Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.HiddenAds.2348
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(TLS/1.0) 1####.217.168.195:443
- TCP(TLS/1.0) jy-comm####.cos.ap-guan####.####.com:443
- TCP(TLS/1.0) 1####.250.179.138:443
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) web-sta####.cos.ap-hong####.####.com:443
- TCP(TLS/1.0) m.y####.com:443
- TCP(TLS/1.0) pla####.google####.com:443
- TCP(TLS/1.0) safebro####.google####.com:443
- TCP(TLS/1.0) hz.y####.com:443
- TCP(TLS/1.0) na61-####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) sc.y####.com:443
- TCP(TLS/1.2) 1####.217.168.195:443
- TCP(TLS/1.2) 1####.217.168.206:443
- TCP(TLS/1.2) pla####.google####.com:443
- TCP(TLS/1.2) 1####.250.179.138:443
- TCP 1####.199.251.82:21000
- TCP 1####.199.45.170:21000
Запросы DNS:
- and####.a####.go####.com
- eco.ta####.com
- hz.y####.com
- jy-comm####.cos.ap-guan####.####.com
- jy-comm####.cos.ap-hong####.####.com
- jy-comm####.cos.ap-hong####.####.com
- jy.y####.com
- m.y####.com
- openc####.wos####.cn
- p####.google####.com
- pla####.google####.com
- pla####.googleu####.com
- safebro####.google####.com
- sc.y####.com
- web-sta####.cos.ap-hong####.####.com
Запросы HTTP GET:
- hz.y####.com:443/config-manager/api/check-app-update/v1?channel=####&yhc...
- hz.y####.com:443/config-manager/api/select-navigation-list/v1?version=####
- hz.y####.com:443/news-configserver/api/v1/query/activity_center_red_hot?...
- hz.y####.com:443/news-configserver/api/v1/query/broker_release_list?vers...
- hz.y####.com:443/news-configserver/api/v1/query/get-pop-msg?show_page=####
- hz.y####.com:443/news-configserver/api/v1/query/other_advertisement?show...
- hz.y####.com:443/news-configserver/api/v1/query/self_selected_stock_front
- hz.y####.com:443/news-configserver/api/v2/query/copywriting?show_page=####
- hz.y####.com:443/quotes-dataservice-app/api/v1/greylist?market=####
- hz.y####.com:443/quotes-stock-alerts-front/api/v1/getall/rules
- hz.y####.com:443/quotes-tcpslb/api/v1/tcpnodes
- jy-comm####.cos.ap-guan####.####.com:443/admin/app-logo/2020-12-30/30475...
- jy-comm####.cos.ap-guan####.####.com:443/admin/app-logo/2020-12-30/3eb9e...
- web-sta####.cos.ap-hong####.####.com:443/admin/app-logo/2021-04-25/47ac4...
- web-sta####.cos.ap-hong####.####.com:443/admin/app-logo/2021-08-12/15d25...
Запросы HTTP POST:
- hz.y####.com:443/config-manager/api/get-app-system/v1
- hz.y####.com:443/jy-ipo-server/api/ipo-list/v2
- hz.y####.com:443/mod-stat/api/v1/query
- hz.y####.com:443/stock-order-server/api/ipo-red-point/v1
- na61-####.wagbr####.ali####.####.com:443/router/rest
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.cl
- /data/data/####/.font3593-3593-0
- /data/data/####/.font3908-3908-0
- /data/data/####/.fsgkea
- /data/data/####/.jg.ac
- /data/data/####/.jg.ri
- /data/data/####/.jg.store.report_pid
- /data/data/####/015809eb09de8a41_0
- /data/data/####/04025f9bac3111b8_0 (deleted)
- /data/data/####/0758e54fa3384f41_0
- /data/data/####/078970ec3446a883_0
- /data/data/####/089b15491bff9607_0
- /data/data/####/098b7b844e4836f6_0
- /data/data/####/0c37f7c538d1bb82_0
- /data/data/####/0c37f7c538d1bb82_1
- /data/data/####/0c47012de7e81d38_0
- /data/data/####/0dfcfbd1e8b052ff_0
- /data/data/####/148de5352ce75689_0
- /data/data/####/15646dd67e31cab7_0
- /data/data/####/162c6a9fe1660a93_0
- /data/data/####/162c6a9fe1660a93_1
- /data/data/####/16814c42e36cfab1_0
- /data/data/####/16814c42e36cfab1_1
- /data/data/####/1dac422d283dec0d_0
- /data/data/####/1dac422d283dec0d_1
- /data/data/####/1dc1ea43b0258752_0
- /data/data/####/246418be34cdb8a8_0
- /data/data/####/25594dc2a61be98d_0
- /data/data/####/28bc98c416798198_0
- /data/data/####/294ca49a9f839909_0
- /data/data/####/2e89f5153235ae27_0
- /data/data/####/335b329fc5aee412ad0157ed520bb3c2ccb31cdf69ce692....0.tmp
- /data/data/####/353f8b14bcc15826_0
- /data/data/####/36e0150f38c93aa85819ec1659cbd4fd1e3f9e8b858805d....0.tmp
- /data/data/####/39ff703fd5fd77b8_0
- /data/data/####/4083ecfb0f18d7c9_0
- /data/data/####/4853a28f500c209d_0
- /data/data/####/4e9ece70ac9efbdb_0
