Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.HiddenAds.2348
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(TLS/1.0) hz.y####.com:443
- TCP(TLS/1.0) 2####.58.208.106:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) sc.y####.com:443
- TCP(TLS/1.0) na61-####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) r####.tc.qq.com:443
- TCP(TLS/1.0) 1####.250.179.206:443
- TCP(TLS/1.0) at.al####.com:443
- TCP(TLS/1.0) jy.y####.com:443
- TCP(TLS/1.0) m.y####.com:443
- TCP(TLS/1.0) 1####.250.179.170:443
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.0) 1####.251.36.14:443
- TCP(TLS/1.2) 2####.58.214.3:443
- TCP(TLS/1.2) 1####.251.39.106:443
- TCP(TLS/1.2) 2####.58.208.106:443
- TCP 1####.77.252.10:26000
- TCP 1####.77.150.199:21000
Запросы DNS:
- and####.a####.go####.com
- at.al####.com
- eco.ta####.com
- hz.y####.com
- jy.y####.com
- m.y####.com
- openc####.wos####.cn
- p####.google####.com
- r####.wx.qq.com
- sc.y####.com
Запросы HTTP GET:
- hz.y####.com:443/news-configserver/api/v1/query/activity_center_red_hot?...
- hz.y####.com:443/news-configserver/api/v1/query/broker_release_list?vers...
- hz.y####.com:443/news-configserver/api/v1/query/self_selected_stock_front
- hz.y####.com:443/news-configserver/api/v2/query/copywriting?show_page=####
- hz.y####.com:443/quotes-dataservice-app/api/v1/greylist?market=####
- hz.y####.com:443/quotes-stock-alerts-front/api/v1/getall/rules
- hz.y####.com:443/quotes-tcpslb/api/v1/tcpnodes
- jy.y####.com:443/config-manager/api/check-app-update/v1?channel=####&yhc...
- jy.y####.com:443/config-manager/api/select-navigation-list/v1?version=####
Запросы HTTP POST:
- hz.y####.com:443/mod-stat/api/v1/query
- hz.y####.com:443/quotes-dataservice-app/api/v2/warrants
- jy.y####.com:443/config-manager/api/get-app-system/v1
- jy.y####.com:443/jy-ipo-server/api/iporecord-list/v2
- jy.y####.com:443/stock-order-server/api/ipo-red-point/v1
- na61-####.wagbr####.ali####.####.com:443/router/rest
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.cl
- /data/data/####/.font3804-3804-0
- /data/data/####/.fsgkea
- /data/data/####/.jg.ac
- /data/data/####/.jg.ri
- /data/data/####/.jg.store.report_pid
- /data/data/####/03b36930c8a3ac28_0
- /data/data/####/0598281484139543_0
- /data/data/####/05fb88bcce858d37_0
- /data/data/####/080eb4f42dd10317_0
- /data/data/####/09f3101d52c687d3_0
- /data/data/####/0b446f204c57ad5f_0
- /data/data/####/0f402cde7be6b2c6_0
- /data/data/####/0f85bc8cfdd9e911_0
- /data/data/####/0fc5eeee8a56ea22_0
- /data/data/####/10ac7d18f848afa7_0
- /data/data/####/10ac7d18f848afa7_1
- /data/data/####/114c4955ebb42f72_0
- /data/data/####/12df05549945836e_0
- /data/data/####/13b80c06486b0646_0
- /data/data/####/15ce7395d92ab416_0
- /data/data/####/19108f97e680c4e2_0
- /data/data/####/198e2963a32df26e_0 (deleted)
- /data/data/####/19c803619c6a331a_0
- /data/data/####/1cdac592d57fe7ef_0
- /data/data/####/1e178b448f416f5b_0
- /data/data/####/1f8d11ca280ad277_0
- /data/data/####/22747515e2016a9c_0
- /data/data/####/276b5c672be0e6af_0
- /data/data/####/279be9d596fc1e0d_0
- /data/data/####/295c12ecba2c7cdf_0
- /data/data/####/29f3b0729e3b3585_0
- /data/data/####/2ac0cec4879bc618_0
- /data/data/####/2adfd6ddf35f3aa3_0
- /data/data/####/2cfc04f9c9a4c733_0
- /data/data/####/32acb524fc944802_0
- /data/data/####/356bfdd39bb2cfcd_0
- /data/data/####/3718121da2b16ff4_0
- /data/data/####/3718121da2b16ff4_1
- /data/data/####/3a0a7b2bb7bef222_0
- /data/data/####/3a54a6676acf0256_0
- /data/data/####/3b71b813b3d98a40_0
- /data/data/####/3b85e8c4f80d11a1_0
- /data/data/####/3e1907c86e2de56d_0
- /data/data/####/3f0a1e73c5a1cdc2_0
- /data/data/####/40f6649898736c36_0
- /data/data/####/41580bde05b085b8_0
- /data/data/####/428438d5b6d8dafa_0
- /data/data/####/4303f6f7ba3ff74b_0
- /data/data/####/458b8437fcd58d9c_0
- /data/data/####/49c8a1dc4c1e08aa_0
- /data/data/####/4b1676c8047cc62e_0
- /data/data/####/4c294657cd2dc585_0
- /data/data/####/4c57844e0ff14348_0
- /data/data/####/4c57844e0ff14348_1
- /data/data/####/4f7307358096cef4_0
- /data/data/####/4fad2a85482db5df_0
- /data/data/####/501e43a9293e490d_0
- /data/data/####/52c3dbedb87038fa_0
- /data/data/####/538adc65d60e05b3_0
- /data/data/####/569e78b0fcc853e7_0
- /data/data/####/5829b635fc228e1c_0
- /data/data/####/5ed57e67a43624c8_0
- /data/data/####/619ddbe1d5f04567_0
- /data/data/####/659451157646bfda_0
- /data/data/####/6786a59b8e953b29_0
- /data/data/####/6a6aa2bdaf98ad95_0
- /data/data/####/6d6d43abfc2d687f_0 (deleted)
- /data/data/####/7bbad1af611ebbca_0
- /data/data/####/7c9487df895861da_0
- /data/data/####/816c6d4225d338db_0
- /data/data/####/834b1e23053d7007_0
- /data/data/####/8380b7ed597e4915_0
- /data/data/####/88d26d184e6d77ed_0
- /data/data/####/88dbc940a4375887_0
- /data/data/####/89aabc14a6aac66a_0
- /data/data/####/965ec3120cc64627_0
- /data/data/####/96fd80885342ca68_0
- /data/data/####/997866dd2f8ff4bb_0
- /data/data/####/9b5e19b17fdb50be_0
- /data/data/####/9b6556de3f189b08_0
- /data/data/####/9dad645f7f3fd52d_0
- /data/data/####/ALITX_LOGGER_DATA.xml
- /data/data/####/AUTH_APP_INFO.xml
- /data/data/####/AUTH_UT_DATA.xml
- /data/data/####/CACHE_NAVIGATION_SETTINGS_V1.json
- /data/data/####/Cookies-journal
- /data/data/####/Cookies-journal (deleted)
- /data/data/####/LiteAV_C.mmap2
- /data/data/####/LiteAV_C_20220303.xlog
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/a009b91cc10bffe8_0
- /data/data/####/a2bd3159ed155af3_0
- /data/data/####/a2fde29505ec09ee_0
- /data/data/####/a4f9510a26712122_0
- /data/data/####/a6f961d69ea4430b_0
- /data/data/####/a7d6a4d49b8ec964_0
- /data/data/####/a7f1ef1db368c50f_0
- /data/data/####/a826327090167833_0
- /data/data/####/a826327090167833_1
- /data/data/####/a948c6b732cecbc6_0
- /data/data/####/aa558844fcdaa427_0
- /data/data/####/acbf3668f44501d1_0
- /data/data/####/ad10f66b4625490a_0
- /data/data/####/adad3e0bf85f3dca_0
- /data/data/####/ae2b668d856f4315_0
- /data/data/####/b7a01dff758d9f77_0
- /data/data/####/b830ff20f46db975_0
- /data/data/####/b9cbd18bea34faaf_0
- /data/data/####/bad599ebce70d310_0
- /data/data/####/bdc3cc61ae805482_0
- /data/data/####/c13a96213243327c_0
- /data/data/####/c2a088eadfcc12e1_0
- /data/data/####/c562dc7ca5a2fca9_0
- /data/data/####/c5b3c016d7f64486_0
- /data/data/####/c68c86709ec12983_0
- /data/data/####/cbce7930233d35a3_0
- /data/data/####/cbfc865124f7b5c8_0
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.dex;classes4.dex
- /data/data/####/classes.dex;classes5.dex
- /data/data/####/classes.dex;classes6.dex
- /data/data/####/classes.dex;classes7.dex
- /data/data/####/classes.dex;classes8.dex
- /data/data/####/classes.oat
- /data/data/####/com.yxzq.stock_preferences.xml
- /data/data/####/cu_auth.xml
- /data/data/####/d18948b9a339db15_0
- /data/data/####/d348666183750dff_0
- /data/data/####/db4ed929dfc6d236_0
- /data/data/####/db_yxzq_optional_stock-journal
- /data/data/####/ded4f62c046c4369_0
- /data/data/####/dfbb162e36c5defd_0
- /data/data/####/domain_model_quote_tcp.xml
- /data/data/####/e0614867a1291762_0
- /data/data/####/e08a1ac3a4e7e98b_0
- /data/data/####/e0ff03ca5d6a3cad_0
- /data/data/####/e1c38ee9a0e1e1ee_0
- /data/data/####/e4d09f116dbf4de4_0
- /data/data/####/e528eb3ceca97f64_0
- /data/data/####/e8e6f0077fecf77a_0
- /data/data/####/ecac2ee2c0e3190e_0
- /data/data/####/elklog.db-journal
- /data/data/####/f193098d53299ded_0
- /data/data/####/f2348d491d68fa25_0
- /data/data/####/f25859627b3b3937_0
- /data/data/####/f28579aa60f5d7e3_0
- /data/data/####/fada3040805cb459_0
- /data/data/####/fe56ecb681d28c75_0
- /data/data/####/fee4b518f521b3ec_0 (deleted)
- /data/data/####/ff39f1b2eee6044c_0
- /data/data/####/hb_record.xml
- /data/data/####/https_m.yxzq.com_0.localstorage-journal
- /data/data/####/index
- /data/data/####/language-e.json
- /data/data/####/language-s.json
- /data/data/####/language-t.json
- /data/data/####/language.xml
- /data/data/####/libjiagu.so
- /data/data/####/logger.db
- /data/data/####/logger.db-journal
- /data/data/####/meta-data.xml
- /data/data/####/metrics_guid
- /data/data/####/mipush_country_code
- /data/data/####/mipush_country_code.lock
- /data/data/####/mipush_region
- /data/data/####/mipush_region.lock
- /data/data/####/monitor.db
- /data/data/####/monitor.db-journal
- /data/data/####/proc_auxv
- /data/data/####/ssoconfigs.xml
- /data/data/####/temp-index
- /data/data/####/the-real-index
- /data/data/####/user_info_record.xml
- /data/data/####/white.skin
- /data/data/####/yx_shared_preferences_utils.xml
- /data/data/####/yxzq.mmap3
- /data/data/####/yxzq_20220303.xlog
- /data/data/####/yxzq_settings.xml
- /data/misc/####/primary.prof
- /data/user_de/####/move_to_de_records.xml
Другие:
Запускает следующие shell-скрипты:
- ls -l /system/bin/su
Загружает динамические библиотеки:
- libMegviiLicenseManager-0.3.1
- libalicomphonenumberauthsdk_core
- libauth_number_product-2.12.3-log-online-standard-release_alijtca_plus
- libc++_shared
- libegg-new
- libidcard
- libjiagu
- libliteavsdk
- libmarsxlog
- libmmkv
- libtraeimp-rtmp
- libtxsoundtouch
- libusmart_safety
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- DESede-CBC-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
