Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.337.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) www.w####.cn:80
- TCP(HTTP/1.1) r####.cc:88
- TCP(TLS/1.0) rr14---####.g####.com:443
- TCP(TLS/1.0) rr2---s####.g####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) bea####.gcp.g####.com:443
- TCP(TLS/1.0) i####.doub####.com.####.cn:443
- TCP(TLS/1.0) 74.1####.131.94:443
- TCP(TLS/1.0) i####.wwe####.com:446
- TCP(TLS/1.0) android####.go####.com:443
- TCP(TLS/1.0) www.a.sh####.com:443
- TCP(TLS/1.0) cdn0504####.git####.org.cn:443
- TCP(TLS/1.0) gmscomp####.google####.com:443
- TCP(TLS/1.0) 2####.239.32.223:443
- TCP(TLS/1.2) 1####.177.14.147:443
- TCP(TLS/1.2) 74.1####.131.94:443
- TCP(TLS/1.2) gmscomp####.google####.com:443
- TCP(TLS/1.2) 2####.239.32.223:443
- TCP d.ks####.space:443
- UDP 2####.239.32.223:443
- TCP for####.do####.com:443
- UDP rr14---####.g####.com:443
- TCP lz.l####.cc:443
- TCP img1-do####.b0.a####.com:443
- TCP i####.doub####.com.####.com:443
- UDP www.gst####.com:443
- UDP 64.2####.165.101:443
- UDP bea####.gcp.g####.com:443
- TCP i####.doub####.com:443
- TCP tz.z####.cn:10016
Запросы DNS:
- android####.go####.com
- bea####.gcp.g####.com
- cdn0504####.git####.org.cn
- d.ks####.space
- gmscomp####.google####.com
- i####.doub####.com
- i####.doub####.com
- i####.doub####.com
- i####.doub####.com
- i####.wwe####.com
- lz.l####.cc
- m####.do####.com
- r####.cc
- rr14---####.g####.com
- rr2---s####.g####.com
- tz.z####.cn
- www.b####.com
- www.gst####.com
- www.w####.cn
Запросы HTTP GET:
- cdn0504####.git####.org.cn:443/wykj/ys/raw/branch/master/yc.json
- i####.wwe####.com:446/06282300188116251bb/2024/06/28/b68f67182879ba82d89...
- r####.cc:88/hccx/Api.js
- r####.cc:88/hccx/Doubanrebo.js
- r####.cc:88/hccx/cheerio.min.js
- r####.cc:88/hccx/crypto-js.js
- r####.cc:88/hccx/gbk.js
- r####.cc:88/hccx/模板.js
- www.a.sh####.com:443/
- www.w####.cn/tv/yd.php
- www.w####.cn/tz/wyz.php
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.fsgkea
- /data/data/####/.jg.ac
- /data/data/####/.jg.ri
- /data/data/####/.jg.store.report_cf
- /data/data/####/.jg.store.report_pid
- /data/data/####/26cacbd8882eb0882daaae00ed9bedb9
- /data/data/####/Hawk2.xml
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.dex;classes4.dex
- /data/data/####/classes.oat
- /data/data/####/com.github.tvbox.wysp_preferences.xml
- /data/data/####/crypto.KEY_256.xml
- /data/data/####/csp.dex
- /data/data/####/csp.dex.flock (deleted)
- /data/data/####/csp.jar
- /data/data/####/jgobfppppp (deleted)
- /data/data/####/libjiagu.so
- /data/data/####/load_time.xml
- /data/data/####/metrics_guid
- /data/data/####/proc_auxv
- /data/data/####/tvbox.v3.db-journal
- /data/misc/####/primary.prof
Другие:
Загружает динамические библиотеки:
- libconceal
- libijkffmpeg
- libijksdl
- libjiagu
- libplayer
- libquickjs
Использует следующие алгоритмы для шифрования данных:
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
