Android.RemoteCode.8224

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin
Android.RemoteCode.230.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
UDP(DNS) <Google DNS>
TCP(HTTP/1.1) qzs.gd####.com.####.com:80
TCP(HTTP/1.1) m.d####.mob.com:80
TCP(HTTP/1.1) 64.2####.162.94:80
TCP(HTTP/1.1) mo####.b####.com:80
TCP(HTTP/1.1) api.s####.mob.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) ss.s####.com.####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(TLS/1.0) bj####.j####.cn:443
TCP(TLS/1.0) 2####.85.233.95:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) 64.2####.162.94:443
TCP(TLS/1.0) res####.a####.com:443
TCP(TLS/1.0) rr2---s####.g####.com:443
TCP(TLS/1.0) is.sn####.com.####.com:443
TCP(TLS/1.0) rr9---s####.g####.com:443
TCP(TLS/1.0) ap####.uc.cn:443
TCP(TLS/1.0) gs.a.s####.com:443
TCP(TLS/1.0) ss.s####.com.####.com:443
TCP(TLS/1.0) gd.a.s####.com:443
TCP(TLS/1.0) mobads-####.b####.com:443
TCP(TLS/1.2) 74.1####.205.100:443
TCP(TLS/1.2) 64.2####.162.147:443
TCP(TLS/1.2) p####.google####.com:443
TCP(TLS/1.2) 64.2####.162.94:443
UDP rr2---s####.g####.com:443
TCP 1####.36.21.47:7002
UDP sis.j####.io:19000
TCP 1####.233.114.141:21002
UDP p####.google####.com:443

Запросы DNS:

a####.exc.mob.com
and####.b####.qq.com
ap####.uc.cn
api.pass####.s####.com
api.s####.mob.com
bj####.j####.cn
easytom####.com
i.sn####.com
is.sn####.com
it####.aty.s####.com
m.ads.s####.com
m.d####.mob.com
mo####.b####.com
mobads-####.b####.com
p####.google####.com
qzs.gd####.com
r.ads.s####.com
res####.a####.com
rr2---s####.g####.com
rr9---s####.g####.com
s####.e.qq.com
s.ads.s####.com
s.j####.cn
sdk.ads.s####.com
sis.j####.io
ss.s####.com
t.ads.s####.com
ur####.ads.s####.com
x1.go.s####.com

Запросы HTTP GET:

gd.a.s####.com:443/apploading?osv=####&appv=####&androidid=####&timetag=...
gd.a.s####.com:443/as?did=####&itemspaceid=####&appchn=####&turn=####&lo...
gd.a.s####.com:443/count/av?impid=####&appid=####&itemspaceid=####&viewm...
gd.a.s####.com:443/count/unav?os=####&manufacturer=####&sdkv=####&appv=#...
gd.a.s####.com:443/count/unv?os=####&manufacturer=####&sdkv=####&appv=##...
gd.a.s####.com:443/count/v?impid=####&appid=####&itemspaceid=####&viewmo...
gd.a.s####.com:443/ppc?os=####&manufacturer=####&sdkv=####&appv=####&ime...
gs.a.s####.com:443/sdkconfig.xml
m.d####.mob.com/v3/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
mo####.b####.com/ads/pa/8/__pasys_remote_banner.php?v=####&bdr=####&tp=#...
mo####.b####.com/ads/pa/8/__xadsdk__remote__8.8108.jar
mo####.b####.com/cpro/ui/mads.php?code2=####&b1703600310130=####
mo####.b####.com/cpro/ui/mads.php?code2=####&b1703600310211=####
mo####.b####.com/cpro/ui/mads.php?code2=####&b1703600312270=####
mo####.b####.com/cpro/ui/mads.php?code2=####&b1703600312897=####
mo####.b####.com/cpro/ui/mads.php?code2=####&b1703600313642=####
mo####.b####.com/cpro/ui/mads.php?code2=####&b1703600313678=####
mo####.b####.com/cpro/ui/mads.php?code2=####&b1703600314653=####
mo####.b####.com/cpro/ui/mads.php?code2=####&b1703600316226=####
mo####.b####.com/cpro/ui/mads.php?code2=####&b1703600317186=####
mo####.b####.com/cpro/ui/mads.php?code2=####&b1703600317387=####
qzs.gd####.com.####.com/union/res/android/plugin/plugin.dex-1063.jar

Запросы HTTP POST:

a####.exc.mob.com/errconf
and####.b####.qq.com/rqd/async?aid=####
ap####.uc.cn:443/collect?chk=####&vno=####&uuid=####&app=####&enc=####
api.s####.mob.com/conf5
api.s####.mob.com/conn
api.s####.mob.com/log4
api.s####.mob.com/snsconf
gd.a.s####.com:443/
gd.a.s####.com:443/s/u1
gd.a.s####.com:443/sapi/g
gd.a.s####.com:443/sapi/login/getinfo
is.sn####.com.####.com:443/api/ad/union/sdk/get_ads/
is.sn####.com.####.com:443/api/ad/union/sdk/settings/
is.sn####.com.####.com:443/api/ad/union/sdk/stats/
is.sn####.com.####.com:443/api/ad/union/sdk/upload/app_info/
mobads-####.b####.com:443/brwhis.log
res####.a####.com:443/v3/iasdkauth?key=####&ts=####&scode=####
s####.e.qq.com/activate
ss.s####.com.####.com/ad/get
ss.s####.com.####.com/config/getConfigByVer
ss.s####.com.####.com/config/getUserConfig
ss.s####.com.####.com/config/hotwords/get
ss.s####.com.####.com/config/showActivitiesInfo
ss.s####.com.####.com/engine/recommend
ss.s####.com.####.com/log/report
ss.s####.com.####.com/point/getRewardRules
ss.s####.com.####.com/point/getWithdrawRulesNew
ss.s####.com.####.com/receive/reyun
ss.s####.com.####.com/tab/getTabs
ss.s####.com.####.com/user/task/rewardNotice
ss.s####.com.####.com:443/gundam/switch
ss.s####.com.####.com:443/point/getActivityRedPacket
ss.s####.com.####.com:443/point/getTimeLimitedTask
ss.s####.com.####.com:443/point/readTiming/getFeedRedPack
ss.s####.com.####.com:443/report/reportCidDid

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1443793684488743670
/data/data/####/.jg.ic
/data/data/####/.jgck
/data/data/####/.lock
/data/data/####/.mrecord
/data/data/####/.mrecord (deleted)
/data/data/####/.mrlock
/data/data/####/.quicknews_turn
/data/data/####/.statistics
/data/data/####/1002
/data/data/####/1004
/data/data/####/14ed010f319813fcf042e732c9a235ae70ca7fb6673879c....0.tmp
/data/data/####/1578934594-1407633401
/data/data/####/1d2b904cbeadfb72ed9546111a231c85.0
/data/data/####/5145256467077.0
/data/data/####/7715c5b7-5845-4605-aae3-a589bf82b128
/data/data/####/7e147d76-bc82-42b0-97f4-542b6d739869
/data/data/####/93fe1001-faad-42ba-bf33-13295202e607
/data/data/####/959e5f72-2749-4d96-b928-fabab7ee9f02
/data/data/####/IpInfos.xml
/data/data/####/Push_Page_Config.xml
/data/data/####/SWENOFNI0UHOS0MOC.anrtmp
/data/data/####/SWENOFNI0UHOS0MOC.bati
/data/data/####/SWENOFNI0UHOS0MOC.end
/data/data/####/SWENOFNI0UHOS0MOC.hdr
/data/data/####/SWENOFNI0UHOS0MOC.meminfo
/data/data/####/SWENOFNI0UHOS0MOC.pid
/data/data/####/SWENOFNI0UHOS0MOC.ps
/data/data/####/SWENOFNI0UHOS0MOC.st
/data/data/####/SWENOFNI0UHOS0MOC.start
/data/data/####/SWENOFNI0UHOS0MOC.status
/data/data/####/SWENOFNI0UHOS0MOC.time
/data/data/####/SWITCH.xml
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/__x_adsdk_agent_header__.xml
/data/data/####/__xadsdk__remote__final__1f263775-a43f-4dbc-b44...29.jar
/data/data/####/__xadsdk__remote__final__3f6aa790-8187-41ec-a73...00.jar
/data/data/####/__xadsdk__remote__final__842a3a8b-8880-4b3d-8ff...39.jar
/data/data/####/__xadsdk__remote__final__87201ea9-6621-44ba-a34...26.jar
/data/data/####/__xadsdk__remote__final__afc547ee-7be5-4600-87c...33.jar
/data/data/####/__xadsdk__remote__final__d0ac4d8c-85fb-4e21-8d4...55.jar
/data/data/####/__xadsdk__remote__final__dfd93cbd-3cfc-4b27-86f...44.jar
/data/data/####/__xadsdk__remote__final__downloaded__.jar
/data/data/####/__xadsdk__remote__final__downloaded__.jar (deleted)
/data/data/####/__xadsdk__remote__final__eff23578-4763-4304-b54...12.jar
/data/data/####/__xadsdk__remote__final__running__.dex (deleted)
/data/data/####/__xadsdk__remote__final__running__.dex.flock (deleted)
/data/data/####/__xadsdk__remote__final__running__.jar
/data/data/####/__xadsdk_downloaded__version__.xml
/data/data/####/ads.db
/data/data/####/ads.db-journal
/data/data/####/article-db-journal
/data/data/####/bal.catch
/data/data/####/bugly_db_-journal
/data/data/####/bwc.catch
/data/data/####/c0586a10777146560765a69231d89beb.xml
/data/data/####/cdt.wa (deleted)
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/classes.oat
/data/data/####/cn.jiguang.common.xml
/data/data/####/cn.jiguang.common.xml.bak
/data/data/####/cn.jiguang.sdk.address.xml
/data/data/####/cn.jiguang.sdk.share.profile.xml
/data/data/####/cn.jiguang.sdk.user.profile.xml
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.config.xml
/data/data/####/cn.jpush.preferences.v2.rid.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/com.admaster.sdk.other.xml
/data/data/####/com.baidu.mobads.loader.xml
/data/data/####/com.sohu.infonews.BETA_VALUES.xml
/data/data/####/com.sohu.infonews_preferences.xml
/data/data/####/com.util.sputil.xml
/data/data/####/com.util.sputil.xml.bak
/data/data/####/common-db-journal
/data/data/####/cr.wa (deleted)
/data/data/####/crashrecord.xml
/data/data/####/db1d9cef-d757-4ef2-bd8d-7eae1e10b8ff
/data/data/####/downloader.db-journal
/data/data/####/dt.wa (deleted)
/data/data/####/f4f45ce462e1561d488b8e700bb7e669.xml
/data/data/####/f4f45ce462e1561d488b8e700bb7e669.xml.bak (deleted)
/data/data/####/fa432a77-ac48-48b2-af65-4ebb4f24edc0
/data/data/####/gdt_plugin.dex
/data/data/####/gdt_plugin.dex.flock (deleted)
/data/data/####/gdt_plugin.next.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_plugin.tmp.sig
/data/data/####/hianalytics_global_v2_com.sohu.infonews.xml
/data/data/####/hmdb
/data/data/####/hmdb-journal
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/k.store
/data/data/####/libjiagu.so
/data/data/####/local_crash_lock
/data/data/####/logdb.db
/data/data/####/logdb.db-journal
/data/data/####/m_config.json
/data/data/####/metrics_guid
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/mzSdkProfilePrefs.xml
/data/data/####/mzmonitor
/data/data/####/mzmonitor-journal
/data/data/####/native_record_lock
/data/data/####/pref.xml
/data/data/####/preload_news_ad.db
/data/data/####/preload_news_ad.db-journal
/data/data/####/proc_auxv
/data/data/####/rl.catch
/data/data/####/sc_preload_resource.xml
/data/data/####/sc_tracking.db
/data/data/####/sc_tracking.db-journal
/data/data/####/scadsdk_collection.xml
/data/data/####/security_info
/data/data/####/share_sdk_1
/data/data/####/sharesdk.db-journal
/data/data/####/trackingplugin.db
/data/data/####/trackingplugin.db-journal
/data/data/####/tt_sdk_settings.xml
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopensdk.db-journal
/data/data/####/tv_swt_d.xml
/data/data/####/unique
/data/data/####/update_lc
/data/data/####/ver
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.globalLock
/data/media/####/.mps
/data/media/####/.pkg_lock
/data/media/####/.push_deviceid
/data/media/####/.rc_lock
/data/media/####/1703600335527.db (deleted)
/data/media/####/INSTALLATION
/data/media/####/alsn20170807.db
/data/media/####/alsn20170807.db-journal
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
/system/bin/sh -c getprop
cat /sys/class/net//address
cat /sys/class/net/wlan0/address
getprop
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.letv.release.version
getprop ro.miui.ui.version.name
getprop ro.smartisan.version
getprop ro.vivo.os.build.display.id
getprop ro.vivo.os.version
getprop wifi.interface
ls -l /system/bin/su
ps
sh
sh -c type su

Загружает динамические библиотеки:

libBugly
libGNaviMapex
libcrashsdk
libjiagu
libsc_security

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-NoPadding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
AES-GCM-NoPadding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Получает информацию о привязанных к устройству аккаунтах.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней