Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.337.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) nav.cn.ron####.com:80
- TCP(HTTP/1.1) t10.tianla####.com:80
- TCP(HTTP/1.1) 7####.tianla####.com.####.cn:80
- TCP(HTTP/1.1) a####.u####.com.####.com:80
- TCP(HTTP/1.1) ad####.aud####.org:80
- TCP(HTTP/1.1) l####.aud####.org:80
- UDP(NTP) 2.and####.p####.####.org:123
- UDP(NTP) 1.cn.p####.####.org:123
- TCP(TLS/1.0) rr1---s####.g####.com:443
- TCP(TLS/1.0) www.google####.com:443
- TCP(TLS/1.0) pag####.googles####.com:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) c####.x####.com:443
- TCP(TLS/1.0) rr3---s####.g####.com:443
- TCP(TLS/1.0) s####.cn.ron####.com:443
- TCP(TLS/1.0) pla####.google####.com:443
- TCP(TLS/1.2) 1####.250.179.142:443
- TCP(TLS/1.2) 1####.251.36.3:443
- TCP(TLS/1.2) www.google####.com:443
- TCP arm.z####.cn:10011
- TCP t-tcppr####.ron####.com:443
- TCP arm.z####.cn:10017
- UDP p####.google####.com:443
- UDP www.google####.com:443
Запросы DNS:
- 1.cn.p####.####.org
- 2.and####.p####.####.org
- 7####.tianla####.com
- a####.u####.com
- ad####.aud####.org
- and####.google####.com
- arm.z####.cn
- c####.x####.com
- con####.aud####.org
- i####.cn
- id1.cn.8.####.8
- l####.aud####.org
- m####.go####.com
- mob.aud####.org
- nav.cn.ron####.com
- p####.google####.com
- pag####.googles####.com
- phonede####.google####.com
- pla####.google####.com
- rr1---s####.g####.com
- rr3---s####.g####.com
- s####.cn.ron####.com
- t-tcppr####.ron####.com
- t10.tianla####.com
- www.google####.com
Запросы HTTP GET:
- 7####.tianla####.com.####.cn/tv/homeimage/201711/1510646132033.png
- 7####.tianla####.com.####.cn/tv/homeimage/201712/1514282131354.png
- 7####.tianla####.com.####.cn/tv/homeimage/201712/1514282131426.png
- 7####.tianla####.com.####.cn/tv/homeimage/201712/1514282192810.png
- 7####.tianla####.com.####.cn/tv/homeimage/201712/1514282192826.png
- 7####.tianla####.com.####.cn/tv/homeimage/201712/1514282192840.png
- 7####.tianla####.com.####.cn/tv/homeimage/201712/1514282192854.png
- 7####.tianla####.com.####.cn/tv/homeimage/201712/1514282960794.png
- 7####.tianla####.com.####.cn/tv/homeimage/201712/1514282968909.png
- 7####.tianla####.com.####.cn/tv/homeimage/201712/1514283012426.png
- 7####.tianla####.com.####.cn/tv/homeimage/201712/1514283024170.png
- 7####.tianla####.com.####.cn/tv/homeimage/201801/1514948067004.png
- 7####.tianla####.com.####.cn/tv/homeimage/201801/1515490777243.png
- 7####.tianla####.com.####.cn/tv/homeimage/201801/1515490827507.png
- 7####.tianla####.com.####.cn/tv/homeimage/201801/1515490880080.png
- 7####.tianla####.com.####.cn/tv/homeimage/201808/1534408558789.jpg
- 7####.tianla####.com.####.cn/tv/homeimage/201809/1536285437931.jpg
- 7####.tianla####.com.####.cn/tv/homeimage/201809/1537522936053.jpg
- 7####.tianla####.com.####.cn/tv/homeimage/201809/1538039851922.png
- 7####.tianla####.com.####.cn/tv/homeimage/201908/1566187310004.png
- 7####.tianla####.com.####.cn/tv/homeimage/201910/1572335799548.png
- 7####.tianla####.com.####.cn/tv/homeimage/201912/1576208395705.png
- 7####.tianla####.com.####.cn/tv/homeimage/201912/1576208406350.png
- 7####.tianla####.com.####.cn/tv/homeimage/202004/1587390906084.png
- 7####.tianla####.com.####.cn/tv/homeimage/202006/1592902445365.png
- 7####.tianla####.com.####.cn/tv/homeimage/202107/1626772921196.png
- 7####.tianla####.com.####.cn/tv/homeimage/202205/1653555525788.jpg
- ad####.aud####.org/api/v1/tvFullScreens?request####&sign=####&type=####
- ad####.aud####.org/api/v1/tvMarketing?request####&sign=####&type=####
- ad####.aud####.org/tian/content/listToview.action?request=####&sign=####...
- ad####.aud####.org/tian/home/getTvHomeImage.action?request=####&sign=###...
- ad####.aud####.org/tian/system/getConfigVersion.action?request####&sign=...
- ad####.aud####.org/tian/system/getSoundConfig.action?request####&sign=##...
- ad####.aud####.org/tian/system/getSystemOff.action?request####&sign=####...
- ad####.aud####.org/tian/system/getTVConfig.action?request####&sign=####&...
- ad####.aud####.org/tian/tele/getChartId.action?request####&sign=####&typ...
- ad####.aud####.org/tian/tele/getToken.action?request####&sign=####&type=...
- ad####.aud####.org/tian/tele/isLongChain.action?request####&sign=####&ty...
- c####.x####.com:443/sdk/conf?id=####&p=####&v=####&sv=####&cv=####
- l####.aud####.org/tian/user/authentication.action?request####&sign=####&...
- l####.aud####.org/tian/user/getManufacturersBindingStatus.action?request...
- l####.aud####.org/tian/user/imeilogin.action?request####&sign=####&type=...
- t10.tianla####.com/config/so/680000/<System Property>/SM_T555/4_5_1/TL55...
Запросы HTTP POST:
- a####.u####.com.####.com/app_logs
- nav.cn.ron####.com/navi.xml
- s####.cn.ron####.com:443/active.json
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.fsgkea
- /data/data/####/.imprint
- /data/data/####/.jg.ac
- /data/data/####/.jg.ri
- /data/data/####/.jg.store.report_cf
- /data/data/####/.jg.store.report_pid
- /data/data/####/1673052396455_3615
- /data/data/####/1673052396544_3615
- /data/data/####/1673052396592_3615
- /data/data/####/19reip4ape76q7uuhecceqpkg.tmp
- /data/data/####/1apqdcyqbhm7n2lnpos56hp8f.tmp
- /data/data/####/1gmpabrzigmi0yjwgqohyabsb
- /data/data/####/1gmpabrzigmi0yjwgqohyabsb.tmp
- /data/data/####/1x74quxwkx3v09q0i6lzfr6e6
- /data/data/####/22dl2rgcvlk6jf98hj3kis6ru
- /data/data/####/25sp06iy28ei32326z7kdh0fo.tmp
- /data/data/####/2kuli51071gtr34hqi3juuk9t
- /data/data/####/2z8dytkbu54ea2g2he2b2x3t4
- /data/data/####/303deeknx9x9qjjcij81k4ynw
- /data/data/####/34d99cw05t5ak1kz2s2g44kz4
- /data/data/####/3cpopx826nrgj66afs73cg9sk
- /data/data/####/3sjugk05djs4ei7s1bptm2gg6
- /data/data/####/45j53n4dwnkvi2uxmgtxgwgfv.tmp
- /data/data/####/52rsjqmhez5ynebdxhp3mvoc0
- /data/data/####/552d70uy59l3cg05nxjvx6tmj
- /data/data/####/552d70uy59l3cg05nxjvx6tmj.tmp
- /data/data/####/55wmkj237ibmuxdfs1vh2fb5n
- /data/data/####/55wzqq8674s5myt71p54rg9yl
- /data/data/####/5k09m84upok61vny87fld3weq
- /data/data/####/5knleqjo3intv77tw9do4bf45.tmp
- /data/data/####/6cqmkbj9dk2kjxfmcpw4845b9
- /data/data/####/6e1x5zs30ovkeugl2b25yyiww
- /data/data/####/6ijara3apbiq77b4e4202rgtv
- /data/data/####/6ijara3apbiq77b4e4202rgtv.tmp
- /data/data/####/71nm1krh1uciqxxn7rtssgbi4
- /data/data/####/7j3mkkslvnhghsnst7sfsz37k
- /data/data/####/COUNTLY_STORE.xml
- /data/data/####/Log2File.xml
- /data/data/####/RongNavigation.xml
- /data/data/####/Statistics.xml
- /data/data/####/Statistics.xml.bak
- /data/data/####/TDCloudSettingsConfig3CA40B3AFE0F9A6C16A92438D4...ml.bak
- /data/data/####/TDCloudSettingsConfig3CA40B3AFE0F9A6C16A92438D477ACD7.xml
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/TDpref_longtime.xml
- /data/data/####/TDpref_longtime0.xml
- /data/data/####/TDpref_longtime0.xml.bak
- /data/data/####/TDpref_shorttime.xml
- /data/data/####/TDpref_shorttime0.xml
- /data/data/####/audiocn.txt
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/cjo3rjmnzmjbp4fyo59tv4zb
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.oat
- /data/data/####/config.config
- /data/data/####/data.xml
- /data/data/####/data.xml.bak
- /data/data/####/data.xml.bak (deleted)
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/libjiagu.so
- /data/data/####/ny276ajn62n9yf8scth3qu9j
- /data/data/####/proc_auxv
- /data/data/####/song_database.db-journal
- /data/data/####/storage-journal
- /data/data/####/storage-journal (deleted)
- /data/data/####/storage_bak
- /data/data/####/storage_bak-journal (deleted)
- /data/data/####/tdid.xml
- /data/data/####/tlcydb.db
- /data/data/####/tlcydb.db-journal
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/zzpvoat9728kw9clwub4vcyv
- /data/media/####/.tcookieid
- /data/media/####/RongLog_2_8_13.log
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- chmod 777 /data/user/0/<Package>/app_jni
- getprop
Загружает динамические библиотеки:
- libRongIMLib
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- DES-CBC-PKCS5Padding
- DESede-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- DESede-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
