Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.337.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) st####.cn:80
- TCP(HTTP/1.1) shp.q####.cn:80
- TCP(HTTP/1.1) d2zb2y1####.cloudf####.net:80
- TCP(TLS/1.0) dxp.b####.com:443
- TCP(TLS/1.0) h####.b####.com:443
- TCP(TLS/1.0) 74.1####.205.95:443
- TCP(TLS/1.0) pos.b####.com:443
- TCP(TLS/1.0) i####.woo####.com:443
- TCP(TLS/1.0) rr9---s####.g####.com:443
- TCP(TLS/1.0) go####.yo####.com:443
- TCP(TLS/1.0) s####.lx.net####.com:443
- TCP(TLS/1.0) qiany####.lan####.com:443
- TCP(TLS/1.0) 64.2####.165.94:443
- TCP(TLS/1.0) c####.d####.nt####.####.com:443
- TCP(TLS/1.0) 1####.194.222.95:443
- TCP(TLS/1.0) 44b7####.lan####.com.####.cn:443
- TCP(TLS/1.0) shp.q####.cn:443
- TCP(TLS/1.0) r####.tc.qq.com:443
- TCP(TLS/1.0) hubble-####.n####.127.####.com:443
- TCP(TLS/1.0) hm.b####.com:443
- TCP(TLS/1.0) www.google-####.com:443
- TCP(TLS/1.0) hu####.net####.com:443
- TCP(TLS/1.0) c####.baidust####.com.####.com:443
- TCP(TLS/1.0) n####.nt####.net####.com:443
- TCP(TLS/1.0) 1####.250.150.95:443
- TCP(TLS/1.2) 1####.250.150.95:443
- TCP(TLS/1.2) 64.2####.162.102:443
- TCP(TLS/1.2) 64.2####.165.94:443
- TCP as####.woo####.com.####.com:443
Запросы DNS:
- as####.woo####.com
- c####.baidust####.com
- cdn.n####.yo####.com
- d2zb2y1####.cloudf####.net
- dxp.b####.com
- f####.gst####.com
- go####.yo####.com
- h####.b####.com
- hm.b####.com
- hu####.net####.com
- hubble-####.n####.127.net
- i####.woo####.com
- n####.yo####.com
- pos.b####.com
- qiany####.lan####.com
- r####.wx.qq.com
- r####.yo####.com
- rr9---s####.g####.com
- s####.lx.net####.com
- sdk.z####.cn
- sh####.ydst####.com
- shared-####.ydst####.com
- shp.q####.cn
- st####.cn
- www.google-####.com
- www.lan####.com
Запросы HTTP GET:
- d2zb2y1####.cloudf####.net/ad-img/image/20230406/1.gif
- dxp.b####.com:443/autoTracker
- dxp.b####.com:443/circleConfig?sdkVersion=####&appKey=####&packageName=#...
- i####.woo####.com:443/image/ico/2023/07/14/126663089-42.png
- i####.woo####.com:443/image/ico/2023/07/14/126663093-46.png
- i####.woo####.com:443/image/ico/2023/07/14/126663773-56.png
- i####.woo####.com:443/image/ico/2023/07/14/126663775-72.png
- i####.woo####.com:443/image/ico/2023/07/14/126663781-46.png
- qiany####.lan####.com:443/b00pvu7wb
- shp.q####.cn/collector/1635387866/146d3e0c-932c-4abc-8124-93205af69293/0
- shp.q####.cn/collector/1635387866/b75c4269-3bea-4546-a038-bf891969605f/0
- shp.q####.cn/collector/1635387866/d75f64e7-c04f-474a-b773-6a80f71d6371/0
- shp.q####.cn/collector/1635387866/fb31da7d-ab60-469f-bbae-46ae4e2f934e/0
- shp.q####.cn:443/collector/1635387866/db6b56a2-be2b-43ee-90ab-fce6353fcf...
- st####.cn/user/getFile.php?fid=####
Запросы HTTP POST:
- 44b7####.lan####.com.####.cn:443/filemoreajax.php
- h####.b####.com:443/app.gif
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.confd
- /data/data/####/.confd-journal
- /data/data/####/.fsgkea
- /data/data/####/.jg.ac
- /data/data/####/.jg.ri
- /data/data/####/.jg.store.report_cf
- /data/data/####/.jg.store.report_pid
- /data/data/####/.lock
- /data/data/####/.mtj_timestamp
- /data/data/####/0591eb4cf142293bbc89a66b30db89547f5a48393dddcf9....0.tmp
- /data/data/####/0591eb4cf142293bbc89a66b30db89547f5a48393dddcf9...f8dc.0
- /data/data/####/07765e825bdcd8c0_0 (deleted)
- /data/data/####/143b23f94e4f8bd7_0
- /data/data/####/19d701bfc29f4c173ffbd432996909faca9a24ebb6177c5....0.tmp
- /data/data/####/1f9fe4422d902336_0
- /data/data/####/2023db48540684a7_0 (deleted)
- /data/data/####/2940195bd9870d6e_0
- /data/data/####/2940195bd9870d6e_1
- /data/data/####/2bd5c934d1399df0_0
- /data/data/####/2bd5c934d1399df0_1
- /data/data/####/2d2f9cf843707c29_0
- /data/data/####/2d3aff31b32f13a2_0
- /data/data/####/32c42d2b7785408b_0
- /data/data/####/32c42d2b7785408b_1
- /data/data/####/36537eb89ed1223f_0
- /data/data/####/3881c98bdc2dc3e7_0 (deleted)
- /data/data/####/3ba8d4b0a9603420_0
- /data/data/####/3ba8d4b0a9603420_1
- /data/data/####/3c42a9edece1bd32ce9afdc37d96481accc536c7b675a82...5c77.0
- /data/data/####/3ca8660c10a21b38_0 (deleted)
- /data/data/####/4393e8461c959bd1d3ae131a4e443f8e75232d99ba40f3c....0.tmp
- /data/data/####/48ce449cbff1094d_0 (deleted)
- /data/data/####/498b2a96844e36ff_0
- /data/data/####/4a296a19336f7d1a_0 (deleted)
- /data/data/####/4bee5fb14c1b0ee8_0 (deleted)
- /data/data/####/4cf019d45cdb4ae5_0
- /data/data/####/4cf019d45cdb4ae5_1
- /data/data/####/4fce959c38dbd0ce_0 (deleted)
- /data/data/####/4fde3fb5cd6bd1d4_0
- /data/data/####/51972bc252b27886_0
- /data/data/####/56f057b45da13a95cd1ba360f693da36d9520f0c95b169f....0.tmp
- /data/data/####/5b6cae97740a7652_0
- /data/data/####/5fe50fae5c0c9b6d_0
- /data/data/####/68cbe6f2a8f28de8_0
- /data/data/####/69909f0db70dec97_0
- /data/data/####/699d509fcb3bde9a_0
- /data/data/####/699d509fcb3bde9a_1
- /data/data/####/6fc47f4dbfc3e375_0
- /data/data/####/703eeafc171163de_0
- /data/data/####/71852e36773b97eb_0
- /data/data/####/71af1bea5301c65a16113bbaf9fb867fa58532270bb9221....0.tmp
- /data/data/####/71af1bea5301c65a16113bbaf9fb867fa58532270bb9221...leted)
- /data/data/####/732f8932ce3f5932_0
- /data/data/####/79571fd1a556a9c7_0
- /data/data/####/8766a6740093d49f_0
- /data/data/####/8d5ac1bb4cb7857e_0
- /data/data/####/8fa69819c13a1a69_0
- /data/data/####/916ab5ccbde31e96_0
- /data/data/####/916ab5ccbde31e96_1
- /data/data/####/94f34faeeb50879f_0 (deleted)
- /data/data/####/98bb51bb92f8e8124471f0ca9f269f936dd1654bcb72188....0.tmp
- /data/data/####/98bb51bb92f8e8124471f0ca9f269f936dd1654bcb72188...ac30.0
- /data/data/####/9b34e8c2e9573da3_0
- /data/data/####/Cookies-journal
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml.bak
- /data/data/####/__local_ap_info_cache.json
- /data/data/####/__local_last_session.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/__send_data_1689296031459
- /data/data/####/a00217b663da69ed_0
- /data/data/####/a885b2cdf9870eb2_0
- /data/data/####/ad5eb9657bbf685a_0
- /data/data/####/ad7012d07cb8d551_0
- /data/data/####/b3e156504189184d_0
- /data/data/####/b3e156504189184d_1
- /data/data/####/b5536913e4ae7053_0
- /data/data/####/b7204a4fcbcf06f8617a53587998bdb1061671dc981a829....0.tmp
- /data/data/####/baidu_mtj_sdk_record.xml
- /data/data/####/c63da20a3630cc34_0
- /data/data/####/c9adfaac3218bead_0 (deleted)
- /data/data/####/cdd249ee5fb82277e27f7462af9d3148b837c95366e8d12....0.tmp
- /data/data/####/cdd249ee5fb82277e27f7462af9d3148b837c95366e8d12...c52a.0
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.oat
- /data/data/####/com.shixin.qyrjk_preferences.xml
- /data/data/####/d00fdf102629cd1e_0
- /data/data/####/dbddc0d7887bf290_0
- /data/data/####/dd2de02efd0f05bb_0
- /data/data/####/de14c6f54dd1ff9a999b90f113400751eb81b1968283073...d025.0
- /data/data/####/e1e18fdd9910037a_0
- /data/data/####/e1e18fdd9910037a_1
- /data/data/####/e5fe38df35409b53_0
- /data/data/####/e7493f48891db9d8_0
- /data/data/####/eace6ae971e9b711_0
- /data/data/####/eace6ae971e9b711_1
- /data/data/####/eb3591332175a984_0
- /data/data/####/ecf742aa2a7cec3aa5dd0dfc141510ab3f4300bf79e3168....0.tmp
- /data/data/####/ee4d4bb6314b9bfe_0
- /data/data/####/f8c5fbdefd302a34_0 (deleted)
- /data/data/####/ff3481e4130a13abd84784ead36a9a45e9eddc573d67efd....0.tmp
- /data/data/####/https_note.youdao.com_0.localstorage-journal
- /data/data/####/index
- /data/data/####/journal
- /data/data/####/lEdjWMyJCLBL (deleted)
- /data/data/####/libbh.so
- /data/data/####/libcuid.so
- /data/data/####/libjiagu.so
- /data/data/####/mHyqiDWYzSWe (deleted)
- /data/data/####/metrics_guid
- /data/data/####/mtj_autoTracker.js
- /data/data/####/pub.dat
- /data/data/####/the-real-index
- /data/data/####/trace_circle.data
- /data/media/####/.cuid2
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- getprop ro.build.display.id
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.smartisan.version
- getprop ro.vivo.os.version
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
