Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.337.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) a####.rin####.com:80
- TCP(HTTP/1.1) adash####.man.aliy####.com:80
- TCP(TLS/1.0) 1####.251.1.95:443
- TCP(TLS/1.0) 1####.177.14.95:443
- TCP(TLS/1.0) a####.openins####.io:443
- TCP(TLS/1.0) 2####.107.1.97:443
- TCP(TLS/1.0) rr1---s####.g####.com:443
- TCP(TLS/1.0) and####.b####.qq.com:443
- TCP(TLS/1.0) md####.google####.com:443
- TCP(TLS/1.0) 64.2####.165.95:443
- TCP(TLS/1.2) 74.1####.131.113:443
- TCP(TLS/1.2) 64.2####.161.138:443
- TCP(TLS/1.2) 1####.194.221.94:443
- TCP(TLS/1.2) 1####.177.14.95:443
- UDP j####.jianpia####.com:8003
- UDP rr1---s####.g####.com:443
- UDP 64.2####.165.95:443
- UDP j####.jianpia####.com:8000
- UDP 85.1####.117.141:443
- TCP arm.lc####.cn:10020
- UDP 1####.177.14.95:443
Запросы DNS:
- a####.man.aliy####.com
- a####.openins####.io
- a####.rin####.com
- and####.b####.qq.com
- arm.lc####.cn
- j####.jianpia####.com
- m####.go####.com
- md####.google####.com
- rr1---s####.g####.com
- www.vipfany####.com
Запросы HTTP GET:
- a####.rin####.com/api/ad/android_ad?channel=####&token=####
- a####.rin####.com/api/appAuthConfig
- a####.rin####.com/api/ask/checkRed
- a####.rin####.com/api/domain1?channel=####
- a####.rin####.com/api/domain2?channel=####
- a####.rin####.com/api/dyTag/beforeData?id=####
- a####.rin####.com/api/dyTag/nUser?token=####
- a####.rin####.com/api/dyTag/tag?page=####&tag=####
- a####.rin####.com/api/nUser/copyWriting?channel=####&token=####
- a####.rin####.com/api/post/detail?client=####
- a####.rin####.com/api/slide/list?pos_id=####
- a####.rin####.com/api/tag/hand
- a####.rin####.com/api/term/ad_fenlei?page=####&limit=####
Запросы HTTP POST:
- a####.openins####.io:443/api/v2_5/android/tt5grq/init?opof=####&qmvzs=##...
- adash####.man.aliy####.com/man/api?ak=####&s=####
- and####.b####.qq.com:443/rqd/async?aid=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.cl
- /data/data/####/.jg.ac
- /data/data/####/1004
- /data/data/####/AliveLog.txt
- /data/data/####/Alvin2.xml
- /data/data/####/BUGLY_COMMON_VALUES.xml
- /data/data/####/ContextData.xml
- /data/data/####/FM_config.xml
- /data/data/####/MessageStore.db-journal
- /data/data/####/MsgLogStore.db-journal
- /data/data/####/Sys_info.xml
- /data/data/####/bugly_db_-journal
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.dex;classes4.dex
- /data/data/####/classes.dex;classes5.dex
- /data/data/####/crashrecord.xml
- /data/data/####/httpdns_config_cache.xml
- /data/data/####/journal
- /data/data/####/libjiagu.so
- /data/data/####/libjiagu_64.so
- /data/data/####/local_crash_lock
- /data/data/####/native_record_lock
- /data/data/####/proc_auxv
- /data/data/####/xgappvlc_sharedpreferences.xml
- /data/media/####/2233435ca844d4526be86ac6a36f2bba.0.tmp
- /data/media/####/2233435ca844d4526be86ac6a36f2bba.1.tmp
- /data/media/####/3581bf41bad0fefa9b1ea042097f7b18.0.tmp
- /data/media/####/3581bf41bad0fefa9b1ea042097f7b18.1
- /data/media/####/4fcfc4cc051286f51eb625ea0fadeabe.0.tmp
- /data/media/####/4fcfc4cc051286f51eb625ea0fadeabe.1.tmp
- /data/media/####/5a77b3594e000d6c7c04a6d884f81201.0.tmp
- /data/media/####/5a77b3594e000d6c7c04a6d884f81201.1.tmp
- /data/media/####/655a246c124a81ea92507f0e155de133.0.tmp
- /data/media/####/655a246c124a81ea92507f0e155de133.1.tmp
- /data/media/####/7aa6557a43f7516f0c73c6162085e2b8.0.tmp
- /data/media/####/7aa6557a43f7516f0c73c6162085e2b8.1.tmp
- /data/media/####/86fbf85871a5fe2da8b6f5c501d92d8a.0.tmp
- /data/media/####/86fbf85871a5fe2da8b6f5c501d92d8a.1.tmp
- /data/media/####/8ff8b27e1af6d1f13321b993333aa4ac.0.tmp
- /data/media/####/8ff8b27e1af6d1f13321b993333aa4ac.1.tmp
- /data/media/####/9959f434320e2af02c1b007ffb444481.0.tmp
- /data/media/####/9959f434320e2af02c1b007ffb444481.1.tmp
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/LocalData
- /data/media/####/a1231acb1ac1c708251e685ddeb1d78c.0.tmp
- /data/media/####/a1231acb1ac1c708251e685ddeb1d78c.1.tmp
- /data/media/####/a43897bfeda11f087724ac8702c45542.0.tmp
- /data/media/####/a43897bfeda11f087724ac8702c45542.1.tmp
- /data/media/####/da9df71c17f5575b0a1b27bda6816b37.0.tmp
- /data/media/####/da9df71c17f5575b0a1b27bda6816b37.1.tmp
- /data/media/####/debuglog.log
- /data/media/####/ec343b6f2bfab92944faa735be707488.0.tmp
- /data/media/####/ec343b6f2bfab92944faa735be707488.1.tmp
- /data/media/####/ed34cfecfb9ed0a4b1171e558ccac5b7.0.tmp
- /data/media/####/ed34cfecfb9ed0a4b1171e558ccac5b7.1.tmp
- /data/media/####/f2986c6f294db802881815e574eb7b33.0
- /data/media/####/f2986c6f294db802881815e574eb7b33.1
- /data/media/####/fae2fc591c2a164b3c2dd570ea66aace.0.tmp
- /data/media/####/fae2fc591c2a164b3c2dd570ea66aace.1.tmp
- /data/media/####/fc6c9f7dd991e9964497e1153820c569.0.tmp
- /data/media/####/fc6c9f7dd991e9964497e1153820c569.1.tmp
- /data/media/####/journal
- /data/media/####/jpaliData.cfg
- /data/media/####/jpaliData.cfg-journal
- /data/media/####/jpaliData.cfg-journal (deleted)
- /data/media/####/tt5grq
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop
- app_process /system/bin com.android.commands.pm.Pm list package -3
- getprop
- pm list package -3
- sh
Загружает динамические библиотеки:
- libBugly-ext
- libjiagu_64
- libp2p
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
