Android.DownLoader.6025

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.DownLoader.1153.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
UDP(DNS) <Google DNS>
TCP(HTTP/1.1) da.mma####.com:80
TCP(HTTP/1.1) 1####.29.29.29:80
TCP(HTTP/1.1) a####.u####.com.####.com:80
TCP(HTTP/1.1) wap.cm####.com:80
TCP(HTTP/1.1) c.appj####.com:80
TCP(HTTP/1.1) oc.u####.com:80
TCP(HTTP/1.1) h####.opensp####.cn:80
TCP(HTTP/1.1) img.51cha####.xyz:80
TCP(TLS/1.0) wap.cm####.com:443
TCP(TLS/1.0) hm.b####.com:443
TCP(TLS/1.0) connect####.gst####.com:443
TCP(TLS/1.2) 1####.251.30.113:443
TCP(TLS/1.2) 1####.251.156.119:443
TCP(TLS/1.2) 1####.217.118.4:443

Запросы DNS:

a####.u####.com.####.com
api.51cha####.xyz
c.appj####.com
connect####.gst####.com
da.mma####.com
h####.opensp####.cn
hm.b####.com
img.51cha####.xyz
oc.u####.com
wap.cm####.com

Запросы HTTP GET:

1####.29.29.29/d?ttl=####&dn=####&id=####
h####.opensp####.cn/launchconfig?t=####&p=bGVjd####
img.51cha####.xyz/api.aspx?Sid=####&St=####&BookId=####&SiteId=####&pi=#...
img.51cha####.xyz/api.aspx?Sid=####&St=####&device=####&x=####&guid=####...
img.51cha####.xyz/api.aspx?Sid=####&St=####&sexy=####&ActionID=####&ver=...
img.51cha####.xyz/output/i4Handler.ashx?action=####&appid=####&userid=##...
img.51cha####.xyz/worldcup/Discover/css/app.b9f27b5cc0cd7d2ae31bf005960f...
img.51cha####.xyz/worldcup/Discover/css/mask_content.css
img.51cha####.xyz/worldcup/Discover/css/swiper.css?v=####
img.51cha####.xyz/worldcup/Discover/index.html?Sid=####&St=####&ver=####...
img.51cha####.xyz/worldcup/Discover/js/Jquery.Query.js
img.51cha####.xyz/worldcup/Discover/js/adaptation.js
img.51cha####.xyz/worldcup/Discover/js/cdn_count_cd.js
img.51cha####.xyz/worldcup/Discover/js/common.js
img.51cha####.xyz/worldcup/Discover/js/jquery-1.7.2.min.js
img.51cha####.xyz/worldcup/Discover/js/jquery.cookie.js
img.51cha####.xyz/worldcup/Discover/js/jquery.lazyload.min.js
img.51cha####.xyz/worldcup/Discover/js/js.js?v=####
img.51cha####.xyz/worldcup/Discover/js/mask_content.js?v=####
img.51cha####.xyz/worldcup/Discover/js/swiper.min.js
img.51cha####.xyz/worldcup/Discover/js/template.js
wap.cm####.com:443/sso/token4sdk?client_id=####&redirect_uri=####&grant_...

Запросы HTTP POST:

a####.u####.com.####.com/app_logs
c.appj####.com/ad/splash/stats.html
da.mma####.com/mmsdk/mmsdk?func=####&appkey=####&channel=####&code=####
img.51cha####.xyz/api.aspx?Sid=####&St=####&actionid=####&ver=####&mt=##...
img.51cha####.xyz/worldcup/Discover/act.ashx
img.51cha####.xyz/worldcup/GameCenter/act.ashx
oc.u####.com/v2/check_config_update
oc.u####.com/v2/get_update_time
wap.cm####.com/sso/token4sdk?client_id=####&redirect_uri=####&grant_type...

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/01aa05274acce2a9_0
/data/data/####/01aa05274acce2a9_1
/data/data/####/0f713e502e7dd221_0
/data/data/####/0f713e502e7dd221_1
/data/data/####/15aa9854edc64217_0
/data/data/####/235b5039752184a8_0
/data/data/####/235b5039752184a8_1
/data/data/####/4bd0905ff16d3b6c_0
/data/data/####/4bd0905ff16d3b6c_1
/data/data/####/5531e9164aaf7a9f_0
/data/data/####/5531e9164aaf7a9f_1
/data/data/####/607a11516251180c_0
/data/data/####/607a11516251180c_1
/data/data/####/623e57462c73940a_0
/data/data/####/623e57462c73940a_1
/data/data/####/70571b1cf5faa661_0
/data/data/####/7656c707c63a199e_0
/data/data/####/920f9638b27707cf_0
/data/data/####/Alvin2.xml
/data/data/####/AppStore.xml
/data/data/####/CIRCLE.xml
/data/data/####/ContextData.xml
/data/data/####/Cookies-journal
/data/data/####/E-ZINE-journal
/data/data/####/HttpDNSConstantsJson.xml
/data/data/####/NdlDB
/data/data/####/NdlDB-journal
/data/data/####/USERDATA.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/a795af42c7d3a3bb_0
/data/data/####/ad_show_time.xml
/data/data/####/back_page_color.xml
/data/data/####/book_shelf_item.db
/data/data/####/book_shelf_item.db-journal
/data/data/####/cacheb.json
/data/data/####/classes.dex
/data/data/####/classes.oat
/data/data/####/classes2.dex
/data/data/####/cmread_sdk_info.xml
/data/data/####/com.hbs.free.novel.allcollect_preferences.xml
/data/data/####/com.iflytek.id.xml
/data/data/####/d81b4098db5133b9_0
/data/data/####/daebe312db42060a_0
/data/data/####/daebe312db42060a_1
/data/data/####/dns_ip_info.db
/data/data/####/dns_ip_info.db-journal
/data/data/####/e970e7f8757e43dc_0
/data/data/####/e970e7f8757e43dc_1
/data/data/####/ed62dcd1d308a621_0
/data/data/####/ed62dcd1d308a621_1
/data/data/####/evnlxd0
/data/data/####/evnlxd1
/data/data/####/f6df72a05b8c5a9d_0
/data/data/####/f6df72a05b8c5a9d_0 (deleted)
/data/data/####/f6df72a05b8c5a9d_1
/data/data/####/font.xml
/data/data/####/has_create_default_books.xml
/data/data/####/http_img.51changdu.xyz_0.localstorage-journal
/data/data/####/ifly_launch_lib.xml
/data/data/####/ifly_launch_lib.xml.bak
/data/data/####/iflytek_state_com.hbs.free.novel.allcollect.xml
/data/data/####/index
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/libjiagu.so
/data/data/####/lxdMoblieAgent_event_com.hbs.free.novel.allcollect.xml
/data/data/####/lxdMoblieAgent_sys_config.xml
/data/data/####/lxdMoblieAgent_upload_com.hbs.free.novel.allcollect.xml
/data/data/####/message_meta_0.db-journal
/data/data/####/metrics_guid
/data/data/####/mobclick_agent_cached_com.hbs.free.novel.allcol...170831
/data/data/####/mobclick_agent_online_setting_com.hbs.free.nove...ct.xml
/data/data/####/myChapterDB-journal
/data/data/####/myCoolUserDB-journal
/data/data/####/myHistroyDB-journal
/data/data/####/new_online_book_statu.xml
/data/data/####/pandareader_init.xml
/data/data/####/proc_auxv
/data/data/####/setting.xml
/data/data/####/the-real-index
/data/data/####/umeng_feedback_conversations.xml
/data/data/####/umeng_feedback_user_info.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/userSessionInfoDB-journal
/data/data/####/vbz.xml
/data/media/####/057c71c4d37c1df351db534e6a502322修罗武神.xml
/data/media/####/1310b4e01a8222ae515dc62aa14e1940庶女惊华：一品毒医.xml
/data/media/####/1f83f44485437d67b6a457fbd066bcd2.jpg
/data/media/####/204ed56671deb2a27208e227e7f3aeec.jpg
/data/media/####/722ccd387cb1e0dad12524a07de463ff.jpg
/data/media/####/Alvin2.xml
/data/media/####/BookInfo.xml
/data/media/####/ContextData.xml
/data/media/####/_-12899065057580.bpt
/data/media/####/_-18726938809805.bpt
/data/media/####/_7277296448456.bpt
/data/media/####/__zone.cfg
/data/media/####/default.jpg
/data/media/####/editname.xml
/data/media/####/f2d827b4a60a5c5410e829c26f836a91特种兵在都市.xml
/data/media/####/httpdns.log
/data/media/####/iflyworkdir_test (deleted)
/data/media/####/journal
/data/media/####/tag
/data/media/####/userSessionInfoDB.db
/data/media/####/修罗武神.ndl
/data/media/####/庶女惊华：一品毒医.ndl
/data/media/####/特种兵在都市.ndl
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

chmod 755 /data/user/0/<Package>/.jiagu/libjiagu.so

Загружает динамические библиотеки:

libjiagu
libmsc
libuninstalledobserver
libunzip

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
DES-ECB-PKCS5Padding
RSA
RSA-ECB-NoPadding

Использует следующие алгоритмы для расшифровки данных:

DES-ECB-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию о настроках APN.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Использует упаковщик.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней