Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.300.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) bd####.k####.cn:80
- TCP(HTTP/1.1) bodiani####.k####.cn.####.com:80
- TCP(HTTP/1.1) log.k####.cn:80
- TCP(TLS/1.0) 1####.217.168.202:443
- TCP(TLS/1.0) f####.j####.cn:443
- TCP(TLS/1.0) p-fas####.j####.cn:443
- TCP(TLS/1.0) co####.j####.cn:443
- TCP(TLS/1.0) t####.j####.cn:443
- TCP(TLS/1.0) ali-s####.j####.cn:443
- TCP(TLS/1.0) cgi.con####.qq.com:443
- TCP(TLS/1.0) md####.google####.com:443
- TCP(TLS/1.0) al####.u####.com:443
- TCP(TLS/1.0) ce3e####.j####.cn:443
- TCP(TLS/1.0) bj####.j####.cn:443
- TCP(TLS/1.2) 1####.250.179.163:443
- TCP(TLS/1.2) 1####.250.179.202:443
- UDP 1####.250.179.202:443
- UDP sis.j####.io:19000
- TCP 1####.9.110.57:7003
- UDP 1####.0.12.254:6000
Запросы DNS:
- ali-s####.j####.cn
- ap####.uc.cn
- bd####.k####.cn
- bj####.j####.cn
- bodiani####.k####.cn
- ce3e####.j####.cn
- cgi.con####.qq.com
- co####.j####.cn
- del####.k####.cn
- easytom####.com
- f####.j####.cn
- gd-s####.j####.cn
- log.k####.cn
- m####.go####.com
- md####.google####.com
- p-fas####.j####.cn
- s.j####.cn
- sis.j####.io
- t####.j####.cn
- u####.u####.com
- uh1.k####.cn
- uh2.k####.cn
- www.taiyu####.com
Запросы HTTP GET:
- bd####.k####.cn/api/service/category/rec?uid=####&token=####
- bd####.k####.cn/api/service/openscreen/index?uid=####&token=####
- bd####.k####.cn/api/service/preference/group?uid=####&token=####
- bd####.k####.cn/api/service/preference/info?uid=####&token=####
- bd####.k####.cn/api/service/users/appuid?devId=####&uid=####&token=####
- bodiani####.k####.cn.####.com/images/85289a1b5b85917fd78941ff01297c19.jpg
Запросы HTTP POST:
- log.k####.cn/music.yl?uid=####&token=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.cl
- /data/data/####/.db25ee158df568a455afaa66aff0f065
- /data/data/####/.extConfig.xml
- /data/data/####/.hptc.cache_cn.wenyu.bodian
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.lock
- /data/data/####/0b6743b4-5c13-4460-be6a-dfa5c1144c3b
- /data/data/####/3dcd4b2e-daa1-4eab-88e0-f51161f75f51
- /data/data/####/5f82ee6f-ebc2-4be0-a334-8de01b797acc
- /data/data/####/77d9a6c0-cf53-11eb-b335-095094a98987.jpg
- /data/data/####/8177fca5-4ff4-43ed-b78e-eae57f2f6a6f
- /data/data/####/8446601c-40ef-43d4-93a2-02f2f2a65881
- /data/data/####/90f8a2fb-c4b7-4928-bd7c-4f3825bcdc26
- /data/data/####/BuglySdkInfos.xml
- /data/data/####/CAZAAAACBAAAAAAAAAACIAIAAAJQAAIACIAAAAH777776EY...QAFQAA
- /data/data/####/CAZAAAACBAAAAAAAAAACKAAAAAJQAAIA7777777777776EY...QAFQAA
- /data/data/####/CAZAAAACBAAAAAAAAAACKAIAAAJQAAIACIAAAAH777776EY...QAFQAA
- /data/data/####/CAZAAAACBAAAAAAAAAAGKAQAAAJQAAIA777777Y4AAIQAEY...QAFQAA
- /data/data/####/CAZAAAECA4AAAAAAAAAEOAAAAAJQAAIA777777Y4AAIQB77...YAAWAA
- /data/data/####/CAZAAAECA4AAAAAAAAAEOAQAAAJQAAIA777777Y4AAIQB77...YAAWAA
- /data/data/####/CAZAAAECA4AAAAAAAEABGAABAAOAAEIACUAAGAH77777777...YAAWAA
- /data/data/####/CAZAAAECAUAAAAAAAAABGAABAAOAAEIADQAAGAAQABNAAAA...AAFQAA
- /data/data/####/CAZAAAECAYAAAAAAAAAACAAAAAJQAAIADQABCAATAAKAAAA...AALAAA
- /data/data/####/CAZAAAICBIAAAAAAAAACKAIAAAJQAAIACIAAAAH777776EY...CAAWAA
- /data/data/####/CAZAAAICBIAAAAAAAAAGKAQAAAJQAAIA777777Y4AAIQAEY...CAAWAA
- /data/data/####/CAZACAECBYAAAAAAAAACOAAAAAJQAAIA7777777777776EY...QACYAA
- /data/data/####/ECIVRES1NAIDOB0UYNEW0NC.st
- /data/data/####/EROCHSUP1NAIDOB0UYNEW0NC.st
- /data/data/####/FlutterSharedPreferences.xml
- /data/data/####/IpInfos.xml
- /data/data/####/IpInfos.xml.bak (deleted)
- /data/data/####/NAIDOB0UYNEW0NC.st
- /data/data/####/Push_Page_Config.xml
- /data/data/####/UM_PROBE_DATA.xml
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/bac.catch
- /data/data/####/bal.catch
- /data/data/####/ban.catch
- /data/data/####/bwc.catch
- /data/data/####/c101e223-5d66-4e2d-a8f6-174f8591fd3d
- /data/data/####/cdt.wa
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.dex;classes4.dex
- /data/data/####/classes.oat
- /data/data/####/cn.jiguang.common.xml
- /data/data/####/cn.jiguang.common.xml.bak
- /data/data/####/cn.jiguang.prefs.xml
- /data/data/####/cn.jiguang.prefs.xml.bak
- /data/data/####/cn.jiguang.sdk.address.xml
- /data/data/####/cn.jiguang.sdk.address.xml.bak (deleted)
- /data/data/####/cn.jiguang.sdk.report.xml
- /data/data/####/cn.jiguang.sdk.user.profile.xml
- /data/data/####/cn.jiguang.sdk.user.profile.xml.bak
- /data/data/####/cn.jiguang.sdk.user.set.profile.xml
- /data/data/####/cn.jpush.android.user.profile.xml
- /data/data/####/cn.jpush.config.xml
- /data/data/####/cn.jpush.config.xml.bak
- /data/data/####/cn.jpush.preferences.v2.rid.xml
- /data/data/####/cn.jpush.preferences.v2.xml
- /data/data/####/cn.wenyu.bodian_preferences.xml
- /data/data/####/com.tencent.open.config.json.101904722
- /data/data/####/cr.wa
- /data/data/####/discovery_tabbar_titles.json
- /data/data/####/dt.wa
- /data/data/####/ecb505d2-e311-471f-b67c-8043721ece23
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/futureInfo.json
- /data/data/####/i==1.2.0&&1.1.5_1623924283368_dW5pZnlfbG9ncw==;.log
- /data/data/####/i==1.2.0&&1.1.5_1623924341872_dW5pZnlfbG9ncw==;.log
- /data/data/####/info.xml
- /data/data/####/jpush_local_notification.db
- /data/data/####/jpush_local_notification.db-journal
- /data/data/####/jpush_local_notification.db-wal
- /data/data/####/libCachedImageData.db-journal
- /data/data/####/libjiagu.so
- /data/data/####/metrics_guid
- /data/data/####/proc_auxv
- /data/data/####/push_stat_cache.json
- /data/data/####/pushcore_umeng_common_config.xml
- /data/data/####/pushcore_umeng_common_config.xml.bak
- /data/data/####/rl.catch
- /data/data/####/service_umeng_common_config.xml
- /data/data/####/spUtils.xml
- /data/data/####/spUtils.xml.bak
- /data/data/####/t==9.3.0&&1.1.5_1623924283625_dW5pZnlfbG9ncw==;.log
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/um_session_id.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_config.xml.bak
- /data/data/####/umeng_common_location.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_sp_zdata.xml
- /data/data/####/umeng_zcfg_flag
- /data/data/####/umeng_zero_cache.db
- /data/data/####/umeng_zero_cache.db-journal
- /data/data/####/unique
- /data/data/####/ver
- /data/data/####/z==1.2.0&&1.1.5_1623924266680_emNmZw==;.log
- /data/media/####/.push_deviceid
- /data/media/####/sysid.dat
- /data/misc/####/primary.prof
- /data/user_de/####/move_to_de_records.xml
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- ls /
- ls /sys/class/thermal
- ps
- sh -c type su
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- RSA-ECB-OAEPWithSHA256AndMGF1Padding
- RSA-None-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
