Android.Packed.55204

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.DownLoader.2083
Android.DownLoader.546.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) co####.chuma####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) tin####.c####.l####.####.com:80
TCP(HTTP/1.1) a####.u####.com.####.com:80
TCP(HTTP/1.1) ga.rsv.eas####.####.com:80
TCP(HTTP/1.1) c####.mob.com:80
TCP(HTTP/1.1) 47.1####.122.143:443
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) a####.b####.qq.com:8011
TCP(HTTP/1.1) 47.95.2####.247:80
TCP(HTTP/1.1) a####.b####.qq.com:8012
TCP(HTTP/1.1) d####.c####.l####.####.com:80
TCP(TLS/1.0) 47.1####.122.143:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) md####.google####.com:443
TCP(TLS/1.2) 1####.251.36.3:443
UDP 1####.250.179.202:443
TCP sdk.o####.t####.####.com:5224

Запросы DNS:

a####.b####.qq.com
a####.exc.mob.com
a####.u####.com
aexcep####.b####.qq.com
and####.b####.qq.com
and####.google####.com
api.chuma####.com
api.s####.mob.com
c####.mob.com
cm-10####.g####.com
co####.chuma####.com
m####.go####.com
md####.google####.com
qn####.chuma####.com
rs.eas####.com
sdk.c####.g####.com
sdk.o####.amp.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

47.1####.122.143:443/secure/?=####&c=####&a=####
47.1####.122.143:443/secure/?=####&c=####&a=####&last_id=####&day=####&p...
47.1####.122.143:443/secure/?m=####&c=####&a=####
47.1####.122.143:443/secure/?m=####&c=####&a=####&last_id=####
47.1####.122.143:443/secure/?m=####&c=####&a=####&page=####&pagesize=####
47.1####.122.143:443/secure/?m=####&c=####&a=####&page=####&pagesize=###...
47.1####.122.143:443/secure/?m=####&c=####&a=####&version=####
c####.mob.com/caconf?appkey=####&plat=####&apppkg=####&appver=####&netwo...
co####.chuma####.com/config.php?system=####&version=####
d####.c####.l####.####.com/config/hzv9.conf
ga.rsv.eas####.####.com/easemob/server.json?sdk_version=####&app_key=###...
tin####.c####.l####.####.com/
tin####.c####.l####.####.com/app/comics/titles/title_22150764_1_4b61bab1...
tin####.c####.l####.####.com/app/comics/titles/title_2c5ae9a3d96c2ea98a3...
tin####.c####.l####.####.com/app/comics/titles/title_42715275_1_394b8014...
tin####.c####.l####.####.com/app/comics/titles/title_4599622_18447056_1_...
tin####.c####.l####.####.com/app/comics/titles/title_49485004_1_d070f93b...
tin####.c####.l####.####.com/app/comics/titles/title_6313255_4_a4ebd4615...
tin####.c####.l####.####.com/app/comics/titles/title_840be7216c4330a1579...
tin####.c####.l####.####.com/app/cover/template/images/cover_template_33...
tin####.c####.l####.####.com/app/news/20190724/5d37da64530b7.jpg
tin####.c####.l####.####.com/app/topic/20160614/575fc82223a62.jpg?imageV...
tin####.c####.l####.####.com/app/topic/20160812/57ad7f9009237.jpg?imageV...
tin####.c####.l####.####.com/app/topic/20161201/584000b019aa8.jpg?imageV...
tin####.c####.l####.####.com/app/topic/20170119/588038dc07db8.jpg?imageV...
tin####.c####.l####.####.com/app/topic/20170126/5889496878ad2.jpg?imageV...
tin####.c####.l####.####.com/app/topic/20170214/58a2636a3b4ce.jpg?imageV...
tin####.c####.l####.####.com/app/users/avatars/banner_none.png?imageVi####
tin####.c####.l####.####.com/app/users/avatars/pic_45264412_BE90A490-EC2...
tin####.c####.l####.####.com/app/users/avatars/user_avatar_33867432_ca90...
tin####.c####.l####.####.com/app/users/avatars/user_avatar_42715275_f14b...
tin####.c####.l####.####.com/app/users/avatars/user_avatar_49485004_cab0...
tin####.c####.l####.####.com/app/users/club_title_image/createClubIcon_0...
tin####.c####.l####.####.com/app/users/club_title_image/createClubIcon_4...
tin####.c####.l####.####.com/app/users/pic/pic_49560346_c25d8f8303857028...
tin####.c####.l####.####.com/app/users/pic/pic_49560346_c8581b44dd6053bf...
tin####.c####.l####.####.com/app/users/pic/pic_49560346_ddf29e8be64406d2...
tin####.c####.l####.####.com/app/users/pic/pic_53051422_f24307312c3bea3c...
tin####.c####.l####.####.com/character/1a7bc558cda6b8ee4d9b4b4080b0b981....
tin####.c####.l####.####.com/character/1f977a125c18296e33d6eefa0ff9b0bb....
tin####.c####.l####.####.com/character/48bdf812e1cd324f269b8ed3897aad0c....
tin####.c####.l####.####.com/character/6159b1b45b47c7f154b214d76e47d01b....
tin####.c####.l####.####.com/character/a0088d8961219943e9648c4fc2fd0f4c....
tin####.c####.l####.####.com/character/a08fd81852ef6e73d67d27ac38fad473....
tin####.c####.l####.####.com/match/banner/1502157306000571.jpg?imageVi####
tin####.c####.l####.####.com/news/af9abff028918a4b8cca57945671ba45.jpg
tin####.c####.l####.####.com/null?imageVi####

Запросы HTTP POST:

47.1####.122.143:443/secure/?m=####&c=####&a=####
a####.b####.qq.com:8011/rqd/async?aid=####
a####.b####.qq.com:8012/rqd/async?aid=####
a####.exc.mob.com/errconf
a####.exc.mob.com/errlog
a####.u####.com.####.com/app_logs
a####.u####.com/app_logs
and####.b####.qq.com/rqd/async?aid=####
c####.mob.com/ca

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/.statistics
/data/data/####/1004
/data/data/####/1Ehf8zL3kWvkJFSJ4JbIlBu-NLE.cnt
/data/data/####/271YT1vDcucu-Rt-D4shYRj60_E.cnt
/data/data/####/3_FV_3VWuLEj9u0eVR6RND6U4pk.cnt
/data/data/####/5-1wlMy_o_QrR5ORPgOE-cVM7uk.1976352915.tmp
/data/data/####/5-1wlMy_o_QrR5ORPgOE-cVM7uk.cnt
/data/data/####/5088.mp3
/data/data/####/6SZlYCQGnrYtjbmoYFCKtvqpiIw.cnt
/data/data/####/AqOs-5xuTF2nr9Ti_5G4v6PE484.cnt
/data/data/####/CALQQ9t8mLjEM5R1_TCewNGPX44.cnt
/data/data/####/CgY149kuZevFw4yG3PTBMtFmUbY.cnt
/data/data/####/EmRoum-uHga5as2HxirW5K6I1A4.cnt
/data/data/####/JVjdcJo3VsaOdJNryHTlfHC4uok.cnt
/data/data/####/Jq-AZhquk-m7vmr2p4vCIuUoye0.cnt
/data/data/####/NQdaXmgFol_-AbrVdZV2Rtbz83I.cnt
/data/data/####/OT7I45hYjDNgUxfwHMjzGq9swLs.cnt
/data/data/####/RmCE_kKvlU7sA2crvwhmxUa_VuY.cnt
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/VlwisGWgsekOQQG94JMCvsZvat8.cnt
/data/data/####/X57E989JMDDmLtUs4R6SUc7PKl0.cnt
/data/data/####/XEM3vSnLsntJVAyCdYNqUs1BXjs.cnt
/data/data/####/XvWHAXNDKhWu-tCv4YyJub8rUx0.1619690375.tmp
/data/data/####/XwwY69eACXyWrAPkUrGt-s3fsxo.1738380696.tmp
/data/data/####/Y67hEoBPQ6-Cg6uqBMxjD-50Ezg.cnt
/data/data/####/ZJ8NllSmju_qrR1LLVv2TVnhqHI.cnt
/data/data/####/ZjBJZ1VKyaWws1Xuc-Gt_IjZFHU.2110968563.tmp
/data/data/####/ZjBJZ1VKyaWws1Xuc-Gt_IjZFHU.cnt
/data/data/####/af9abff028918a4b8cca57945671ba45.jpg
/data/data/####/amazed.png
/data/data/####/angel.png
/data/data/####/angry.png
/data/data/####/apple-touch-icon.png
/data/data/####/avatar_missing.png
/data/data/####/backgrounds_effect_1_000348.png
/data/data/####/banana.gif
/data/data/####/beaten.png
/data/data/####/bodies_1_000018.png
/data/data/####/bored.png
/data/data/####/bubble.png
/data/data/####/bubbleyellow.png
/data/data/####/bugly_db_-journal
/data/data/####/ccGEZbypgum8OJDxAQ2_02-2NmU.cnt
/data/data/####/classes.dex
/data/data/####/classes2.dex
/data/data/####/classes3.dex
/data/data/####/clown.png
/data/data/####/coin.png
/data/data/####/com.mallestudio.zltkyugugu.app.dex
/data/data/####/com.mallestudio.zltkyugugu.app.dex.flock (deleted)
/data/data/####/com.mallestudio.zltkyugugu.app.odex
/data/data/####/com.mallestudio.zltkyugugu.app.odex.flock (deleted)
/data/data/####/com.mallestudio.zltkyugugu.app.zip
/data/data/####/com.mallestudio.zltkyugugu.app_preferences.xml
/data/data/####/combined.min.js
/data/data/####/config.json
/data/data/####/confused.png
/data/data/####/cool.png
/data/data/####/crashrecord.xml
/data/data/####/cry.png
/data/data/####/currency_iconV2_50.png
/data/data/####/currency_iconV3_50.png
/data/data/####/currency_iconV4_50.png
/data/data/####/currency_iconV5_50.png
/data/data/####/d7sJDHo_ZFiuLxYYFD-u6Y-_zig.cnt
/data/data/####/db_public-journal
/data/data/####/device_id.xml.xml
/data/data/####/devil.png
/data/data/####/dialog.png
/data/data/####/dialogPointer.png
/data/data/####/dialogues_connered_1_000355.png
/data/data/####/dongtu-0101dg.png
/data/data/####/dongtu-0102dg.png
/data/data/####/dongtu-0103dg.png
/data/data/####/dongtu-0104dg.png
/data/data/####/dongtu-0201dg.png
/data/data/####/dongtu-0202dg.png
/data/data/####/dongtu-0203dg.png
/data/data/####/dongtu-0204dg.png
/data/data/####/dongtu-0301dg.png
/data/data/####/dongtu-0302dg.png
/data/data/####/dongtu-0303dg.png
/data/data/####/dongtu-0304dg.png
/data/data/####/dongtu-0401dg.png
/data/data/####/dongtu-0402dg.png
/data/data/####/dongtu-0403dg.png
/data/data/####/dongtu-0404dg.png
/data/data/####/dongtu-0501dg.png
/data/data/####/dongtu-0502dg.png
/data/data/####/dongtu-0503dg.png
/data/data/####/dongtu-0504dg.png
/data/data/####/dongtu-0601dg.png
/data/data/####/dongtu-0602dg.png
/data/data/####/dongtu-0603dg.png
/data/data/####/dongtu-0604dg.png
/data/data/####/dongtu-0701dg.png
/data/data/####/dongtu-0702dg.png
/data/data/####/dongtu-0703dg.png
/data/data/####/dongtu-0704dg.png
/data/data/####/doubtful.png
/data/data/####/dresses_female_1_002791.png
/data/data/####/emo.png
/data/data/####/emptystate_me_114.png
/data/data/####/emptystate_other_100.png
/data/data/####/error.json
/data/data/####/error_json.json
/data/data/####/error_server.json
/data/data/####/faces_1_000032.png
/data/data/####/facialsets_1_002515.png
/data/data/####/favicon.ico
/data/data/####/fireball.png
/data/data/####/flags.png
/data/data/####/frozen.png
/data/data/####/getui_sp.xml
/data/data/####/grin.png
/data/data/####/group.html
/data/data/####/guguapp.db-journal
/data/data/####/guguapp_settings.xml
/data/data/####/guguapp_settings.xml.bak
/data/data/####/hairs_back_female_1_002768.png
/data/data/####/hairs_front_female_1_002765.png
/data/data/####/hands_gesture_1_002442.png
/data/data/####/home.html
/data/data/####/humans.txt
/data/data/####/icon.png
/data/data/####/icon@2x.png
/data/data/####/icon_Diamond_24.png
/data/data/####/icon_android.png
/data/data/####/icon_apple.png
/data/data/####/icon_coin_24.png
/data/data/####/icon_reward_110.png
/data/data/####/icon_time_end_24.png
/data/data/####/icon_time_long_24.png
/data/data/####/icon_time_short_24.png
/data/data/####/icons.eot
/data/data/####/icons.otf
/data/data/####/icons.svg
/data/data/####/icons.ttf
/data/data/####/icons.woff
/data/data/####/icons.woff2
/data/data/####/image_missing.jpg
/data/data/####/image_missing_block.png
/data/data/####/image_missing_new.png
/data/data/####/index.html
/data/data/####/indian.png
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/kFM_EDrDP1HpCk7kOlRNfKLfGoM.cnt
/data/data/####/karate.png
/data/data/####/kiss.png
/data/data/####/laugh.png
/data/data/####/left_button.png
/data/data/####/left_button_24.png
/data/data/####/libjiagu.so
/data/data/####/loading.gif
/data/data/####/loading.png
/data/data/####/local_crash_lock
/data/data/####/local_crash_lock (deleted)
/data/data/####/logo_icon.png
/data/data/####/love.png
/data/data/####/menu_button.png
/data/data/####/menu_button_24.png
/data/data/####/menu_logo@2x.png
/data/data/####/millionaire.png
/data/data/####/mob_sdk_exception_1.xml
/data/data/####/mob_sdk_exception_1.xml.bak
/data/data/####/mobclick_agent_cached_com.mallestudio.zltkyugugu.app56
/data/data/####/mobclick_agent_online_setting_com.mallestudio.z...leted)
/data/data/####/mobclick_agent_online_setting_com.mallestudio.z...pp.xml
/data/data/####/native_record_lock
/data/data/####/nerd.png
/data/data/####/news.html
/data/data/####/ninja.png
/data/data/####/oDaKeG6hK_VVOEILyZk6Rz5aNBA.cnt
/data/data/####/octicons-local.ttf
/data/data/####/octicons.svg
/data/data/####/octicons.ttf
/data/data/####/octicons.woff
/data/data/####/pUFvRsvWhrVNzVO8QOf7u6h7fPs.807364629.tmp
/data/data/####/pUFvRsvWhrVNzVO8QOf7u6h7fPs.cnt
/data/data/####/party.png
/data/data/####/pirate.png
/data/data/####/profile
/data/data/####/punk.png
/data/data/####/push.pid
/data/data/####/pushsdk.db-journal
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/qx1E9C_dPqbtH8Ma5BgCbL2K9qM.cnt
/data/data/####/rain.png
/data/data/####/ranking_copper_50.png
/data/data/####/ranking_gold_50.png
/data/data/####/ranking_sliver_50.png
/data/data/####/right_button.png
/data/data/####/right_button_24.png
/data/data/####/run.pid
/data/data/####/sRYojH54d49E0w3xJHPJSmMLXSQ.cnt
/data/data/####/sWTs1m2RAHoTGxCJXBDptZqd3rc.cnt
/data/data/####/sad.png
/data/data/####/santa.png
/data/data/####/save.png
/data/data/####/save@2x.png
/data/data/####/script.js
/data/data/####/security_info
/data/data/####/server.json
/data/data/####/share@2x.png
/data/data/####/share_sdk_1.xml
/data/data/####/share_sdk_1.xml.bak
/data/data/####/shoes_female_1_002809.png
/data/data/####/shy.png
/data/data/####/sick.png
/data/data/####/smile.png
/data/data/####/snow.png
/data/data/####/socks_female_1_002800.png
/data/data/####/speechless.png
/data/data/####/star_gold.png
/data/data/####/star_grey.png
/data/data/####/starglow.png
/data/data/####/starwhite.png
/data/data/####/style.css
/data/data/####/style2016-12-14.css
/data/data/####/sweating.png
/data/data/####/testimage.jpg
/data/data/####/tongue.png
/data/data/####/ttX3L-FpIpJk8QKXWHtd5bSZHD0.cnt
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml.bak
/data/data/####/umeng_general_config.xml.bak (deleted)
/data/data/####/umeng_it.cache
/data/data/####/user_avatar_33867432_ca90c477be7f4040bd1771666f82aaf8.jpg
/data/data/####/vampire.png
/data/data/####/w30s7X4ur0rXvlChCCriOW4hMgM.cnt
/data/data/####/w3Gcm_sFGPQNZ3ieoTMcX369rKI.cnt
/data/data/####/wacky.png
/data/data/####/watermark.png
/data/data/####/wink.png
/data/data/####/wqcY5l4Tpimt7rNXDt7t0HYRzd4.cnt
/data/data/####/xjAhxzXwo58fLB-O-B1fV4qhTdM.1702742895.tmp
/data/data/####/yhzy_ask_44.png
/data/media/####/.db_accache
/data/media/####/.db_rtcache
/data/media/####/.dk
/data/media/####/.pkg_lock
/data/media/####/.rc_lock
/data/media/####/com.mallestudio.gugu.model.SyncBean
/data/media/####/easemob.log
/data/media/####/mobile.zip

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh -c type su
cat /sys/class/net/wlan0/address
chmod 755 /data/user/0/<Package>/.jiagu/libjiagu.so
getprop
logcat -d -v threadtime
top -d 0 -n 1

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-PKCS5Padding
AES-GCM-NoPadding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней