Android.RemoteCode.1024

Technical information

Malicious functions:

Executes code of the following detected threats:

Android.RemoteCode.907
Android.SmsSend.1848.origin
Android.Xiny.1513
Android.Xiny.240.origin

Gains access to the ITelephony private interface.

Network activity:

Connecting to:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) i####.api.qiazhiw####.cn:10003
TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10002
TCP(HTTP/1.1) 1####.159.152.136:8090
TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10201
TCP(HTTP/1.1) 1####.159.180.48:8090
TCP(HTTP/1.1) wn.qiazhiw####.cn.####.net:80
TCP(HTTP/1.1) 1####.62.69.130:80
TCP(HTTP/1.1) gdv.a.s####.com:80
TCP(HTTP/1.1) 1####.206.227.63:80
TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10101
TCP(HTTP/1.1) a.xunfa####.cn:8090
TCP(HTTP/1.1) 2####.73.211.68:5292
TCP(HTTP/1.1) q####.a####.com:80
TCP(HTTP/1.1) 1####.55.93.104:9004
TCP(HTTP/1.1) pa.angs####.com:8003
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) wb.cn####.com:80
TCP(HTTP/1.1) 1####.159.131.193:10201
TCP(HTTP/1.1) sm####.bingfe####.cn:80
TCP(HTTP/1.1) e.angs####.com:6284
TCP(HTTP/1.1) p1.i####.cc:80
TCP(HTTP/1.1) 1####.129.132.111:8001
TCP(HTTP/1.1) ji####.jieme####.com:8152
TCP(HTTP/1.1) www.3####.com:8081
TCP(HTTP/1.1) 1####.159.103.205:8090
TCP(HTTP/1.1) v####.api.eeric####.com:80
TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10001
TCP(HTTP/1.1) d.angs####.com:5284
TCP(HTTP/1.1) yuey####.ld####.com:80

DNS requests:

a####.u####.com
a.xunfa####.cn
c####.api.qiazhiw####.cn
d.angs####.com
e.angs####.com
i####.api.qiazhiw####.cn
i####.api.qiazhiw####.cn
int.d####.s####.####.cn
ji####.dl####.com
ji####.jieme####.com
l####.i####.cc
p1.i####.cc
pa.angs####.com
pv.s####.com
re####.api.qiazhiw####.cn
sdk.api.qiazhiw####.cn
sm####.bingfe####.cn
v####.api.eeric####.com
wb.cn####.com
wc.cn####.com
wn.qiazhiw####.cn
www.3####.com
yuey####.ld####.com

HTTP GET requests:

a.xunfa####.cn:8090/afee?cpid=####&appfee_id=####&fee=####&smsc=####&ims...
a.xunfa####.cn:8090/getdata?cpid=####&packagename=####
a.xunfa####.cn:8090/phoneget?cpid=####&ismi=####&calltime=####&callcount...
gdv.a.s####.com/cityjson?ie=####
q####.a####.com/jieplginf/wchzfdat25
wn.qiazhiw####.cn.####.net/update/up10107090

HTTP POST requests:

a####.u####.com/app_logs
d.angs####.com:5284/android.frontserver/pcsvc
e.angs####.com:6284/android.frontserver/pcsvc?r=####
i####.api.qiazhiw####.cn:10003/v2/chis
ji####.jieme####.com:8152/ryf_webserver/payment/checkupdate.html
p1.i####.cc/index.php/MC/HB
p1.i####.cc/index.php/MC/LP
p1.i####.cc/index.php/MC/RP
pa.angs####.com:8003/pps
sdk.api.qiazhiw####.cn:10001/v2/adconfig/get?app_id=####&t=####
sdk.api.qiazhiw####.cn:10001/v2/bag/monitor?app_id=####&t=####
sdk.api.qiazhiw####.cn:10001/v2/sdk/init?app_id=####&t=####
sdk.api.qiazhiw####.cn:10001/v2/update/check?app_id=####&t=####
sdk.api.qiazhiw####.cn:10002/v2/callback/message?app_id=####&t=####
sdk.api.qiazhiw####.cn:10101/v2/order/get?app_id=####&t=####
sdk.api.qiazhiw####.cn:10101/v2/splog/config?app_id=####&t=####
sdk.api.qiazhiw####.cn:10201/v2/sdk/report?app_id=####&t=####
sm####.bingfe####.cn/getspsms159.php
v####.api.eeric####.com/api/payment/mobileInit.html
v####.api.eeric####.com/api/payment/payDynamic.html
wb.cn####.com//a?v=####&r=####&z=####
www.3####.com:8081/e/mmc
yuey####.ld####.com/channel/paymentHandle.action?requestId=####&v=####

Modified file system:

Creates the following files:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/00fm00.png
/data/data/####/01background01.mp3
/data/data/####/01fmScene.csb
/data/data/####/01jz.png
/data/data/####/01ui00.png
/data/data/####/01ui00a.png
/data/data/####/01ui00b.png
/data/data/####/01ui00c.png
/data/data/####/01ui01.png
/data/data/####/01ui02.png
/data/data/####/01ui04.png
/data/data/####/01ui05.png
/data/data/####/01ui05a.png
/data/data/####/01ui06.png
/data/data/####/01ui07.png
/data/data/####/01ui07b.png
/data/data/####/01ui08.png
/data/data/####/01ui08a.png
/data/data/####/01ui09.png
/data/data/####/01ui09a.png
/data/data/####/01ui10.png
/data/data/####/01ui11.png
/data/data/####/01uiAnimation.ExportJson
/data/data/####/01uiAnimation0.plist
/data/data/####/01uiAnimation0.png
/data/data/####/01waibu.png
/data/data/####/02gameScene.csb
/data/data/####/02gunAnimation.ExportJson
/data/data/####/02gunAnimation0.plist
/data/data/####/02gunAnimation0.png
/data/data/####/02jz.png
/data/data/####/02reload.mp3
/data/data/####/02ui00a.png
/data/data/####/02ui01.png
/data/data/####/02ui02.png
/data/data/####/02waibu.png
/data/data/####/03gun01.mp3
/data/data/####/03heroAnimation.ExportJson
/data/data/####/03heroAnimation0.plist
/data/data/####/03heroAnimation0.png
/data/data/####/03jz.png
/data/data/####/03jza.png
/data/data/####/03roleScene.csb
/data/data/####/04gun02.mp3
/data/data/####/04gunScene.csb
/data/data/####/04jz.png
/data/data/####/04jza.png
/data/data/####/04txAnimation.ExportJson
/data/data/####/04txAnimation.csb
/data/data/####/04txAnimation0.plist
/data/data/####/04txAnimation0.png
/data/data/####/04ui00a.png
/data/data/####/04ui00b.png
/data/data/####/04ui00e.png
/data/data/####/04ui00f.png
/data/data/####/04ui01.png
/data/data/####/04ui02.png
/data/data/####/04ui02a.png
/data/data/####/04ui03.png
/data/data/####/04ui05.png
/data/data/####/04ui07.png
/data/data/####/04ui08.png
/data/data/####/04ui09.png
/data/data/####/04ui10.png
/data/data/####/04ui11.png
/data/data/####/04ui12.png
/data/data/####/04ui13.png
/data/data/####/04ui14.png
/data/data/####/04ui15.png
/data/data/####/04ui16.png
/data/data/####/04ui17.png
/data/data/####/04ui18.png
/data/data/####/04ui19.png
/data/data/####/04ui20.png
/data/data/####/04ui21.png
/data/data/####/04ui22.png
/data/data/####/04ui23.png
/data/data/####/04ui24.png
/data/data/####/04ui25.png
/data/data/####/04ui26.png
/data/data/####/04ui27.png
/data/data/####/04ui28.png
/data/data/####/04ui29.png
/data/data/####/04ui30.png
/data/data/####/04ui31.png
/data/data/####/04ui32.png
/data/data/####/05beizhanScene.csb
/data/data/####/05gun03.mp3
/data/data/####/05jz.png
/data/data/####/05jza.png
/data/data/####/05ui01.png
/data/data/####/05ui02.png
/data/data/####/05ui03.png
/data/data/####/05ui04.png
/data/data/####/05ui12.png
/data/data/####/05ui12a.png
/data/data/####/06gun04.mp3
/data/data/####/06jz.png
/data/data/####/06jza.png
/data/data/####/06matchingScene.csb
/data/data/####/06ui02.png
/data/data/####/06ui03.png
/data/data/####/06ui04.png
/data/data/####/06ui05.png
/data/data/####/06ui06.png
/data/data/####/06ui07.png
/data/data/####/06ui08.png
/data/data/####/06ui09.png
/data/data/####/06ui10.png
/data/data/####/07gun05.mp3
/data/data/####/07jz.png
/data/data/####/07loadingScene.csb
/data/data/####/07ui01.png
/data/data/####/07ui01a.png
/data/data/####/08jz.png
/data/data/####/08ui00.png
/data/data/####/08ui01.png
/data/data/####/08ui02.png
/data/data/####/08ui02a.png
/data/data/####/08ui02b.png
/data/data/####/08ui03.png
/data/data/####/08ui04.png
/data/data/####/08ui06.png
/data/data/####/08ui07.png
/data/data/####/08ui08.png
/data/data/####/08ui09.png
/data/data/####/08ui09a.png
/data/data/####/08ui09b.png
/data/data/####/08ui09c.png
/data/data/####/08ui10.png
/data/data/####/08ui10a.png
/data/data/####/08ui10b.png
/data/data/####/08ui10c.png
/data/data/####/08ui11.png
/data/data/####/08ui12.png
/data/data/####/08ui13.png
/data/data/####/08ui14.png
/data/data/####/08ui15.png
/data/data/####/08ui16.png
/data/data/####/08ui16a.png
/data/data/####/08ui16b.png
/data/data/####/08ui16c.png
/data/data/####/08ui17.png
/data/data/####/08ui18.png
/data/data/####/08ui19.png
/data/data/####/08ui19a.png
/data/data/####/08ui20.png
/data/data/####/08ui20a.png
/data/data/####/08ui21.png
/data/data/####/08ui21a.png
/data/data/####/08ui22.png
/data/data/####/08ui22a.png
/data/data/####/08winScene.csb
/data/data/####/09jz.png
/data/data/####/09loseScene.csb
/data/data/####/09skill01b.mp3
/data/data/####/09skill01ba.mp3
/data/data/####/09ui01.png
/data/data/####/09ui02.png
/data/data/####/09ui03.png
/data/data/####/09ui04.png
/data/data/####/09ui05.png
/data/data/####/10skill02hp.mp3
/data/data/####/10stopScene.csb
/data/data/####/10ui01.png
/data/data/####/10ui02a.png
/data/data/####/10ui03.png
/data/data/####/11kaiseling.csb
/data/data/####/11run.mp3
/data/data/####/11ui02.png
/data/data/####/11ui03.png
/data/data/####/11ui04.png
/data/data/####/11ui05.png
/data/data/####/12button.mp3
/data/data/####/12ui00.png
/data/data/####/12ui01.png
/data/data/####/12ui02.png
/data/data/####/12ui03.png
/data/data/####/12ui04.png
/data/data/####/12ui05.png
/data/data/####/12ui06.png
/data/data/####/12ui07.png
/data/data/####/12ui08.png
/data/data/####/12xina.csb
/data/data/####/13dienan.mp3
/data/data/####/13hanfeng.csb
/data/data/####/14dienv.mp3
/data/data/####/15jinbisongbuting.csb
/data/data/####/15win.mp3
/data/data/####/16huoliquankai.csb
/data/data/####/16lose.mp3
/data/data/####/17levelup.mp3
/data/data/####/17quantuzhiyuan.csb
/data/data/####/18boom.mp3
/data/data/####/18wudizhanshi.csb
/data/data/####/19junbeizhengba.csb
/data/data/####/1B3A2967E5FD862EFD957606C65C8122
/data/data/####/20chaojibuji.csb
/data/data/####/21rexuezaizhan.csb
/data/data/####/23winScene.csb
/data/data/####/24loadingScene.csb
/data/data/####/25killScene.csb
/data/data/####/25ui01.png
/data/data/####/25ui02.png
/data/data/####/25ui03.png
/data/data/####/26xiaoxingbuji.csb
/data/data/####/27zhongxingbuji.csb
/data/data/####/28daxingbuji.csb
/data/data/####/30592A6B8B0C769E3F7FDE6E1A033DF5
/data/data/####/347781996620052-journal
/data/data/####/D99494BB10D048C393648C204AF8AA38
/data/data/####/F85C58A2196623557E8A00D8A4680702
/data/data/####/Gundata.json
/data/data/####/HeroData.json
/data/data/####/JiePay.xml
/data/data/####/MA_epay_db
/data/data/####/MA_epay_db-journal
/data/data/####/TWL-plist001.png
/data/data/####/TWL-plist002.png
/data/data/####/b.d
/data/data/####/baidu
/data/data/####/bg01.png
/data/data/####/bg02.png
/data/data/####/bg03.png
/data/data/####/bg04.png
/data/data/####/cb.d
/data/data/####/cbn.d
/data/data/####/cbn_d.d
/data/data/####/cbs.d
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/chg_kefu1.png
/data/data/####/com_android_command_nn_v.xml
/data/data/####/config50238.xml
/data/data/####/constantcd.xml
/data/data/####/contra_lizi01.plist
/data/data/####/contra_lizi02.plist
/data/data/####/contra_lizi03.plist
/data/data/####/cover_kefu1.png
/data/data/####/csdksession.xml
/data/data/####/d_h_d.d
/data/data/####/dwD.KQnNcSMz.xjKm.com.sdk.a.a_mseg.db
/data/data/####/dwD.KQnNcSMz.xjKm.com.sdk.a.a_mseg.db-journal
/data/data/####/dwD.KQnNcSMz.xjKm.xml
/data/data/####/dwD.KQnNcSMz.xjKm_preferences.xml
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/fingerAnimation.ExportJson
/data/data/####/fingerAnimation0.plist
/data/data/####/fingerAnimation0.png
/data/data/####/goldadd10.png
/data/data/####/gun_des_0.png
/data/data/####/gun_des_1.png
/data/data/####/gun_des_2.png
/data/data/####/gun_des_3.png
/data/data/####/gun_des_4.png
/data/data/####/gun_name_0.png
/data/data/####/gun_name_1.png
/data/data/####/gun_name_2.png
/data/data/####/gun_name_3.png
/data/data/####/gun_name_4.png
/data/data/####/hero.csb
/data/data/####/hero0.plist
/data/data/####/hero0.png
/data/data/####/hero2.csb
/data/data/####/hero20.plist
/data/data/####/hero20.png
/data/data/####/hero3.csb
/data/data/####/hero30.plist
/data/data/####/hero30.png
/data/data/####/hero4.csb
/data/data/####/hero40.plist
/data/data/####/hero40.png
/data/data/####/hero_bullet.csb
/data/data/####/hero_bullet0.plist
/data/data/####/hero_bullet0.png
/data/data/####/hp01.png
/data/data/####/hp02.png
/data/data/####/hp03.png
/data/data/####/icon100.png
/data/data/####/jiepay_config.xml
/data/data/####/jiepayplugin.apk
/data/data/####/jiepayplugin.apkdata
/data/data/####/jiepaysmspay.db
/data/data/####/jiepaysmspay.db-journal
/data/data/####/jz01.png
/data/data/####/jz02.png
/data/data/####/jz03.png
/data/data/####/jz04.png
/data/data/####/jz05.png
/data/data/####/jz06.png
/data/data/####/kb_idle.ini
/data/data/####/kes.xml
/data/data/####/key
/data/data/####/kill01.mp3
/data/data/####/kill01.png
/data/data/####/kill02.mp3
/data/data/####/kill02.png
/data/data/####/kill03.mp3
/data/data/####/kill03.png
/data/data/####/kill04.mp3
/data/data/####/kill04.png
/data/data/####/kill05.mp3
/data/data/####/kill05.png
/data/data/####/kill06.mp3
/data/data/####/kill06.png
/data/data/####/kv_cf.ini
/data/data/####/libao01.png
/data/data/####/libao03.png
/data/data/####/libao04.png
/data/data/####/libao04a.png
/data/data/####/libao04b.png
/data/data/####/libao04c.png
/data/data/####/libao05.png
/data/data/####/libao05a.png
/data/data/####/libao05b.png
/data/data/####/libao05c.png
/data/data/####/libao06.png
/data/data/####/libao07.png
/data/data/####/libao08.png
/data/data/####/libao08a.png
/data/data/####/libao08b.png
/data/data/####/libao08c.png
/data/data/####/libao09.png
/data/data/####/libao10.png
/data/data/####/libao11.png
/data/data/####/libao12.png
/data/data/####/libao13.png
/data/data/####/libao14.png
/data/data/####/libao15b.png
/data/data/####/libao15c.png
/data/data/####/libao16.png
/data/data/####/libao16a.png
/data/data/####/libao16b.png
/data/data/####/libao16c.png
/data/data/####/libao16d.png
/data/data/####/libao17.png
/data/data/####/libao18.png
/data/data/####/libao19.png
/data/data/####/libao20.png
/data/data/####/libao21.png
/data/data/####/libao22.png
/data/data/####/libao23.png
/data/data/####/libao24.png
/data/data/####/libao25.png
/data/data/####/libao26.png
/data/data/####/libao27.png
/data/data/####/libjiagu1836294398.so
/data/data/####/logocontra.png
/data/data/####/lt.d
/data/data/####/ma_call.xml
/data/data/####/ma_data.xml
/data/data/####/ma_epay_share.xml
/data/data/####/ma_phone.xml
/data/data/####/map01.tmx
/data/data/####/map02.tmx
/data/data/####/new_md.jar
/data/data/####/newfoq.jar
/data/data/####/nn.jaru
/data/data/####/nn_app.xml
/data/data/####/num01.png
/data/data/####/num02.png
/data/data/####/num03.png
/data/data/####/pcn.d
/data/data/####/pcs.d
/data/data/####/pgb.d
/data/data/####/ppashow.dat
/data/data/####/pretw.xml
/data/data/####/pretw6000050ZYXD_P27713_1222.xml
/data/data/####/qian15.png
/data/data/####/qian6.png
/data/data/####/qian8.png
/data/data/####/qian_10.png
/data/data/####/qian_20.png
/data/data/####/qian_4.png
/data/data/####/qian_zong.png
/data/data/####/reload01.png
/data/data/####/reload02.png
/data/data/####/reload03.png
/data/data/####/run_move_panel.png
/data/data/####/run_move_point.png
/data/data/####/sdk_DB-journal
/data/data/####/shunpay_config
/data/data/####/skillcd.png
/data/data/####/skin_player_name.png
/data/data/####/twc.xml
/data/data/####/tx_gold.csb
/data/data/####/tx_gold0.plist
/data/data/####/tx_gold0.png
/data/data/####/tx_icon.csb
/data/data/####/tx_icon0.plist
/data/data/####/tx_icon0.png
/data/data/####/tx_wudi.csb
/data/data/####/tx_wudi0.plist
/data/data/####/tx_wudi0.png
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/up10107090
/data/data/####/up10107090.jar
/data/data/####/v2c5w0x082l6g6D9j9B178k7n7s403.xml
/data/data/####/webview.db-journal
/data/data/####/wordx1.png
/data/data/####/wx.d
/data/data/####/yizhuangbei.png
/data/data/####/yy.dt
/data/data/####/zfb.d
/data/data/####/zipfile.xml
/data/data/####/zs01.png
/data/data/####/zs02.png
/data/data/####/zs03.png
/data/data/####/zs04.png
/data/data/####/zs05.png
/data/data/####/zs06.png
/data/data/####/zs07.png
/data/data/####/zs08.png
/data/data/####/zs09.png
/data/data/####/zs10.png
/data/data/####/{6109AB2B-769CFABF}_{B6476C79-722ACEF0}.P2
/data/data/####/{B6476C79-722ACEF0}.P1
/data/data/####/{B6476C79-722ACEF0}.P3
/data/data/####/{BE2355DB-D785E335}.PC1
/data/media/####/NDID.DAT
/data/media/####/UIW.DAT
/data/media/####/WyyyCrashLog_20181015223839_2285.log
/data/media/####/msg.db
/data/media/####/msg.db-journal
/data/media/####/order
/data/media/####/tw
/data/media/####/userid.cfg
/data/media/####/yydd_3009_2323.zip

Miscellaneous:

Executes next shell scripts:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
cat /sys/block/mmcblk0/device/cid
chmod 755 <Package Folder>/.jiagu/libjiagu1836294398.so
getprop ro.product.cpu.abi

Loads the following dynamic libraries:

game
libjiagu1836294398
shunpay

Uses the following algorithms to encrypt data:

AES
AES-CBC-PKCS5PADDING
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
DES
DES-CBC-PKCS5Padding
DES-ECB-PKCS5Padding

Uses the following algorithms to decrypt data:

AES
AES-CBC-PKCS5PADDING
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
DES
DES-CBC-PKCS5Padding
DES-ECB-PKCS5Padding

Uses special library to hide executable bytecode.

Gains access to geolocation.

Gains access to network information.

Gains access to telephone information (number, imei, etc.).

Gains access to information about installed applications.

Displays its own windows over windows of other applications.

Parses information from SMS messages.

Gains access to information about incoming/outgoing calls.

Gains access to information about sent/received SMS messages.

Technologies

Terminology

Training and education

Myths

Technical information

Curing recommendations

Free trial