Android.Spy.6071

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Spy.5542

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) qzs.gd####.com.####.com:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) i####.sms.mob.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) newve####.map.b####.com:80
TCP(HTTP/1.1) o####.map.b####.com:80
TCP(HTTP/1.1) m.d####.mob.com:80
TCP(HTTP/1.1) cl####.map.n.####.com:80
TCP(HTTP/1.1) opencdn####.jom####.com:80
TCP(TLS/1.0) def####.duals####.cn.####.com:443
TCP(TLS/1.0) zsf.hfk####.com:443
TCP(TLS/1.0) 2####.58.211.227:443
TCP(TLS/1.0) rr8---s####.g####.com:443
TCP(TLS/1.0) rr9---s####.g####.com:443
TCP(TLS/1.0) f####.gst####.com:443
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) digital####.google####.com:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) and####.a####.go####.com:443
TCP(TLS/1.0) plb####.u####.com:443
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) a####.u####.com:443
TCP(TLS/1.2) 2####.58.211.227:443
TCP(TLS/1.2) and####.cli####.go####.com:443
TCP(TLS/1.2) 64.2####.164.95:443
TCP(TLS/1.2) 1####.177.14.95:443
TCP(TLS/1.2) 74.1####.131.94:443
UDP digital####.google####.com:443

Запросы DNS:

a####.exc.mob.com
a####.u####.com
and####.a####.go####.com
and####.cli####.go####.com
and####.google####.com
api.map.b####.com
c.isds####.qq.com
cl####.map.b####.com
digital####.google####.com
f####.gst####.com
gmscomp####.google####.com
i####.sms.mob.com
loc.map.b####.com
log.u####.com
m.d####.mob.com
newve####.map.b####.com
o####.map.b####.com
p####.google####.com
pla####.googleu####.com
plb####.u####.com
qzs.gd####.com
rr8---s####.g####.com
rr9---s####.g####.com
s####.e.qq.com
u####.u####.com
vec####.map.b####.com
zsf.hfk####.com

Запросы HTTP GET:

cl####.map.n.####.com/imap/sdk/tj?qt=####&mb=####&os=####&sv=####&net=##...
def####.duals####.cn.####.com:443/bar/get/546425cdfd98c50b9b006881/?pcv=...
m.d####.mob.com/v2/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
newve####.map.b####.com/grid_vc/?qt=####&c=####&v=####&fv=####&mb=####&o...
opencdn####.jom####.com/vecdata/?qt=####&c=####&v=####&serv=####&fv=####...
opencdn####.jom####.com/vecdata/?qt=####&fv=####&p=####&mb=####&os=####&...
opencdn####.jom####.com/vecdata/?qt=####&p=####&mb=####&os=####&sv=####&...
qzs.gd####.com.####.com/union/res/android/plugin/plugin.dex-1063.jar
zsf.hfk####.com:443/api/app/data/?token=####&nonce=####
zsf.hfk####.com:443/api/shop/info/?uid=####&token=####&nonce=####
zsf.hfk####.com:443/api/updateinfo/?pkg=####&client=####&token=####&nonc...
zsf.hfk####.com:443/api/v2/wxmini/masters/?page=####&page_size=####&tech...
zsf.hfk####.com:443/api/wxmini/home/?token=####&nonce=####
zsf.hfk####.com:443/media/images/topservice/banner1.jpg
zsf.hfk####.com:443/media/images/topservice/banner2.jpg
zsf.hfk####.com:443/media/images/topservice/banner3.jpg
zsf.hfk####.com:443/media/images/topservice/banner4.jpg
zsf.hfk####.com:443/media/images/topservice/banner5.jpg
zsf.hfk####.com:443/media/images/user/avatar/2023/06/16/54/2592362607549...
zsf.hfk####.com:443/media/images/user/avatar/2023/08/16/18/2598024674747...
zsf.hfk####.com:443/media/images/user/avatar/2023/08/18/54/2598251544583...
zsf.hfk####.com:443/media/images/user/avatar/2023/08/30/82/2599326732737...
zsf.hfk####.com:443/media/images/user/avatar/2023/09/13/54/2600613991344...
zsf.hfk####.com:443/media/images/user/avatar/2023/10/19/62/2603984350965...
zsf.hfk####.com:443/media/images/user/avatar/2023/12/07/90/2608494627119...
zsf.hfk####.com:443/media/images/user/avatar/2023/12/09/54/2608701334232...
zsf.hfk####.com:443/media/images/user/avatar/2024/01/04/58/2611150347132...
zsf.hfk####.com:443/media/images/user/avatar/2024/03/19/54/2618107634733...
zsf.hfk####.com:443/media/mastertech/icons/上门安装.png
zsf.hfk####.com:443/media/mastertech/icons/家具维修.png
zsf.hfk####.com:443/media/mastertech/icons/家政钟点_smHk213.png
zsf.hfk####.com:443/media/mastertech/icons/家电清理_4sDyqJg.png
zsf.hfk####.com:443/media/mastertech/icons/家电维修.png
zsf.hfk####.com:443/media/mastertech/icons/房屋装修2.png
zsf.hfk####.com:443/media/mastertech/icons/手机电脑_j7WX8iN.png
zsf.hfk####.com:443/media/mastertech/icons/搬家货运.png
zsf.hfk####.com:443/media/mastertech/icons/月嫂保姆_K1Coaqz.png
zsf.hfk####.com:443/media/mastertech/icons/水电维修.png
zsf.hfk####.com:443/media/mastertech/icons/环保除虫_7lADeI5.png
zsf.hfk####.com:443/media/mastertech/icons/管道堵漏_C4ArYHK.png
zsf.hfk####.com:443/media/mastertech/icons/翻新清洗_zsiBYQN.png
zsf.hfk####.com:443/media/mastertech/icons/门窗地板_NYuDMF9.png

Запросы HTTP POST:

a####.exc.mob.com/errconf
a####.u####.com/app_logs
a####.u####.com:443/unify_logs
api.map.b####.com:443/sdkcs/verify
i####.sms.mob.com/sdk/init
loc.map.b####.com/sdk.php
o####.map.b####.com/offline_loc
plb####.u####.com:443/umpx_internal
plb####.u####.com:443/umpx_share
s####.e.qq.com/activate
s####.e.qq.com/msg

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.hptc_kache_m.hf.findmaster
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.mrecord
/data/data/####/.mrecord (deleted)
/data/data/####/.mrlock
/data/data/####/4127.yaqcookie
/data/data/####/Alvin2.xml
/data/data/####/BuglySdkInfos.xml
/data/data/####/ContextData.xml
/data/data/####/CustomIndex
/data/data/####/DVDirectory.cfg
/data/data/####/DVHotMap.cfg
/data/data/####/DVHotcity.cfg
/data/data/####/DVIndoor.cfg
/data/data/####/DVSDirectory.cfg
/data/data/####/DVVersion.cfg
/data/data/####/QALConfigStore.dat
/data/data/####/ResPackIndoorMap.rs
/data/data/####/SMSSDK_2.xml
/data/data/####/SMSSDK_VCODE_1.xml
/data/data/####/TLS_DEVICE_INFO.xml
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/WLOGIN_DEVICE_INFO.xml
/data/data/####/authStatus_com.hf.findmaster.xml
/data/data/####/authStatus_com.hf.findmaster;remote.xml
/data/data/####/baseindoormap.sty
/data/data/####/bus.sty
/data/data/####/cache.xml
/data/data/####/car.sty
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/cycle.sty
/data/data/####/dW1weF9pbnRlcm5hbF8xNzE1NjQ5Njk0Njg3;
/data/data/####/dW1weF9pbnRlcm5hbF8xNzE1NjQ5NjkxMjky;
/data/data/####/dW1weF9zaGFyZV8xNzE1NjQ5Njk4MjEz;
/data/data/####/dW1weF9zaGFyZV8xNzE1NjQ5NzAwMTAx;
/data/data/####/db2.db-journal
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/dexMethod.36117467.dat
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/feedmap.sty
/data/data/####/feedmap.sty_seg
/data/data/####/feedmap.sty_svc
/data/data/####/firll.dat
/data/data/####/footmap.sty
/data/data/####/footmap.sty_seg
/data/data/####/footmap.sty_svc
/data/data/####/footnewmap.sty
/data/data/####/footnewmap.sty_seg
/data/data/####/footnewmap.sty_svc
/data/data/####/gal.db
/data/data/####/gal.db-journal
/data/data/####/gdt_config.cfg
/data/data/####/gdt_plugin.dex
/data/data/####/gdt_plugin.dex.flock (deleted)
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.next.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_suid
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/i==1.2.0&&6.20_1715649691260_envelope.log
/data/data/####/info.xml
/data/data/####/libcuid.so
/data/data/####/libjiagu.so
/data/data/####/libyaqbasic.36117467.so
/data/data/####/libyaqpro.36117467.so
/data/data/####/mac.xml
/data/data/####/map.rs
/data/data/####/map.sty
/data/data/####/map.sty_seg
/data/data/####/map.sty_svc
/data/data/####/map_pref.xml
/data/data/####/mob_commons_1.xml
/data/data/####/mob_sdk_exception_1.xml
/data/data/####/mob_sdk_exception_1.xml.bak
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/proc_auxv
/data/data/####/qalimid_v2
/data/data/####/reduct.rs
/data/data/####/reduct.sty
/data/data/####/report_v5.msgstore-journal (deleted)
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/share.db-journal
/data/data/####/tls_device.dat
/data/data/####/traffic.rs
/data/data/####/traffic.sty
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/update_lc
/data/data/####/ver.dat
/data/data/####/weakmap.sty
/data/data/####/weakmap.sty_seg
/data/data/####/wlogin_device.dat
/data/data/####/yaqsdkcookie
/data/media/####/.cuid2
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.nomedia
/data/media/####/.nulplt
/data/media/####/.pkg_lock
/data/media/####/.rcTag
/data/media/####/.rc_lock
/data/media/####/148beb93febce0f7b703bf208ed1a7df.0
/data/media/####/14e2e322443604f2035398af63eb9050.0
/data/media/####/16167ee765ab718500482547803d8313.0
/data/media/####/1872b9731f84aae2bd2d107f3855c303.0
/data/media/####/19d44b561bb53039b3c92ec6dbf58814.0
/data/media/####/1ba4a4346985cfe9eb7d0883b528c4ba.0
/data/media/####/40967563344db50c8efa6a836c49cc42.0
/data/media/####/4eb603e09de2d7308ef9e39b3400b1d1.0
/data/media/####/55bf20c83235f6a7884eb1737f539407.0
/data/media/####/5651466814a2b3e47075323404c4544a.0
/data/media/####/59bfb268b376de54d407cf67f20e6ae2.0
/data/media/####/59bfb268b376de54d407cf67f20e6ae2.0.tmp
/data/media/####/5a9b50dd5f65629ac4daece931d62bec.0
/data/media/####/60e94b954c0c8164b4939908b8e0fa01.0
/data/media/####/693ad0ad8d15a4c40016a926408c6e29.0
/data/media/####/6d95781d42783bc055c465989703dd4a.0
/data/media/####/6de0d8cccab15376732868d21819a25e.0
/data/media/####/8050ad0145b6bd8b6c496471055dda80.0
/data/media/####/87c3ee6bc95181e4cab92f7316215234.0
/data/media/####/8d8fc5e65e7a20a48746050c29710716.0
/data/media/####/94b7c73fba43a98d9ab7967a2427f698.0
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/DTTempdat.dat
/data/media/####/DTTempdat.idx
/data/media/####/HMTempdat.dat
/data/media/####/HMTempdat.idx
/data/media/####/ITTempdat.dat
/data/media/####/ITTempdat.idx
/data/media/####/a563fbb9377a7e78fbd3ad24083ac117.0
/data/media/####/a9c2367682d0387e83d6bc9a0cd2796f.0
/data/media/####/app.24.05.14.04.log
/data/media/####/b6aa55560674713ab1a46fb9534f1990.0
/data/media/####/b6f1a8c3263b0e9630b6aefd8b937d79.0
/data/media/####/conlts.dat
/data/media/####/create_test.temp
/data/media/####/e1ff2042735aa6773914d375a81cdc39.0
/data/media/####/e467fda82248c5ea6cc4ff6437d603db.0
/data/media/####/e6f4a1e9adb90245ba4f9222b85c469b.0
/data/media/####/f5ae199c2ddad530b04218fc120f1c88.0
/data/media/####/imsdk_20240514.log
/data/media/####/journal
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/sdk.24.05.14.04.log
/data/media/####/sysid.dat
/data/media/####/test.0 (deleted)
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
cat /sys/class/net/wlan0/address
ls /
ls /sys/class/thermal
sh

Загружает динамические библиотеки:

libBaiduMapSDK_base_v4_3_2
libBaiduMapSDK_map_v4_3_2
libX86Bridge
lib_imcore_group_ext_gyp
lib_imcore_jni_gyp
lib_imcore_msg_ext_gyp
lib_imcore_sns_ext_gyp
libgnustl_shared
libjiagu
liblocSDK7a
libqalcodecwrapper
libqalmsfboot
libyaqbasic.36117467
libyaqpro.36117467

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
DES-CBC-PKCS5Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-NoPadding
AES-ECB-PKCS7Padding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней