Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.6618
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) j.souso####.com:80
- TCP(HTTP/1.1) na61-####.wagbr####.ali####.####.com:80
- TCP(HTTP/1.1) lar####.c####.l####.####.com:80
- TCP(HTTP/1.1) gd.a.s####.com:80
- TCP(HTTP/1.1) j.quwe####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(TLS/1.0) h####.b####.com:443
- TCP(TLS/1.0) md####.google####.com:443
- TCP(TLS/1.0) bj####.j####.cn:443
- TCP(TLS/1.0) t####.j####.cn:443
- TCP(TLS/1.0) sdk.verific####.jig####.cn:443
- TCP(TLS/1.0) ce3e####.j####.cn:443
- TCP(TLS/1.0) 1####.217.17.138:443
- TCP(TLS/1.0) p-fas####.j####.cn:443
- TCP(TLS/1.0) to####.ctobsn####.com.####.net:443
- TCP(TLS/1.0) gd-s####.j####.cn:443
- TCP(TLS/1.0) na61-####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) o.d####.mi####.####.com:443
- TCP(TLS/1.2) 2####.58.211.110:443
- TCP(TLS/1.2) 1####.217.17.138:443
- TCP(TLS/1.2) 1####.250.179.163:443
- UDP sis.j####.io:19000
- UDP 1####.217.17.138:443
- TCP 1####.230.236.36:7004
Запросы DNS:
- a.souso####.com
- ali-s####.j####.cn
- and####.b####.qq.com
- bj####.j####.cn
- ce3e####.j####.cn
- co####.cmpass####.com
- d####.mi####.xi####.com
- dxp.b####.com
- easytom####.com
- gd-s####.j####.cn
- h####.b####.com
- i####.me
- ip.ta####.com
- j.quwe####.com
- j.souso####.com
- l####.cmpass####.com
- md####.google####.com
- o####.e.189.cn
- one####.cmpass####.com
- openc####.wos####.cn
- p-fas####.j####.cn
- pv.s####.com
- s.j####.cn
- s.startog####.com
- sdk.verific####.jig####.cn
- sis.j####.io
- t####.j####.cn
- to####.ctobsn####.com
- wap.cmpass####.com
- www.cmpass####.com
Запросы HTTP GET:
- gd.a.s####.com/cityjson
- lar####.c####.l####.####.com/1569578416087_474d95b464ce9927.png
- na61-####.wagbr####.ali####.####.com/service/getIpInfo.php?ip=####
Запросы HTTP POST:
- and####.b####.qq.com/rqd/async?aid=####
- j.quwe####.com/f/m1
- j.souso####.com/a/l1
- j.souso####.com/ad/config
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.5f74fda1307ed4a1aba00feb044b8ae7
- /data/data/####/.6838c58d1695833d1f37ce908e16f206
- /data/data/####/.cl
- /data/data/####/.confd
- /data/data/####/.confd-journal
- /data/data/####/.extConfig.xml
- /data/data/####/.jg.ic
- /data/data/####/.mtj_timestamp
- /data/data/####/0.xml
- /data/data/####/0e86dcce-2e59-4d98-b8f6-34afca5cd006
- /data/data/####/1004
- /data/data/####/1a5de9bf-8008-45ef-aee1-1037b6856eed
- /data/data/####/39285EFA.dex
- /data/data/####/39285EFA.dex.flock (deleted)
- /data/data/####/908c3235-bf04-4f90-9193-16ea5e821234
- /data/data/####/IpInfos.xml
- /data/data/####/Push_Page_Config.xml
- /data/data/####/VERIFY_SP.xml
- /data/data/####/VERIFY_SP.xml.bak
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/YBJK_ExamPic4Big.json
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml.bak
- /data/data/####/__local_ap_info_cache.json
- /data/data/####/__local_last_session.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/__send_data_1623762861308
- /data/data/####/a39453b2-1b6b-4c6c-8f72-64aa3bf2120b
- /data/data/####/a39453b2-1b6b-4c6c-8f72-64aa3bf2120b (deleted)
- /data/data/####/a840ad0d-a57c-48b8-ac4d-aee8af13a752
- /data/data/####/applog_stats.xml
- /data/data/####/baidu_mtj_sdk_record.xml
- /data/data/####/baidu_mtj_sdk_record.xml.bak
- /data/data/####/bal.catch
- /data/data/####/bd_tea_agent.db-journal
- /data/data/####/bugly_db_-journal
- /data/data/####/bwc.catch
- /data/data/####/cbxlib.xml
- /data/data/####/cd3f07da-4be6-4cca-84c3-0c71037d18f4
- /data/data/####/classes.dex
- /data/data/####/classes.dex.flock (deleted)
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.dex;classes4.dex
- /data/data/####/cn.jiguang.common.xml
- /data/data/####/cn.jiguang.common.xml.bak
- /data/data/####/cn.jiguang.jverify_v4.xml
- /data/data/####/cn.jiguang.prefs.xml
- /data/data/####/cn.jiguang.sdk.address.xml
- /data/data/####/cn.jiguang.sdk.report.xml
- /data/data/####/cn.jiguang.sdk.share.profile.xml
- /data/data/####/cn.jiguang.sdk.user.profile.xml
- /data/data/####/cn.jiguang.verifysdk.sms.xml
- /data/data/####/cn.jpush.android.user.profile.xml
- /data/data/####/cn.jpush.config.xml
- /data/data/####/cn.jpush.config.xml.bak
- /data/data/####/cn.jpush.preferences.v2.rid.xml
- /data/data/####/cn.jpush.preferences.v2.rid.xml.bak
- /data/data/####/cn.jpush.preferences.v2.xml
- /data/data/####/com.runbey.ybjk_preferences.xml
- /data/data/####/crashrecord.xml
- /data/data/####/doc.zip
- /data/data/####/eff6deab-194e-4aad-a924-97fbeb9759dc
- /data/data/####/fc1ee7f1-df63-4d84-b25e-444cd99d18fb
- /data/data/####/foc.png
- /data/data/####/hc_hoclib_sdk.xml
- /data/data/####/hc_hoclib_sdk.xml.bak
- /data/data/####/header_custom.xml
- /data/data/####/hoc.xml
- /data/data/####/last_sp_session.xml
- /data/data/####/libcuid.so
- /data/data/####/libjiagu.so
- /data/data/####/local_crash_lock
- /data/data/####/metrics_guid
- /data/data/####/mistat.db-journal
- /data/data/####/mistat.xml
- /data/data/####/mistat.xml.bak
- /data/data/####/mistat.xml.bak (deleted)
- /data/data/####/native_record_lock
- /data/data/####/native_record_lock (deleted)
- /data/data/####/proc_auxv
- /data/data/####/rl.catch
- /data/data/####/security_info
- /data/data/####/snssdk_openudid.xml
- /data/data/####/temp.dat
- /data/data/####/trace_circle.data
- /data/data/####/update.xml
- /data/data/####/userlist.xml
- /data/data/####/ybjk_APP.xml
- /data/data/####/ybjk_base.sqlite
- /data/data/####/ybjk_user.sqlite
- /data/data/####/ybjk_user.sqlite-journal (deleted)
- /data/data/####/ybjk_vip.sqlite
- /data/misc/####/primary.prof
- /data/user_de/####/move_to_de_records.xml
Другие:
Запускает следующие shell-скрипты:
- chmod 0755/data/user/0/<Package>/app_range/up/classes.dex
- chmod 0755/data/user/0/<Package>/app_range/up/temp.dat
- getprop
- getprop ro.build.display.id
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.smartisan.version
- getprop ro.vivo.os.version
- logcat -d -v threadtime
- ps
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CFB-NOPADDING
- AES-ECB-PKCS5Padding
- AES-GCM-NoPadding
- DES
- RSA-ECB-OAEPWithSHA-256AndMGF1Padding
- RSA-ECB-OAEPWithSHA256AndMGF1Padding
- RSA-ECB-PKCS1Padding
- RSA-None-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CFB-NOPADDING
- AES-ECB-PKCS5Padding
- DES
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о привязанных к устройству аккаунтах (Google, Facebook и т. д.).
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