- /data/data/####/50063afb4e1b8202_0
- /data/data/####/50606595347459ec_0
- /data/data/####/56a0a9594b1408b1_0
- /data/data/####/5b596294e1c4db4b_0
- /data/data/####/5c3270cb412b93e1_0
- /data/data/####/69f4c71fdf2980cb_0
- /data/data/####/6b69a780eb50c315_0
- /data/data/####/700ed508e9f310e6_0
- /data/data/####/705f48cc515a673f_0
- /data/data/####/7284129441ef995c_0
- /data/data/####/755ae0b4f08c3169_0
- /data/data/####/7747c95ba82febc7_0
- /data/data/####/77c81eb8c94c63e5da91ec4de658969fba0fe4cf09233fd....0.tmp
- /data/data/####/7b88a6a57b177c10_0
- /data/data/####/7e80e125c6010701_0
- /data/data/####/867edfbea7bd6b7a0fbc75107174c164c37ff909e6d9ace....0.tmp
- /data/data/####/8a0d90e1cf110b5d_0
- /data/data/####/965d7673c8af29d9_0
- /data/data/####/98029cad25c344f5_0
- /data/data/####/9f913a178f0e170f_0
- /data/data/####/ALITX_LOGGER_DATA.xml
- /data/data/####/AUTH_APP_INFO.xml
- /data/data/####/CACHE_NAVIGATION_SETTINGS_V1.json
- /data/data/####/Cookies-journal
- /data/data/####/LiteAV_C.mmap2
- /data/data/####/LiteAV_C_20220314.xlog
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/a20cb8eb08eff261_0
- /data/data/####/aba44ff516326435_0
- /data/data/####/b63052c614a99d0e_0 (deleted)
- /data/data/####/b794eb3381f08bc5_0
- /data/data/####/b8a9a44e61a55a5d_0
- /data/data/####/b8a9a44e61a55a5d_1
- /data/data/####/bd1a24658cee7aef_0
- /data/data/####/bdbb8e848ab9d3a9_0
- /data/data/####/bedcccc87b46e84b_0
- /data/data/####/bedcccc87b46e84b_1
- /data/data/####/c1858f6d64b7d178_0
- /data/data/####/c1858f6d64b7d178_1
- /data/data/####/c33f8bf949c9b6f8_0 (deleted)
- /data/data/####/cc43fad625552222_0
- /data/data/####/cc8899e93bf32593_0
- /data/data/####/cc8899e93bf32593_1
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.dex;classes4.dex
- /data/data/####/classes.dex;classes5.dex
- /data/data/####/classes.dex;classes6.dex
- /data/data/####/classes.dex;classes7.dex
- /data/data/####/classes.dex;classes8.dex
- /data/data/####/classes.oat
- /data/data/####/com.yxzq.stock_preferences.xml
- /data/data/####/cu_auth.xml
- /data/data/####/db_yxzq_optional_stock-journal
- /data/data/####/domain_model_quote_tcp.xml
- /data/data/####/e088c46945e69f56_0
- /data/data/####/e0f905b7666949bc_0
- /data/data/####/e0f905b7666949bc_1
- /data/data/####/e9a0dd6e9f4d60f0_0
- /data/data/####/elklog.db-journal
- /data/data/####/f2b2863d4bf16f98_0
- /data/data/####/f49529250f0b73d9_0
- /data/data/####/f5daec534ebe45b6_0
- /data/data/####/fc73a56fcbd7cfa0_0 (deleted)
- /data/data/####/fdd665f68caa7aa2_0
- /data/data/####/hb_record.xml
- /data/data/####/index
- /data/data/####/journal
- /data/data/####/language-e.json
- /data/data/####/language-s.json
- /data/data/####/language-t.json
- /data/data/####/language.xml
- /data/data/####/language.xml.bak
- /data/data/####/libjiagu.so
- /data/data/####/logger.db
- /data/data/####/logger.db-journal
- /data/data/####/meta-data.xml
- /data/data/####/metrics_guid
- /data/data/####/mipush_country_code
- /data/data/####/mipush_country_code.lock
- /data/data/####/mipush_region
- /data/data/####/mipush_region.lock
- /data/data/####/monitor.db
- /data/data/####/monitor.db-journal
- /data/data/####/proc_auxv
- /data/data/####/ssoconfigs.xml
- /data/data/####/temp-index
- /data/data/####/the-real-index
- /data/data/####/upload_log.xml
- /data/data/####/user_info_record.xml
- /data/data/####/white.skin
- /data/data/####/yx_shared_preferences_utils.xml
- /data/data/####/yxzq.mmap3
- /data/data/####/yxzq_20220314.xlog
- /data/data/####/yxzq_settings.xml
- /data/misc/####/primary.prof
- /data/user_de/####/move_to_de_records.xml
Другие:
Запускает следующие shell-скрипты:
- ls -l /system/bin/su
Загружает динамические библиотеки:
- libalicomphonenumberauthsdk_core
- libauth_number_product-2.12.3-log-online-standard-release_alijtca_plus
- libc++_shared
- libjiagu
- libliteavsdk
- libmarsxlog
- libmmkv
- libtraeimp-rtmp
- libtxffmpeg
- libtxsoundtouch
- libusmart_safety
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- DESede-CBC-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
