Android.Locker.17093

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Locker.1274.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) wap.n.sh####.com:80
TCP(HTTP/1.1) b####.g####.cn:80
TCP(HTTP/1.1) bqm.1####.cn:80
TCP(HTTP/1.1) q2.q####.cn:80
TCP(TLS/1.0) t####.m.qq.com:443
TCP(TLS/1.0) api.bam####.com:443
TCP(TLS/1.0) sta####.woo####.com.####.com:443
TCP(TLS/1.0) hm.b####.com:443
TCP(TLS/1.0) s####.e.qq.com:443
TCP(TLS/1.0) 9b8f####.lan####.com.####.cn:443
TCP(TLS/1.0) 1####.194.73.95:443
TCP(TLS/1.0) rr9---s####.g####.com:443
TCP(TLS/1.0) qzs.gd####.com.####.com:443
TCP(TLS/1.0) 64.2####.164.95:443
TCP(TLS/1.0) to####.ctobsn####.com.####.net:443
TCP(TLS/1.0) i####.woo####.com:443
TCP(TLS/1.2) 64.2####.165.94:443
TCP(TLS/1.2) 64.2####.164.95:443
TCP(TLS/1.2) 1####.194.73.95:443
TCP(TLS/1.2) 64.2####.162.113:443
TCP to####.ctobsn####.com.####.net:443
TCP sf3-fe####.pglstat####.com.####.com:443

Запросы DNS:

api-ac####.pangoli####.com
api.bam####.com
as####.woo####.com
b####.g####.cn
bqm.1####.cn
gro####.pangoli####.com
hm.b####.com
i####.woo####.com
jlh.1####.cn
m.b####.com
q2.q####.cn
qun.1####.cn
qzs.gd####.com
rr9---s####.g####.com
s####.e.qq.com
sf3-fe####.pglstat####.com
sta####.woo####.com
t####.m.qq.com
to####.ctobsn####.com
wwd.lan####.com

Запросы HTTP GET:

api.bam####.com:443/api/platform/v1/cloud-injection/info?versionName=###...
b####.g####.cn/tool/toux/api.php?qq=####
q2.q####.cn/headimg_dl?bs=####&dst_uin=####&dst_uin=####&;dst_uin=####&s...
qzs.gd####.com.####.com:443/union/res/android/plugin/plugin.dex-1401.jar
qzs.gd####.com.####.com:443/union/res/union_cdn/page/android/quickjs/lib...
qzs.gd####.com.####.com:443/union/res/union_temp_v2/page/ANTempMob/tempM...
qzs.gd####.com.####.com:443/union/res/union_temp_v2/page/ANTempMob/video...
to####.ctobsn####.com.####.net:443/service/2/app_alert_check/?aid=####&t...
wap.n.sh####.com/

Запросы HTTP POST:

api.bam####.com:443/api/platform/v1/cloud-injection/report
bqm.1####.cn/jc/app.php
s####.e.qq.com:443/activate
s####.e.qq.com:443/event
s####.e.qq.com:443/mediation?version=####
s####.e.qq.com:443/perf
t####.m.qq.com:443/?mc=####
to####.ctobsn####.com.####.net:443/api/ad/union/mediation/config/
to####.ctobsn####.com.####.net:443/api/ad/union/sdk/stats/batch/
to####.ctobsn####.com.####.net:443/service/2/app_log/?device_platform=##...
to####.ctobsn####.com.####.net:443/service/2/device_register_only/?aid=#...
to####.ctobsn####.com.####.net:443/service/2/log_settings/?device_platfo...

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-49c99a9dd9184f929c07ff64327dcb78-5151-5151.conf
/data/data/####/-6741744883901210834.xzz
/data/data/####/.fsgkea
/data/data/####/.jg.ac
/data/data/####/.jg.ri
/data/data/####/.jg.store.report_cf
/data/data/####/.jg.store.report_pid
/data/data/####/.t.log
/data/data/####/.turing.dat
/data/data/####/01e0da3eb7f24c81_0
/data/data/####/0558ece1859014a4_0
/data/data/####/09fd3e7a58a71d9b_0
/data/data/####/0c9c807354486c1f_0
/data/data/####/1.jpg
/data/data/####/105498_au_1
/data/data/####/173648f7cf9c8628_0
/data/data/####/173648f7cf9c8628_1
/data/data/####/1db6155bc049e18b_0
/data/data/####/28c97774dc35a556_0
/data/data/####/2e6bec2270e74b1d_0
/data/data/####/34fa0aefa9801230_0
/data/data/####/34fa0aefa9801230_1
/data/data/####/3611d15773deda32_0
/data/data/####/3640.yaqcookie
/data/data/####/3907a7f43a5cb2d1_0
/data/data/####/3a2c158944a4b5a2_0
/data/data/####/4276259311c9b82f_0
/data/data/####/47b7f4648f56b60d_0
/data/data/####/4cb8e5d7cf5299dd8c52b3c53a3383b5
/data/data/####/4cb8e5d7cf5299dd8c52b3c53a3383b5_0
/data/data/####/4d0d3ad9eeb25c37_0
/data/data/####/4e304b832c62a905_0
/data/data/####/508b4768ed50cd9b_0
/data/data/####/5750d072fc936e4c_0
/data/data/####/5b811107cd7c81ac_0
/data/data/####/5ca1b85610636732_0
/data/data/####/5f306b23cdd967da_0
/data/data/####/61b8d2795403fec8_0
/data/data/####/6e04169f65a65356_0
/data/data/####/704c0a76a1e89da4_0
/data/data/####/716c7ee7511fc987_0
/data/data/####/7232d90e04217d01_0
/data/data/####/8171506423ea6a1f_0
/data/data/####/825d30788d0d1389_0
/data/data/####/8857a4f5219b5624_0
/data/data/####/892f0673e50c7a51_0
/data/data/####/9a8e60472df4f3b8_0
/data/data/####/9abe2da26d67d6f7_0
/data/data/####/BuglySdkInfos.xml
/data/data/####/CloudPlugin.apk
/data/data/####/CloudPlugin.dex
/data/data/####/CloudPlugin.dex.flock (deleted)
/data/data/####/Cookies-journal
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/RXhMDBoRnTzy (deleted)
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/a2.dex
/data/data/####/a2.dex.flock (deleted)
/data/data/####/ac0efdce278166a8_0
/data/data/####/ads.html
/data/data/####/b4f6688394cf6c42_0
/data/data/####/base-1.apk
/data/data/####/base-1.dex
/data/data/####/base.css
/data/data/####/base.js
/data/data/####/bm_sp_file.xml
/data/data/####/c19b2a996a84a0d5_0
/data/data/####/c4e267145689c5ba_0
/data/data/####/c4efd0e65af4bc41_0
/data/data/####/c8bbe065fc22b58a_0
/data/data/####/cffc87e0812c78c1_0
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/classes.oat
/data/data/####/com.byted.pangle.apk
/data/data/####/com.joke.heitie.byh3_preferences.xml
/data/data/####/com.qq.e.sdkconfig.xml
/data/data/####/com.qq.e.sdkconfig.xml.bak
/data/data/####/compFully.dex
/data/data/####/config
/data/data/####/dd497e4dba39ff5baf6c2274df64d2b1
/data/data/####/dd497e4dba39ff5baf6c2274df64d2b1_0
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/e380a07116955403_0
/data/data/####/e7d8777d21de443d_0
/data/data/####/ec7c94e279b26d61_0
/data/data/####/f37bbed497085321_0
/data/data/####/fRpyJDabrhVw (deleted)
/data/data/####/fa4578b83ddaf666_0
/data/data/####/gdt_config.cfg
/data/data/####/gdt_plugin.dex
/data/data/####/gdt_plugin.dex.flock (deleted)
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.next
/data/data/####/gdt_plugin.next.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_stat.db
/data/data/####/gdt_stat.db-journal
/data/data/####/gdt_suid
/data/data/####/https_wwd.lanzouq.com_0.localstorage-journal
/data/data/####/iapp.js
/data/data/####/index
/data/data/####/jokeFile.xml
/data/data/####/jq1.9.js
/data/data/####/libMMANDKSignature.2bddb7d9.so
/data/data/####/libPglmetasec_ml.so
/data/data/####/libavmdl_lite.so
/data/data/####/libjiagu.so
/data/data/####/libkeva.so
/data/data/####/libmaparmor.so
/data/data/####/libpanglarmor.so
/data/data/####/libquickjs.so
/data/data/####/libquickjs.zip
/data/data/####/libquickjs.zip_0
/data/data/####/libtobEmbedEncrypt.so
/data/data/####/libtobEmbedEncryptForM.so
/data/data/####/libttmplayer_lite.so
/data/data/####/libturingau.2bddb7d9.so
/data/data/####/libyaqbasic.2bddb7d9.so
/data/data/####/libyaqpro.2bddb7d9.so
/data/data/####/logo.png
/data/data/####/metrics_guid
/data/data/####/mpdc_105498_1
/data/data/####/pangle_com.byted.pangle_applog_net_cache.dat.xml
/data/data/####/pangle_com.byted.pangle_bd_embed_m_log.db-journal
/data/data/####/pangle_com.byted.pangle_bd_embed_tea_agent.db-journal
/data/data/####/pangle_com.byted.pangle_downloader.db-journal
/data/data/####/pangle_com.byted.pangle_embed_applog_stats.xml
/data/data/####/pangle_com.byted.pangle_embed_header_custom.xml
/data/data/####/pangle_com.byted.pangle_embed_last_sp_session.xml
/data/data/####/pangle_com.byted.pangle_freqctl_102245696.xml
/data/data/####/pangle_com.byted.pangle_freqctl_102299572.xml
/data/data/####/pangle_com.byted.pangle_freqctl_102306860.xml
/data/data/####/pangle_com.byted.pangle_freqctl_102308941.xml
/data/data/####/pangle_com.byted.pangle_npth.xml
/data/data/####/pangle_com.byted.pangle_npth_log.db-journal
/data/data/####/pangle_com.byted.pangle_npth_m_log.db-journal
/data/data/####/pangle_com.byted.pangle_pacing_102245696.xml
/data/data/####/pangle_com.byted.pangle_pacing_102299572.xml
/data/data/####/pangle_com.byted.pangle_pacing_102306860.xml
/data/data/####/pangle_com.byted.pangle_pacing_102308941.xml
/data/data/####/pangle_com.byted.pangle_pangle_com.byted.pangle...fo.xml
/data/data/####/pangle_com.byted.pangle_snssdk_openudid.xml
/data/data/####/pangle_com.byted.pangle_tt_device_info.xml
/data/data/####/pangle_com.byted.pangle_tt_mediation_open_sdk.db-journal
/data/data/####/pangle_com.byted.pangle_tt_mediation_ppe_info.xml
/data/data/####/pangle_com.byted.pangle_tt_sdk_settings_5348112.xml
/data/data/####/pangle_com.byted.pangle_tt_sdk_settings_null.xml
/data/data/####/pangle_com.byted.pangle_tt_sdk_settings_null.xml.bak
/data/data/####/pangle_com.byted.pangle_tt_sdk_settings_other.xml
/data/data/####/pangle_com.byted.pangle_ttopensdk.db-journal
/data/data/####/pangle_meta_data_sp.xml
/data/data/####/pangle_meta_data_sp.xml.bak
/data/data/####/plugin_oat_info.xml
/data/data/####/proc_auxv
/data/data/####/resMappingBak
/data/data/####/scheme_list_data.sgv
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/swiper.css
/data/data/####/swiper.js
/data/data/####/the-real-index
/data/data/####/tt_sdk_settings_other.blk
/data/data/####/turingfd_conf_105498_au.xml
/data/data/####/turingfd_conf_105498_au.xml.bak
/data/data/####/update.lock
/data/data/####/update_lc
/data/data/####/yaq.2bddb7d9.sec
/data/data/####/yaq2.2bddb7d9.sec
/data/data/####/yaq3_0.2bddb7d9.sec
/data/data/####/yaqsdkcookie
/data/media/####/.android_system_config.prop
/data/media/####/.jokeID
/data/media/####/24f8224c7e999d844cb410e891699505
/data/media/####/323b5a6f244aa8195e88a26d9d0b2dd2
/data/media/####/clientudid.dat
/data/media/####/e89b830d6d76afae424a73d52fc538b5
/data/media/####/meta.dat
/data/media/####/temp_pkg_info.json
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/df
/system/bin/getprop
app_process /system/bin com.android.commands.pm.Pm path <Package>
dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --compiler-filter=speed --dex-file=/data/user/0/<Package>/files/pangle_p/com.byted.pangle/version-5151/apk/base-1.apk --oat-file=/data/user/0/<Package>/files/pangle_p/com.byted.pangle/version-5151/dalvik-cache/compFully.dex
getprop ro.build.version.emui
getprop ro.letv.release.version
getprop ro.vivo.os.build.display.id

Загружает динамические библиотеки:

libMMANDKSignature.2bddb7d9
libavmdl_lite
libjiagu
libkeva
libluajava
libmaparmor
libpanglarmor
libquickjs
libtobEmbedEncrypt
libtobEmbedEncryptForM
libttmplayer_lite
libturingau.2bddb7d9
libyaqbasic.2bddb7d9
libyaqpro.2bddb7d9
libygsiyu

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней