Android.RemoteCode.4847

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.RemoteCode.188.origin
Android.RemoteCode.867

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) www.md####.cn:80
TCP(HTTP/1.1) d.s####.com:80
TCP(HTTP/1.1) i.s####.com.####.net:80

Запросы DNS:

a####.direct####.com
api####.me####.com
cdn.zs####.cn
d.s####.com
i.s####.com
www.md####.cn

Запросы HTTP GET:

d.s####.com/adsv/v1?posall=####&id=####&sdktype=####&sdkver=####&appname...
i.s####.com.####.net/sdk/js/prefs.js

Запросы HTTP POST:

www.md####.cn/pservers/loadip

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.DS_Store
/data/data/####/._.DS_Store
/data/data/####/._edpr11.txt
/data/data/####/._edpr12.txt
/data/data/####/._eyebase.dll
/data/data/####/._eyelight.dll
/data/data/####/._hair.dll
/data/data/####/._hairz.dll
/data/data/####/._hige.dll
/data/data/####/._lower_teeth.dll
/data/data/####/._price.txt
/data/data/####/._trsmap.dll
/data/data/####/._upper_teeth.dll
/data/data/####/.jg.ic
/data/data/####/8C3.zip
/data/data/####/MotionPortrait.VampireBooth.0_eyebase00000.plist.xml
/data/data/####/MotionPortrait.VampireBooth.1_teeth00000.plist.xml
/data/data/####/MotionPortrait.VampireBooth.2_skin00000.plist.xml
/data/data/####/MotionPortrait.VampireBooth.5_mask00000.plist.xml
/data/data/####/MotionPortrait.VampireBooth.5_mask00001.plist.xml
/data/data/####/MotionPortrait.VampireBooth.6_sp00000.plist.xml
/data/data/####/MotionPortrait.VampireBooth.6_sp00001.plist.xml
/data/data/####/MotionPortrait.VampireBooth.6_sp00002.plist.xml
/data/data/####/MotionPortrait.VampireBooth.6_ssp00000.plist.xml
/data/data/####/MotionPortrait.VampireBooth.6_ssp00001.plist.xml
/data/data/####/MotionPortrait.VampireBooth.6_ssp00002.plist.xml
/data/data/####/MotionPortrait.VampireBooth.BilledItemsState.plist.xml
/data/data/####/MotionPortrait.VampireBooth.ItemVersion.plist.xml
/data/data/####/MotionPortrait.VampireBooth.Zlist.table.xml
/data/data/####/MotionPortrait.VampireBooth.present.app01.plist.xml
/data/data/####/MotionPortrait.VampireBooth.present.app11.plist.xml
/data/data/####/MotionPortrait.VampireBooth.present.app21.plist.xml
/data/data/####/MotionPortrait.VampireBooth.timestamp.plist.xml
/data/data/####/MotionPortrait.VampireBooth.virus.time.stamp.plist.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/edpr11.txt
/data/data/####/edpr12.txt
/data/data/####/eyebase.dll
/data/data/####/eyelight.dll
/data/data/####/hair.dll
/data/data/####/hairz.dll
/data/data/####/hige.dll
/data/data/####/index
/data/data/####/items_dll.zip
/data/data/####/libjiagu-1501770558.so
/data/data/####/lower_teeth.dll
/data/data/####/noad_e.png
/data/data/####/noad_j.png
/data/data/####/price.txt
/data/data/####/trsmap.dll
/data/data/####/upper_teeth.dll
/data/data/####/webview.db-journal
/data/media/####/MPFace.data
/data/media/####/a5_10326.mp3
/data/media/####/a5_10326.wav
/data/media/####/a5_13413.mp3
/data/media/####/a5_13413.wav
/data/media/####/ago_map_bmp
/data/media/####/agomean_txt
/data/media/####/bmode20_bin
/data/media/####/bmode23_bin
/data/media/####/bmode24_bin
/data/media/####/def_face.data
/data/media/####/def_face.data.zip
/data/media/####/def_face_thumb.png
/data/media/####/eye_base.dll
/data/media/####/eye_base.tga
/data/media/####/eye_base00.dll
/data/media/####/eye_base01.dll
/data/media/####/eye_base02.dll
/data/media/####/eye_base03.dll
/data/media/####/eye_reflect.tga
/data/media/####/faceanim.txt
/data/media/####/get_present
/data/media/####/headtemplate_txt
/data/media/####/hmode0_bin
/data/media/####/hmode10_bin
/data/media/####/hmode11_bin
/data/media/####/hmode5_bin
/data/media/####/hmode6_bin
/data/media/####/hmode7_bin
/data/media/####/hmode8_bin
/data/media/####/iris.dll
/data/media/####/lower_teeth.dll
/data/media/####/meancont_txt
/data/media/####/mmode32_bin
/data/media/####/mmode33_bin
/data/media/####/mmode37_bin
/data/media/####/mmode38_bin
/data/media/####/mode0_bin
/data/media/####/mode10_bin
/data/media/####/mode11_bin
/data/media/####/mode13_bin
/data/media/####/mode14_bin
/data/media/####/mode15_bin
/data/media/####/mode17_bin
/data/media/####/mode18_bin
/data/media/####/mode19_bin
/data/media/####/mode1_bin
/data/media/####/mode21_bin
/data/media/####/mode22_bin
/data/media/####/mode23_bin
/data/media/####/mode2_bin
/data/media/####/mode3_bin
/data/media/####/mode51_bin
/data/media/####/mode52_bin
/data/media/####/mode54_bin
/data/media/####/mode5_bin
/data/media/####/mode6_bin
/data/media/####/mode7_bin
/data/media/####/mode9_bin
/data/media/####/pbeyemachineparam
/data/media/####/pbface020machineparam
/data/media/####/pbface0machineparam
/data/media/####/pbface20machineparam
/data/media/####/pupil.dll
/data/media/####/shadow_eyelash.dll
/data/media/####/upper_teeth.dll
/data/media/####/yoko00_bmp
/data/media/####/yoko01_bmp
/data/media/####/yoko02_bmp
/data/media/####/yoko03_bmp
/data/media/####/yoko04_bmp
/data/media/####/yoko05_bmp
/data/media/####/yoko06_bmp
/data/media/####/yoko07_bmp
/data/media/####/yoko08_bmp
/data/media/####/yoko09_bmp
/data/media/####/yoko10_bmp
/data/media/####/yoko11_bmp
/data/media/####/yoko12_bmp
/data/media/####/yoko13_bmp
/data/media/####/yoko14_bmp
/data/media/####/yoko15_bmp
/data/media/####/yoko16_bmp
/data/media/####/yoko17_bmp
/data/media/####/yoko18_bmp
/data/media/####/yoko19_bmp
/data/media/####/yoko20_bmp
/data/media/####/yoko21_bmp
/data/media/####/yoko22_bmp
/data/media/####/yoko23_bmp
/data/media/####/yoko24_bmp
/data/media/####/yoko25_bmp
/data/media/####/yoko26_bmp
/data/media/####/yoko27_bmp
/data/media/####/yoko28_bmp
/data/media/####/yoko29_bmp
/data/media/####/yoko30_bmp
/data/media/####/yoko31_bmp
/data/media/####/zm.data
/data/media/####/zm2.data
/data/media/####/zmap.data

Другие:

Запускает следующие shell-скрипты:

chmod 755 <Package Folder>/.jiagu/libjiagu-1501770558.so

Загружает динамические библиотеки:

libjiagu-1501770558
vampirebooth

Использует следующие алгоритмы для шифрования данных:

Использует следующие алгоритмы для расшифровки данных:

AES-CFB-NoPadding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней