Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.207.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) 2####.239.32.223:443
- TCP(TLS/1.0) 1####.250.74.10:443
- TCP(TLS/1.0) rr9---s####.g####.com:443
- TCP(TLS/1.0) b873752####.qcloud####.com:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) def####.duals####.cn.####.com:443
- TCP(TLS/1.0) al####.u####.com:443
- TCP(TLS/1.0) co####.j####.cn:443
- TCP(TLS/1.0) 2####.239.38.223:443
- TCP(TLS/1.0) 2####.239.34.223:443
- TCP(TLS/1.0) gmscomp####.google####.com:443
- TCP(TLS/1.2) 1####.250.74.10:443
- TCP(TLS/1.2) 1####.250.74.36:443
- TCP(TLS/1.2) 1####.250.74.78:443
- TCP(TLS/1.2) gmscomp####.google####.com:443
- TCP(TLS/1.2) 1####.217.21.174:443
- TCP e82cd3b####.qcloud####.com:443
- TCP littles####.f####.myqc####.####.com:443
Запросы DNS:
- a####.u####.com
- and####.google####.com
- ap####.xiaoyin####.com
- co####.j####.cn
- cos.ap-shan####.myqc####.com
- epdata-####.smg####.net
- f####.gst####.com
- gmscomp####.google####.com
- littles####.f####.myqc####.com
- log.u####.com
- rr9---s####.g####.com
- u####.u####.com
Запросы HTTP GET:
- def####.duals####.cn.####.com:443/bar/get/6254dd560059ce2bad310797/andro...
Запросы HTTP POST:
- al####.u####.com:443/umpx_share
- al####.u####.com:443/unify_logs
- al####.u####.com:443/zcfg
- b873752####.qcloud####.com:443/sa?project=####
- co####.j####.cn:443/v1/status
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.fsgkea
- /data/data/####/.imprint
- /data/data/####/.jg.ac
- /data/data/####/.jg.ri
- /data/data/####/.jg.store.report_cf
- /data/data/####/.jg.store.report_pid
- /data/data/####/0176d3f049a0ece3d2c0daed57f9f94d8b49607cb6d0a4f....0.tmp
- /data/data/####/0176d3f049a0ece3d2c0daed57f9f94d8b49607cb6d0a4f...5f1d.0
- /data/data/####/344d69d6462da663786ecb29060652e8063fff42145197f....0.tmp
- /data/data/####/3ed06ca12cd1bdbc11bab98b4560e111f8e56301a9a4f55....0.tmp
- /data/data/####/3ed06ca12cd1bdbc11bab98b4560e111f8e56301a9a4f55...4a95.0
- /data/data/####/73dddb6b4483b1c6ad9a050624255b3ea429ce65f6c3e55....0.tmp
- /data/data/####/73dddb6b4483b1c6ad9a050624255b3ea429ce65f6c3e55...41f8.0
- /data/data/####/89d27b0481aaa15a1cba5533f26804a13dda3852887a787....0.tmp
- /data/data/####/89d27b0481aaa15a1cba5533f26804a13dda3852887a787...1555.0
- /data/data/####/9131734855f0cccabb118a02c9244f3a69c16edd2ea9e30...bd76.0
- /data/data/####/9cc9a6d21d0f2f747c8cc6302d2e19714979beeec27db0d...23bf.0
- /data/data/####/Push_Page_Config.xml
- /data/data/####/UM_PROBE_DATA.xml
- /data/data/####/b3e4fdc441a98b786bacbfed33a4a691a0840523f8f6cdc...c52a.0
- /data/data/####/b470dbb6875a58e0c296b7e6c7717c6285227f8ddb9ce72....0.tmp
- /data/data/####/b470dbb6875a58e0c296b7e6c7717c6285227f8ddb9ce72...5499.0
- /data/data/####/ce66589b39f0ae8f0f08459a5a806369f18bf44741b2734....0.tmp
- /data/data/####/ce66589b39f0ae8f0f08459a5a806369f18bf44741b2734...cdf8.0
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes10.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.dex;classes4.dex
- /data/data/####/classes.dex;classes5.dex
- /data/data/####/classes.dex;classes6.dex
- /data/data/####/classes.dex;classes7.dex
- /data/data/####/classes.dex;classes8.dex
- /data/data/####/classes.dex;classes9.dex
- /data/data/####/classes.oat
- /data/data/####/cn.jiguang.prefs.xml
- /data/data/####/cn.jpush.preferences.v2.xml
- /data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDa...ml.bak
- /data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
- /data/data/####/com.sensorsdata.analytics.android.sdk.other.xml
- /data/data/####/com.smgtech.littlestar.xml
- /data/data/####/delayed_transmission_flag_new.xml
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f361c9c9b841e3023ef1c5efd2f79b740c789bec8459a27....0.tmp
- /data/data/####/f361c9c9b841e3023ef1c5efd2f79b740c789bec8459a27...ec10.0
- /data/data/####/i==1.2.0&&1.5.5_1753014351980_dW5pZnlfbG9ncw==;.log
- /data/data/####/jgobfppppp (deleted)
- /data/data/####/journal
- /data/data/####/libjiagu.so
- /data/data/####/netmt.catch
- /data/data/####/proc_auxv
- /data/data/####/profileinstaller_profileWrittenFor_lastUpdateTime.dat
- /data/data/####/push_stat_cache.json
- /data/data/####/push_stat_cache.json (deleted)
- /data/data/####/s==7.1.7&&1.5.5_1753014351917_dW1weF9zaGFyZQ==;.log
- /data/data/####/sensorsdata-journal
- /data/data/####/sensorsdata.exit.xml
- /data/data/####/sensorsdata.xml
- /data/data/####/share.db-journal
- /data/data/####/t==9.4.7&&1.5.5_1753014352015_dW5pZnlfbG9ncw==;.log
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_policy_grant.xml
- /data/data/####/um_session_id.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_policy_result_flag
- /data/data/####/umeng_socialize.xml
- /data/data/####/umeng_sp_oaid.xml
- /data/data/####/umeng_zcfg_flag
- /data/data/####/umeng_zero_cache.db
- /data/data/####/umeng_zero_cache.db-journal
- /data/data/####/umzid_general_config.xml
- /data/data/####/z==1.2.0&&1.5.5_1753014350196_emNmZw==;.log
- /data/media/####/.nomedia
- /data/misc/####/primary.prof
- /data/user_de/####/move_to_de_records.xml
Другие:
Запускает следующие shell-скрипты:
- ls /
- ls /sys/class/thermal
Загружает динамические библиотеки:
- libMyJni
- libijkffmpeg
- libijkplayer
- libijksdl
- libjiagu
- libpl_droidsonroids_gif
- libumeng-spy
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- RSA-None-PKCS1Padding
- SM4-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Отрисовывает собственные окна поверх других приложений.
Изменяет данные буфера обмена.
