Android.Click.1692

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Click.1620

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) adash####.man.aliy####.com:80
TCP(HTTP/1.1) m####.c####.i####.com:80
TCP(HTTP/1.1) mon####.ssp.admo####.top:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) st####.i####.com.####.net:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) adser####.si####.cn:80
TCP(HTTP/1.1) norma-e####.m####.com:80
TCP(HTTP/1.1) tc.c####.i####.com:80
TCP(TLS/1.0) api.e.kuai####.com:443
TCP(TLS/1.0) api.byteg####.ak####.net:443
TCP(TLS/1.0) dm.tou####.com.####.com:443
TCP(TLS/1.0) plb####.u####.com:443
TCP(TLS/1.0) rr10---####.g####.com:443
TCP(TLS/1.0) t####.m.qq.com:443
TCP(TLS/1.0) dm.byted####.com.####.com:443
TCP(TLS/1.0) digital####.google####.com:443
TCP(TLS/1.0) def####.duals####.cn.####.com:443
TCP(TLS/1.0) p####.birdg####.com:443
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) qzs.gd####.com.####.com:443
TCP(TLS/1.0) sf21-fe####.i18n-pg####.com:443
TCP(TLS/1.0) s####.e.qq.com:443
TCP(TLS/1.0) api.anythin####.com:443
TCP(TLS/1.0) dc.si####.cn:443
TCP(TLS/1.0) u####.u####.com:443
TCP(TLS/1.0) ad.par####.gif####.com:443
TCP(TLS/1.0) gw.xiao####.com:443
TCP(TLS/1.0) aa.birdg####.com:443
TCP(TLS/1.0) bgp.netarch####.l.####.net:443
TCP(TLS/1.0) adser####.si####.cn:443
TCP(TLS/1.0) api16-a####.pa####.io.####.net:443
TCP(TLS/1.0) da.anythin####.com:443
TCP(TLS/1.2) 64.2####.162.101:443
TCP(TLS/1.2) 64.2####.164.102:443
TCP(TLS/1.2) 1####.194.73.95:443
TCP(TLS/1.2) 64.2####.165.94:443
TCP(TLS/1.2) digital####.google####.com:443
UDP digital####.google####.com:443
TCP zb-cent####.m.ta####.com:443
TCP dm.byted####.com.####.com:443
TCP bgp.netarch####.l.####.net:443
TCP pang####.sn####.com.####.net:443
TCP openj####.m.ta####.com:80

Запросы DNS:

a####.man.aliy####.com
aa.birdg####.com
ad.par####.gif####.com
adser####.si####.cn
amdc####.m.ta####.com
and####.b####.qq.com
api.anythin####.com
api.e.kuai####.com
api16-a####.pa####.io
api16-a####.pa####.io
c.isds####.qq.####.8
c.isds####.qq.com
da.anythin####.com
dc.si####.cn
dig.b####.net
digital####.google####.com
dm.byted####.com
dm.ps####.com
dm.tou####.com
gw.xiao####.com
l####.tbs.qq.com
log.u####.com
m####.c####.i####.com
m####.go####.com
md####.google####.com
mon####.ssp.admo####.top
norma-e####.m####.com
p####.birdg####.com
pang####.sn####.com
plb####.u####.com
qzs.gd####.com
rr10---####.g####.com
s####.e.qq.com
sdk.api.o####.####.8
sdk.api.o####.####.cn
sdk.ssp.admo####.top
sf21-fe####.i18n-pg####.com
sf3-fe####.pglstat####.com
sf3-ttc####.ps####.com
t####.m.qq.com
t7z.c####.i####.com
tc.c####.i####.com
to####.ctobsn####.com
u####.u####.com
umen####.m.ta####.com
umengj####.m.ta####.com

Запросы HTTP GET:

adser####.si####.cn/extconfig?appId=####&sdkVersion=####
def####.duals####.cn.####.com:443/bar/get/5a3c6adba40fa352e8000095/?pcv=...
dm.byted####.com.####.com:443/get_domains/v4/?abi=####&aid=####&device_p...
dm.tou####.com.####.com:443/get_domains/v4/?abi=####&aid=####&device_pla...
dm.tou####.com.####.com:443/service/2/app_alert_check/?aid=####&device_i...
gw.xiao####.com:443/tuser/v1/encrypt/secret_sdk?package=####
norma-e####.m####.com/android/exchange/getpublickey.do
st####.i####.com.####.net/qilin_control?sid=####&rid=####&ost=####&sv=##...

Запросы HTTP POST:

aa.birdg####.com:443/v1/d_api
ad.par####.gif####.com:443/api/v2/sdk/log?token=####
adash####.man.aliy####.com/man/api?ak=####&s=####
adser####.si####.cn:443/config?appId=####&sdkVersion=####
and####.b####.qq.com/rqd/async?aid=####
api.anythin####.com:443/v1/open/app
api.e.kuai####.com:443/rest/config/client/v1/open/globalId
da.anythin####.com:443/v1/open/da
dc.si####.cn:443/log?appId=####&sdkVersion=####
dm.tou####.com.####.com:443/service/2/app_log/?device_platform=####&vers...
dm.tou####.com.####.com:443/service/2/device_register_only/?aid=####&tt_...
dm.tou####.com.####.com:443/service/2/log_settings/?device_platform=####
l####.tbs.qq.com/ajax?c=####&k=####
m####.c####.i####.com/scp2.gif
mon####.ssp.admo####.top/statistic
norma-e####.m####.com/push/android/external/add.do
p####.birdg####.com:443/v1/ptk
plb####.u####.com:443/umpx_internal
plb####.u####.com:443/umpx_push_launch
plb####.u####.com:443/umpx_push_register
plb####.u####.com:443/umpx_share
qzs.gd####.com.####.com:443/union/res/union_cdn/page/temp_v2/tempMob.pac...
s####.e.qq.com/activate
s####.e.qq.com:443/event
t####.m.qq.com:443/?mc=####
tc.c####.i####.com/dsp_conversion_cb/sdk
u####.u####.com:443/unify_logs

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-9196153151551995734
/data/data/####/.cl
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.turing.dat
/data/data/####/1002
/data/data/####/1004
/data/data/####/105498_auMini_1
/data/data/####/39285EFA.dex
/data/data/####/39285EFA.dex.flock (deleted)
/data/data/####/ACCS_BINDumeng;5a3c6adba40fa352e8000095.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/ACCS_SDK_CHANNEL.xml.bak
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/BuglySdkInfos.xml
/data/data/####/BuriedPointConfig.xml
/data/data/####/ContextData.xml
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/SP_AROUTER_CACHE.xml
/data/data/####/SP_AROUTER_CACHE.xml.bak
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/Web Data
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/a==7.5.3&&6.3.3_1679332903812_envelope.log
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/anythink.db-journal
/data/data/####/anythink_agent_log
/data/data/####/anythink_placement_strategy_update_check.xml
/data/data/####/anythink_sdk.xml
/data/data/####/anythink_sdk.xml.bak
/data/data/####/anythink_temp_log
/data/data/####/applog_stats.xml
/data/data/####/bd_embed_tea_agent.db-journal
/data/data/####/bd_tea_agent.db-journal
/data/data/####/bugly_db_-journal
/data/data/####/channel_umeng_common_config.xml
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/classes.dex;classes5.dex
/data/data/####/classes.dex;classes6.dex
/data/data/####/classes.dex;classes7.dex
/data/data/####/cn.admobiletop.adsuyi.machine.xml
/data/data/####/com.Sigmob.Settings.xml
/data/data/####/com.Sigmob.settings.identifier.xml
/data/data/####/com.dreamtd.kjshenqi.BETA_VALUES.xml
/data/data/####/com.dreamtd.kjshenqi_preferences.xml
/data/data/####/com.iqiyi.qilin.trans.constants.xml
/data/data/####/com.iqiyi.qilin.trans.session.xml
/data/data/####/com.qq.e.sdkconfig.xml
/data/data/####/com.qq.e.sdkconfig.xml.bak
/data/data/####/com.x.y.1.xml
/data/data/####/com.x.y.2.xml
/data/data/####/config
/data/data/####/core_info
/data/data/####/crashrecord.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNjc5MzMyOTAwOTQ4;
/data/data/####/dW1weF9wdXNoX2xhdW5jaF8xNjc5MzMyOTEyODMy;
/data/data/####/dW1weF9wdXNoX3JlZ2lzdGVyXzE2NzkzMzI5MDI4MjA=;
/data/data/####/dW1weF9zaGFyZV8xNjc5MzMyOTA0ODA5;
/data/data/####/dW1weF9zaGFyZV8xNjc5MzMyOTAxNzEy;
/data/data/####/data.mdb
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/download_upload
/data/data/####/downloader.db-journal
/data/data/####/embed_applog_stats.xml
/data/data/####/embed_applog_stats.xml.bak
/data/data/####/embed_header_custom.xml
/data/data/####/embed_last_sp_session.xml
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/gdt_config.cfg
/data/data/####/gdt_stat.db
/data/data/####/gdt_stat.db-journal
/data/data/####/gdt_suid
/data/data/####/httpdns_config_cache.xml
/data/data/####/i==1.2.0&&6.3.3_1679332900935_envelope.log
/data/data/####/info.xml
/data/data/####/ks_turbo_sdk_pref.xml
/data/data/####/last_sp_session.xml
/data/data/####/libjiagu.so
/data/data/####/local_crash_lock
/data/data/####/local_crash_lock (deleted)
/data/data/####/lock.mdb
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/metrics_guid
/data/data/####/mpdc_105498_1
/data/data/####/mz_push_preference.xml
/data/data/####/native_record_lock
/data/data/####/native_record_lock (deleted)
/data/data/####/npth.xml
/data/data/####/npth_log.db-journal
/data/data/####/proc_auxv
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/security_info
/data/data/####/share.db-journal
/data/data/####/sigmob.db
/data/data/####/sigmob.db-journal
/data/data/####/sigmob.db-journal (deleted)
/data/data/####/sigmob.db-shm
/data/data/####/sigmob.db-wal
/data/data/####/snssdk_openudid.xml
/data/data/####/snssdk_openudid.xml.bak
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak
/data/data/####/tbs_download_stat.xml
/data/data/####/tbs_pv_config
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tramini.db-journal
/data/data/####/tramini.xml
/data/data/####/tt_dns_settings.xml
/data/data/####/tt_sdk_settings.xml
/data/data/####/tt_sdk_settings.xml.bak
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopensdk.db-journal
/data/data/####/turingfd_conf_105498_auMini.xml
/data/data/####/turingfd_protect_105498_47_auMini.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml.bak (deleted)
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/umeng_socialize.xml
/data/data/####/update.xml
/data/data/####/update_lc
/data/data/####/webview_data.lock
/data/media/####/.turing.dat
/data/media/####/2023-03-20.log.txt
/data/media/####/419e7fa6e9e396ae7da06d8fc0660567.tmp
/data/media/####/6bb283dc9695d935c22d27054aa0f3ce
/data/media/####/6bb283dc9695d935c22d27054aa0f3ce.tmp
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/clientudid.dat
/data/media/####/config.txt
/data/media/####/dd4b7c0cb19059cdefb537d4ca60d2f3
/data/media/####/dd4b7c0cb19059cdefb537d4ca60d2f3.tmp
/data/media/####/deviceToken
/data/media/####/tbslog.txt
/data/media/####/temp_pkg_info.json
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/df
/system/bin/getprop
/system/bin/sh -c getprop
cat /sys/class/net/wlan0/address
getprop
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.letv.release.version
getprop ro.miui.ui.version.name
getprop ro.product.cpu.abi
getprop ro.smartisan.version
getprop ro.vivo.os.build.display.id
getprop ro.vivo.os.version
ls -l /system/bin/su
ls /
ls /sys/class/thermal
mount

Загружает динамические библиотеки:

lib39285EFA
libjiagu
libnms
libobjectbox
libtnet-3.1.14
libtobEmbedEncrypt
libturingau
libyaqcore_gdtadv
libyaqstub_gdtadv

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5PADDING
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding
RSA-NONE-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Перехватывает уведомления.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней