Android.RemoteCode.7382

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.RemoteCode.86.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) amdc####.m.ta####.com:80
TCP(TLS/1.0) 2####.58.208.106:443
TCP(TLS/1.0) al####.u####.com:443
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) api.jingsha####.com:443
TCP(TLS/1.0) md####.google####.com:443
TCP(TLS/1.0) api.s####.com:443
TCP(TLS/1.0) sensor####.bugth####.com:8016
TCP(TLS/1.0) android####.go####.com:443
TCP(TLS/1.0) 5065f22####.bug####.cn:443
TCP(TLS/1.0) sy.cl####.com:443
TCP(TLS/1.0) ap.cp####.net:443
TCP(TLS/1.0) c####.cp####.net:443
TCP(TLS/1.0) 1####.217.168.234:443
TCP(TLS/1.2) 1####.250.102.94:443
TCP(TLS/1.2) 1####.250.27.113:443
UDP 2####.58.208.106:443
UDP md####.google####.com:443
TCP 2####.119.218.243:80
UDP 1####.0.39.1:137
TCP zb-cent####.m.ta####.com:443

Запросы DNS:

5065f22####.bug####.cn
a####.man.aliy####.com
amdc####.m.ta####.com
android####.go####.com
ap.cp####.net
api.jingsha####.com
api.s####.com
c####.cp####.net
https:/####.al####.org/sa####.####.8
https:/####.al####.org/sa####.json?
l####.tbs.qq.com
log.u####.com
md####.google####.com
plb####.u####.com
sdk.api.o####.####.cn
sec.u####.com
sensor####.bugth####.com
sy.cl####.com
u####.u####.com
umen####.m.ta####.com
umengj####.m.ta####.com
y####.al####.org

Запросы HTTP POST:

amdc####.m.ta####.com/amdc/mobileDispatch?appkey=####&deviceId=####&plat...
l####.tbs.qq.com/ajax?c=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.cl
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/0a231bd8575dcf72.txt
/data/data/####/1025940bde2de9f17162f8c61f5cac5b.0.tmp
/data/data/####/1025940bde2de9f17162f8c61f5cac5b.1.tmp
/data/data/####/1624286740922_3437
/data/data/####/1624286743936_3437
/data/data/####/1624286744221_3437
/data/data/####/1624286745266_3437
/data/data/####/1624286746001_3437
/data/data/####/1624286747366_3757
/data/data/####/1624286748765_3437
/data/data/####/1624286748850_3437
/data/data/####/1624286749322_3437
/data/data/####/1624286752278_3757
/data/data/####/1624286752299_3757
/data/data/####/1624286753180_3757
/data/data/####/25ee0327a8d974e29e9e760a6f969d33.0.tmp
/data/data/####/25ee0327a8d974e29e9e760a6f969d33.1.tmp
/data/data/####/39285EFA.dex
/data/data/####/39285EFA.dex.flock (deleted)
/data/data/####/5c62cacbc4b87afb1ae31d946d5a5b19.0.tmp
/data/data/####/5c62cacbc4b87afb1ae31d946d5a5b19.1.tmp
/data/data/####/ACCS_BINDumeng;5f5597e99be20132c1a3720a.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK.xml.bak
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/ACCS_SDK_CHANNEL.xml.bak
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/Archimedes_p1
/data/data/####/Archimedes_p2
/data/data/####/Archimedes_p3
/data/data/####/Archimedes_p4
/data/data/####/Archimedes_p5
/data/data/####/ContextData.xml
/data/data/####/JX0WDG83P1ZN.txt
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/SGMANAGER_DATA2
/data/data/####/SGMANAGER_DATA2 (deleted)
/data/data/####/SGMANAGER_DATA2.tmp
/data/data/####/SG_INNER_DATA
/data/data/####/StrategyConfig
/data/data/####/TD_IP_CACHE.xml
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TD_app_pefercen_profile.xml.bak
/data/data/####/TDpref_cloudcontrol1.xml
/data/data/####/TDpref_longtime.xml
/data/data/####/TDpref_longtime0.xml
/data/data/####/TDpref_longtime0.xml.bak
/data/data/####/TDpref_shorttime.xml
/data/data/####/TDpref_shorttime0.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/ZzxCache.xml
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/channel_umeng_common_config.xml
/data/data/####/chuanglan_sdk_report.db
/data/data/####/chuanglan_sdk_report.db-journal
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDa...leted)
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDa...ml.bak
/data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
/data/data/####/core_info
/data/data/####/dW1weF9pbnRlcm5hbF8xNjI0Mjg2NzI1NjY2;
/data/data/####/dW1weF9zaGFyZV8xNjI0Mjg2NzU0Nzgx;
/data/data/####/dW1weF9zaGFyZV8xNjI0Mjg2NzU1MTEx;
/data/data/####/dc63a0d0c7d6195366
/data/data/####/dcd7efff1ddbaffec6
/data/data/####/dcdcfb3fc0ccb73626
/data/data/####/dce6f337b0eeb77fe7
/data/data/####/download_upload
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/fd73acf886d344bfb6c9586dd1d73cbf
/data/data/####/httpdns_config_cache.xml
/data/data/####/httpdns_config_cache.xml.bak
/data/data/####/i==1.2.0&&2.0.2_1624286725533_envelope.log
/data/data/####/info.xml
/data/data/####/iv
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/libjiagu.so
/data/data/####/libsgmainso-5.4.171.so
/data/data/####/libsgmainso-5.4.171.so.tmp.3757
/data/data/####/libsgsecuritybodyso-5.4.99.so
/data/data/####/libsgsecuritybodyso-5.4.99.so.tmp.3757
/data/data/####/lock.lock
/data/data/####/main_312757200.pkgInfo
/data/data/####/main_312757200.pkgInfo.tmp
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/proc_auxv
/data/data/####/salt
/data/data/####/securitybody_312757200.pkgInfo
/data/data/####/securitybody_312757200.pkgInfo.tmp
/data/data/####/sensorsdata-journal
/data/data/####/sensorsdata.xml
/data/data/####/sgFile.lock
/data/data/####/shanyan_share_data.xml
/data/data/####/shanyan_share_data.xml.bak
/data/data/####/share.db-journal
/data/data/####/sobot_config.xml
/data/data/####/sp.lock
/data/data/####/ssoconfigs.xml
/data/data/####/ssoconfigs.xml.bak
/data/data/####/t==8.1.2&&2.0.2_1624286727097_envelope.log
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbs_pv_config
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdid.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/umeng_socialize.xml
/data/data/####/update.xml
/data/data/####/user_info.xml
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/data/user/0/<Package>/files/dc63a0d0c7d6195366
/data/user/0/<Package>/files/dcd7efff1ddbaffec6
/data/user/0/<Package>/files/dce6f337b0eeb77fe7
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
getprop
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.smartisan.version
getprop ro.vivo.os.version
ls -l /system/xbin/su
ls /
ls /sys/class/thermal

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
RC4-ECB-NoPadding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней