infoc_config_pref.xml
/data/data/####/com.qq.e.sdkconfig.xml
/data/data/####/com.shumei.xml
/data/data/####/com.xq.shared_preferences.xml
/data/data/####/com_alibaba_aliyun_crash_defend_sdk_info
/data/data/####/com_alibaba_aliyun_crash_defend_sdk_info_com.lu...hannel
/data/data/####/com_alibaba_aliyun_crash_defend_sdk_info_com.lu...x;step
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNjAwMDYxMTAwMTEy;
/data/data/####/dW1weF9wdXNoX2xhdW5jaF8xNjAwMDYxMTQwMjI3;
/data/data/####/dW1weF9wdXNoX3JlZ2lzdGVyXzE2MDAwNjExMjY0MTM=;
/data/data/####/dW1weF9zaGFyZV8xNjAwMDYxMTQzMDcx;
/data/data/####/dW1weF9zaGFyZV8xNjAwMDYxMTUwNDM4;
/data/data/####/de35acc1cddfbf1fa0a4f083363c26fe.0.tmp
/data/data/####/de35acc1cddfbf1fa0a4f083363c26fe.1.tmp
/data/data/####/default_config.xml
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/download_upload
/data/data/####/emarSdkShare.xml
/data/data/####/embed_applog_stats.xml
/data/data/####/embed_last_sp_session.xml
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f95779be20a443ddb8e03971a10fcfde
/data/data/####/fc_times.xml
/data/data/####/feccd846053e32d397bf7092b563890b.temp
/data/data/####/gdt_config.cfg
/data/data/####/gdt_download.db
/data/data/####/gdt_download.db-journal
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_stat.db
/data/data/####/gdt_stat.db-journal
/data/data/####/gdt_suid
/data/data/####/httpdns_config_cache.xml
/data/data/####/httpdns_config_enable.xml
/data/data/####/hudid.xml
/data/data/####/i==1.2.0&&1.6.9.9_1600061100363_envelope.log
/data/data/####/info.xml
/data/data/####/journal.tmp
/data/data/####/ksadrep.db-journal
/data/data/####/ksadsdk_config.xml
/data/data/####/ksadsdk_rep.xml
/data/data/####/ksadsdk_seq.xml
/data/data/####/kssdk_api_pref.xml
/data/data/####/last_sp_session.xml
/data/data/####/libMMANDKSignature.4c821802.so
/data/data/####/libaegon.so
/data/data/####/libc++_shared.so
/data/data/####/libcuid.so
/data/data/####/libframesequence.so
/data/data/####/libframesequence.so (deleted)
/data/data/####/libhodor.so
/data/data/####/libhodor.so (deleted)
/data/data/####/libjiagu-14950191.so
/data/data/####/libkwaiplayer.so
/data/data/####/libturingau.4c821802.so
/data/data/####/libyaqbasic.4c821802.so
/data/data/####/libyaqpro.4c821802.so
/data/data/####/local_crash_lock
/data/data/####/mcn.db-journal
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/mpdc_105498_1
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/sdkShareName.xml
/data/data/####/security_info
/data/data/####/seq.xml
/data/data/####/share.db-journal
/data/data/####/sk.xml
/data/data/####/snssdk_openudid.xml
/data/data/####/sodl1600061100620-842035009.tmp
/data/data/####/sowebp1600061094214-965303630.tmp
/data/data/####/sp_push_time.xml
/data/data/####/step_shared_data.xml
/data/data/####/step_umeng_common_config.xml
/data/data/####/t==8.0.2&&1.6.9.9_1600061107881_envelope.log
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbs_pv_config
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/temp.png
/data/data/####/temp00.png
/data/data/####/tms_base.xml
/data/data/####/tracker.db-journal
/data/data/####/tt_dns_settings.xml
/data/data/####/tt_sdk_settings.xml
/data/data/####/tt_sdk_settings.xml.bak
/data/data/####/tt_sp_app_list.xml
/data/data/####/ttadv1.jar
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopensdk.db-journal
/data/data/####/tui_base.xml
/data/data/####/turingfd_conf_105498_auMini.xml
/data/data/####/turingfd_protect_105498_47_auMini.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/umeng_socialize.xml
/data/data/####/umeng_sp_oaid.xml
/data/data/####/update.xml
/data/data/####/update_lc
/data/data/####/webview.db-journal
/data/data/####/yaq.4c821802.sec
/data/data/####/yaq2.4c821802.sec
/data/data/####/yaq3_0.4c821802.sec
/data/data/####/yaqsdkcookie
/data/data/####/yilan_sdk.xml
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.cuid2
/data/media/####/.hudid
/data/media/####/.nomedia
/data/media/####/.thumbcache_idx0
/data/media/####/.turing.dat
/data/media/####/.umm.dat
/data/media/####/44963dfebec8dd4bb6eefe8f0ed555c3.tmp
/data/media/####/49gflsfgh5etqb6t1n5qii07m.0.tmp
/data/media/####/8f5fcaf01144f7055f9237a8fbfb82e1b867937d2c92c5....0.tmp
/data/media/####/9e79243af941e54cf18c09c5e6203684310cb2bd69f5a1....0.tmp
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/a099306b296b6ea0a961f7e95a395fa9.tmp
/data/media/####/clientudid.dat
/data/media/####/deviceToken
/data/media/####/filesappConfig.json
/data/media/####/journal
/data/media/####/journal.tmp
/data/media/####/shumei.txt
/data/media/####/tbslog.txt
/data/media/####/temp_pkg_info.json
/data/media/####/token.txt

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/df
/system/bin/getprop
/system/bin/sh -c getprop
<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:5e212a44570df30ce800016d","utdid":"X17+qt4QqNADAGdzx1HOMVXm","sdkVersion":"221"} -I agoodm.m.taobao.com -O 80 -T -Z
busybox ifconfig
cat /proc/cpuinfo
cat /proc/self/cgroup
cat /sys/class/net/wlan0/address
chmod 500 <Package Folder>/files/DaemonServer
getprop
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.letv.release.version
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.smartisan.version
getprop ro.vivo.os.build.display.id
getprop ro.vivo.os.version
ls /
ls /sys/class/thermal
ps
sh
sh -c cat /proc/sys/kernel/random/boot_id

Загружает динамические библиотеки:

39285EFA
Bugly
kwad_common
libMMANDKSignature.4c821802
libjiagu-14950191
libturingau.4c821802
libyaqbasic.4c821802
libyaqpro.4c821802
nms
pl_droidsonroids_gif
smsdk
tnet-3.1
tobEmbedEncrypt
tobEncrypt

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NOPADDING
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
DES
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-NOPADDING
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
DES
DES-ECB-NoPadding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней