XCPE ಬಾಟ್‌ನೆಟ್‌ನಲ್ಲಿನ ಹೆಚ್ಚಿನ ಸೋಂಕಿತ ಸಾಧನಗಳು Android TV ಸೆಟ್-ಟಾಪ್ ಬಾಕ್ಸ್‌ಗಳಾಗಿದ್ದರೂ, ಟೆಲಿಹೆಲ್ತ್ ಸಾಧನಗಳು, ಕ್ಯಾರಿಯೋಕೆ ಯಂತ್ರಗಳು ಮತ್ತು ಡಿಜಿಟಲ್ ಸಂಕೇತ ಸಾಧನಗಳು ಸೇರಿದಂತೆ ಹಲವಾರು ಸೋಂಕಿತ Android- ಆಧಾರಿತ IoT ಸಾಧನಗಳನ್ನು ನಾವು ಗಮನಿಸಿದ್ದೇವೆ.
ಹಣಗಳಿಕೆ
x.cpe ಹಣಗಳಿಕೆಗಾಗಿ ವಿವಿಧ ದುರುದ್ದೇಶಪೂರಿತ ಮಾಡ್ಯೂಲ್‌ಗಳನ್ನು ಲೋಡ್ ಮಾಡುತ್ತದೆ. ಹೆಚ್ಚಾಗಿ ಮಾಡ್ಯೂಲ್‌ಗಳು ವಸತಿ ಪ್ರಾಕ್ಸಿ ಸೇವೆಗಳು ಮತ್ತು ಬ್ಯಾಂಡ್‌ವಿಡ್ತ್ ಹಂಚಿಕೆಯೊಂದಿಗೆ ಸಂಬಂಧ ಹೊಂದಿವೆ, ಆದರೆ ನಾವು ಜಾಹೀರಾತು ವಂಚನೆ ಮಾಡ್ಯೂಲ್‌ಗಳನ್ನು ಸಹ ಗಮನಿಸಿದ್ದೇವೆ. ಒಂದೇ ಸಾಧನವು ಒಂದೇ ರೀತಿಯ ಅಥವಾ ಒಂದೇ ರೀತಿಯ ಕಾರ್ಯವನ್ನು ಒದಗಿಸುವ ಬಹು ಮಾಡ್ಯೂಲ್‌ಗಳನ್ನು ಚಾಲನೆ ಮಾಡುತ್ತಿರಬಹುದು (ಉದಾ, ಒಂದೇ ಸಾಧನದಲ್ಲಿ ಸ್ಥಾಪಿಸಲಾದ ಮೂರು ವಸತಿ ಪ್ರಾಕ್ಸಿ SDK ಗಳು) ವೀಡಿಯೊಸ್ಟ್ರಾಂಗ್ ಪ್ರತಿ ಸೋಂಕಿತ ಸಾಧನವನ್ನು ಸಾಧ್ಯವಾದಷ್ಟು ಹೆಚ್ಚಿನ ಪ್ರಮಾಣದಲ್ಲಿ ಹಣಗಳಿಸಲು ಪ್ರಯತ್ನಿಸುತ್ತದೆ ಎಂಬುದು ಸ್ಪಷ್ಟವಾಗಿದೆ.
ಸೇವೆಗಳನ್ನು ಲೋಡ್ ಮಾಡಲಾಗಿದೆ com.abc.nexus ಮೂರು ವಿಧಾನಗಳ ಮೂಲಕ:
-
ಸ್ಥಳೀಯ ಡೀಮನ್ಸ್: ಸ್ಥಳೀಯ ELF ಬೈನರಿಗಳೊಂದಿಗೆ ಪೂರ್ವಪ್ಯಾಕ್ ಮಾಡಲಾಗಿದೆ
com.abc.nexusಇದು ಡೇಟಾ ಡೈರೆಕ್ಟರಿಗಳಿಗೆ ಅನ್ಪ್ಯಾಕ್ ಮಾಡಲ್ಪಟ್ಟಿದೆ ಮತ್ತು ಸಿಸ್ಟಮ್/ರೂಟ್ ಸವಲತ್ತುಗಳೊಂದಿಗೆ ಹಿನ್ನೆಲೆ ಪ್ರಕ್ರಿಯೆಗಳಾಗಿ ಹೊರಹೊಮ್ಮುತ್ತದೆ. -
ಎಂಬೆಡೆಡ್ SDKಗಳು / ಸೇವೆಗಳು: Java/Kotlin SDK ಗಳನ್ನು ನೇರವಾಗಿ Nexus ಗೆ ಸಂಕಲಿಸಲಾಗಿದೆ ಮತ್ತು Android ಸೇವಾ ಜೀವನಚಕ್ರಗಳು ಅಥವಾ IPC ಬ್ರಾಡ್‌ಕಾಸ್ಟ್ ಟ್ರಿಗ್ಗರ್‌ಗಳ ಮೂಲಕ ಆಹ್ವಾನಿಸಲಾಗಿದೆ.
-
ಡೈನಾಮಿಕ್ ಡ್ರಾಪ್ಪರ್‌ಗಳು ಮತ್ತು ಸೆಕೆಂಡರಿ ಎಪಿಕೆ ಇನ್‌ಸ್ಟಾಲರ್‌ಗಳು: ರಿಮೋಟ್ ಸ್ಥಳೀಯ ELF ಗಳು ಅಥವಾ ಸೆಕೆಂಡರಿ ಸ್ವತಂತ್ರ APK ಗಳನ್ನು ಎಳೆಯುವ ಮತ್ತು ಸಿಸ್ಟಮ್ ಪ್ಯಾಕೇಜ್ ಮ್ಯಾನೇಜರ್‌ಗಳನ್ನು ಆಹ್ವಾನಿಸುವ ಡೌನ್‌ಲೋಡರ್ ಕಾರ್ಯ. Nexus ನಿಂದ ಸಂದೇಶಗಳನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ
x.cpeನಿರ್ದಿಷ್ಟ ಮಾಡ್ಯೂಲ್‌ಗಳನ್ನು ಡೌನ್‌ಲೋಡ್ ಮಾಡಲು ಅದನ್ನು ನಿರ್ದೇಶಿಸಲಾಗುತ್ತಿದೆ.
ಹಿಂಬಾಗಿಲಿನ ಮೂಲಕ ಲೋಡ್ ಮಾಡಲಾದ ಮಾಲ್‌ವೇರ್ ಮಾಡ್ಯೂಲ್‌ಗಳು ಈ ಕೆಳಗಿನವುಗಳನ್ನು ಒಳಗೊಂಡಿವೆ:
ವಸತಿ ಪ್ರಾಕ್ಸಿ / ಬ್ಯಾಂಡ್‌ವಿಡ್ತ್ ಹಂಚಿಕೆ ಮಾಡ್ಯೂಲ್‌ಗಳು
LINKFOG
Com.abc.nexusನ LinkfogService ಹೆಸರಿನ ಗೋ ಬೈನರಿಯನ್ನು ಅನ್ಪ್ಯಾಕ್ ಮಾಡುತ್ತದೆ lw_android_agent ನಿಂದ assets/ ಸ್ಥಳೀಯ ಅಪ್ಲಿಕೇಶನ್ ಸಂಗ್ರಹಣೆಗೆ ಮತ್ತು ಅದನ್ನು ಮಾರಾಟಗಾರರ ನಿಯತಾಂಕಗಳೊಂದಿಗೆ ಪೂರೈಸುತ್ತದೆ. ಈ ಸೇವೆಯು ಸೋಂಕಿತ ಸಾಧನಗಳನ್ನು ರೆಸಿಡೆನ್ಶಿಯಲ್ ಎಡ್ಜ್ ಕಂಪ್ಯೂಟಿಂಗ್ ಮತ್ತು PCDN ಪ್ರಾಕ್ಸಿ ಎಕ್ಸಿಟ್ ನೋಡ್‌ಗಳಾಗಿ ಮೌನವಾಗಿ ಪರಿವರ್ತಿಸುತ್ತದೆ. ಇದು FRP ರಿವರ್ಸ್ ಟನಲ್‌ಗಳಿಗೆ ಸಂಪರ್ಕಿಸುತ್ತದೆ ಮತ್ತು ಲಿಂಕ್‌ಫಾಗ್ API ಬ್ಯಾಕೆಂಡ್‌ಗಳಿಗೆ ಬ್ಯಾಂಡ್‌ವಿಡ್ತ್ ಅಕೌಂಟಿಂಗ್ ಮೆಟ್ರಿಕ್‌ಗಳನ್ನು ಅಪ್‌ಲೋಡ್ ಮಾಡುತ್ತದೆ. Linkfog ( 点心云 / Dianxinyun ಮೂಲಕ ಬೀಜಿಂಗ್ ಲಿಂಕ್‌ಫಾಗ್ ತಂತ್ರಜ್ಞಾನದಿಂದ ನಿರ್ವಹಿಸಲ್ಪಡುತ್ತದೆ) ಸ್ವತಃ “ಪೀರ್-ಟು-ಪೀರ್ ಕಂಟೆಂಟ್ ಡೆಲಿವರಿ ನೆಟ್ವರ್ಕ್” ಎಂದು ಬ್ರ್ಯಾಂಡ್ ಮಾಡುತ್ತದೆ.
ಜಾಗ್ವಾರ್
ದಿ com.abc.nexus AdtimeService ಸಾರಗಳು libjaguar.so ನಿಂದ assets/. ಫೈಲ್ ಸಿ ಯಲ್ಲಿ ಬರೆಯಲಾದ ಅಸ್ಪಷ್ಟ 32-ಬಿಟ್ ELF ಬೈನರಿಯಾಗಿದ್ದು, ಸ್ಥಳೀಯ ಆಂಡ್ರಾಯ್ಡ್ ಬೈನರಿಯಾಗಿ ಸಂಕಲಿಸಲಾಗಿದೆ. ಇದು ತನ್ನ ಪ್ರಮುಖ ದಿನಚರಿಗಳನ್ನು ಪ್ರಾರಂಭಿಸಲು JNI (ಜಾವಾ ಸ್ಥಳೀಯ ಇಂಟರ್ಫೇಸ್) ಅನ್ನು ಬಳಸಿಕೊಳ್ಳುತ್ತದೆ, ಭಾರೀ ಅಸ್ಪಷ್ಟವಾದ ಕಾನ್ಫಿಗರೇಶನ್‌ಗಳನ್ನು ಡಿಕೋಡ್ ಮಾಡಲು ARM NEON SIMD ಸೂಚನೆಗಳ ಮೂಲಕ ಕ್ರಿಯಾತ್ಮಕವಾಗಿ ChaCha20 ಡೀಕ್ರಿಪ್ಶನ್ ಕೀಲಿಯನ್ನು ಪಡೆಯುತ್ತದೆ ಮತ್ತು ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡಿದ C2 ಚಾನಲ್ ಅನ್ನು ಸ್ಥಾಪಿಸುತ್ತದೆ. ಯಶಸ್ವಿ ನೋಂದಣಿಯ ನಂತರ, ಪ್ರಾಕ್ಸಿ ಎಂಡ್ ಪಾಯಿಂಟ್‌ಗಳನ್ನು ಸೂಚಿಸುವ JSON ಕಾನ್ಫಿಗರೇಶನ್‌ನೊಂದಿಗೆ C2 ಪ್ರತಿಕ್ರಿಯಿಸುತ್ತದೆ. ಪ್ರಾಕ್ಸಿ ಕಮಾಂಡ್ ಲೂಪ್ x_ctrl_do_ctrl_msg ಒಳಬರುವ JSON ವೇರಿಯಬಲ್ ಕಮಾಂಡ್‌ಗಳ ಆಧಾರದ ಮೇಲೆ ಪ್ರಾಕ್ಸಿ ಕಾರ್ಯಾಚರಣೆಗಳನ್ನು ಪ್ರತಿನಿಧಿಸುತ್ತದೆ ಮತ್ತು TCP ಮತ್ತು UDP ರಿಲೇ ಎರಡರ ಸಾಮರ್ಥ್ಯವನ್ನು ಹೊಂದಿದೆ.
ಆಪ್ಸಾಲ್ಟ್/ಹನಿಗೇನ್
AppSalt SDK ಎಂಬುದು Honeygain ಒಡೆತನದ ವಸತಿ ಪ್ರಾಕ್ಸಿ SDK ಆಗಿದೆ, ಇದು Oxylabs ಒಡೆತನದಲ್ಲಿದೆ. com.abc.nexus.service.CoreService Appsalt SDK ಅನ್ನು ಪ್ರಾರಂಭಿಸುತ್ತದೆ. ಮೊದಲಿಗೆ, ಅಪ್ಲಿಕೇಶನ್ ಸ್ಥಳೀಯ ಲೈಬ್ರರಿಯಿಂದ Appsalt SDK API ಕೀಲಿಯನ್ನು ಪಡೆಯುತ್ತದೆ libnative_keys.so ಅದನ್ನು ಕರೆಯುವ ಮೂಲಕ getAppsaltKey() ಕಾರ್ಯ. ಸಮ್ಮತಿ ಪರದೆಯನ್ನು ಪ್ರದರ್ಶಿಸದೆಯೇ Appsalt SDK ಅನ್ನು ಪ್ರಾರಂಭಿಸಲಾಗಿದೆ – ಬದಲಿಗೆ ಅದು ಸ್ಪಷ್ಟವಾಗಿ ಕರೆಯುತ್ತದೆ optIn() ಯಾವುದೇ ಬಳಕೆದಾರ ಇಂಟರ್ಫೇಸ್ ಅನ್ನು ಪ್ರದರ್ಶಿಸದೆ ಸಮ್ಮತಿ ಫ್ಲ್ಯಾಗ್ ಅನ್ನು ಹೊಂದಿಸುವ ವಿಧಾನ. Appsalt SDK ಪ್ರಾರಂಭದ ಸಮಯದಲ್ಲಿ ಇದು ಅಪ್ಲಿಕೇಶನ್‌ನ ಸ್ಥಾಪನೆಯ ಮೂಲವನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ ಮತ್ತು ಅಪ್ಲಿಕೇಶನ್ ಅನ್ನು ಅಧಿಕೃತ Google Play Store ನಿಂದ ಸ್ಥಾಪಿಸಿದ್ದರೆ ಕಾರ್ಯಗತಗೊಳಿಸುವಿಕೆಯನ್ನು ನಿಲ್ಲಿಸುತ್ತದೆ.
ಆಪ್ಸಾಲ್ಟ್ ಅನ್ನು ಯಶಸ್ವಿಯಾಗಿ ಪ್ರಾರಂಭಿಸಿದ ನಂತರ ಅದು ಪ್ರಾಥಮಿಕ ಆಜ್ಞೆ ಮತ್ತು ನಿಯಂತ್ರಣ ಡೊಮೇನ್‌ನೊಂದಿಗೆ ವೆಬ್‌ಸಾಕೆಟ್ ಸಂಪರ್ಕವನ್ನು ಸ್ಥಾಪಿಸುತ್ತದೆ. ಆರಂಭಿಕ ಚೆಕ್-ಇನ್ (ನೋಂದಣಿ) ಮತ್ತು ಹೃದಯ ಬಡಿತ ವಿನಂತಿಗಳಿಗಾಗಿ Appsalt JSON- ಫಾರ್ಮ್ಯಾಟ್ ಮಾಡಿದ ಸಂದೇಶಗಳನ್ನು ಬಳಸುತ್ತದೆ. ಆಪ್ಸಾಲ್ಟ್ ಕಮಾಂಡ್ ಮತ್ತು ಕಂಟ್ರೋಲ್ ಸರ್ವರ್‌ಗಳು ಪ್ರಾಕ್ಸಿ ಕಾರ್ಯಾಚರಣೆಗಳಿಗೆ ಸಂಬಂಧಿಸಿದ ಆದೇಶಗಳನ್ನು ನೀಡಲು MessagePack ಫಾರ್ಮ್ಯಾಟ್ ಮಾಡಿದ ಸಂದೇಶಗಳನ್ನು ಬಳಸುತ್ತವೆ. Appsalt SDK ಅನ್ನು ಪ್ರಾಕ್ಸಿ ಗೇಟ್‌ವೇಗಳಾಗಿ ಕಾರ್ಯನಿರ್ವಹಿಸುವ ಡೊಮೇನ್‌ಗಳ ಆರಂಭಿಕ ಸೆಟ್‌ನೊಂದಿಗೆ ಕಾನ್ಫಿಗರ್ ಮಾಡಲಾಗಿದೆ. ಪ್ರಾಕ್ಸಿ ಗೇಟ್ವೇಗಳ ಪಟ್ಟಿಯನ್ನು ಕಮಾಂಡ್ ಮತ್ತು ಕಂಟ್ರೋಲ್ ಸರ್ವರ್ ಮೂಲಕ ನವೀಕರಿಸಬಹುದು. ಸಾಧನವು ಈ ಗೇಟ್‌ವೇಗಳೊಂದಿಗೆ UDP / QUIC ಸಂಪರ್ಕಗಳನ್ನು ಸ್ಥಾಪಿಸುತ್ತದೆ.
BWM / IPWeb
ಈ ವಸತಿ ಪ್ರಾಕ್ಸಿ ಮತ್ತು ಬ್ಯಾಂಡ್‌ವಿಡ್ತ್-ಹಂಚಿಕೆ ನೋಡ್ ಅನ್ನು ಇದರ ಮೂಲಕ ಅಳವಡಿಸಲಾಗಿದೆ com.abc.nexus.service.BwmService ಘಟಕ (ಕೆಲವೊಮ್ಮೆ ಹೆಸರಿಸಲಾಗಿದೆ com.abc.nexus.service.SN4Service) ಮತ್ತು ಅದರ ಸಂಬಂಧಿತ SDK. ಪ್ರಾರಂಭದ ನಂತರ, ಇದು ಪ್ರತ್ಯೇಕವಾದ ಸ್ಯಾಂಡ್‌ಬಾಕ್ಸ್ ಪರಿಸರದಲ್ಲಿ ತನ್ನನ್ನು ತಾನೇ ಭದ್ರಪಡಿಸಿಕೊಳ್ಳುತ್ತದೆ, ಸಾಧನದ ಟೆಲಿಮೆಟ್ರಿಯನ್ನು ಸೆರೆಹಿಡಿಯುತ್ತದೆ ಮತ್ತು UDP ಮೂಲಕ ರಿಮೋಟ್ ಸರ್ವರ್‌ನೊಂದಿಗೆ ನೋಂದಾಯಿಸುತ್ತದೆ. ಈ C2 ನಿಂದ, ಇದು Java NIO TCP ಮಲ್ಟಿಪ್ಲೆಕ್ಸ್ಡ್ ಪ್ರಾಕ್ಸಿ ಟನಲ್ ಅನ್ನು ಪ್ರಾರಂಭಿಸಲು ಸೂಚನೆಗಳನ್ನು ಪಡೆಯುತ್ತದೆ. ರಿಮೋಟ್ ಬೆದರಿಕೆ ನಟನ ಪರವಾಗಿ ಸೋಂಕಿತ ಸಾಧನದ ಮೂಲಕ ಅನಿಯಂತ್ರಿತ ದಟ್ಟಣೆಯನ್ನು ಮಾರ್ಗ ಮಾಡಲು ಸೇವೆಯು ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತದೆ.
ಗಾಗಾನೋಡ್
GaGaNode ವಸತಿ ಪ್ರಾಕ್ಸಿ ಆಪರೇಟರ್ IPCola ಮಾಲೀಕತ್ವದ ಮೊದಲ-ಪಕ್ಷದ SDK ಆಗಿದೆ. ಇದು TCP ಮೂಲಕ ಪ್ರಾಥಮಿಕ C2 ಸರ್ವರ್‌ಗೆ ಸಂಪರ್ಕಿಸುತ್ತದೆ ಮತ್ತು HTTP POST ಮೂಲಕ ಪ್ರತ್ಯೇಕ ಸರ್ವರ್‌ಗೆ ಹೃದಯ ಬಡಿತದ ಬೀಕನ್ ಡೇಟಾವನ್ನು ಕಳುಹಿಸುತ್ತದೆ. SDK ಎರಡೂ ತನ್ನದೇ ಆದ ಪ್ರಾಕ್ಸಿ ರಿಲೇ ಕಾರ್ಯವನ್ನು ಹೊಂದಿದೆ, ಮತ್ತು ಇದು ಅಂಗಸಂಸ್ಥೆಗಳಿಂದ ಹೆಚ್ಚುವರಿ ಪ್ರಾಕ್ಸಿ SDK ಗಳನ್ನು ಪ್ರಾರಂಭಿಸುತ್ತದೆ. C2 ಗೆ ಸಾಧನವನ್ನು ನೋಂದಾಯಿಸಿದ ನಂತರ, com.gaganode.sdk.node.endpoint.a ಪಡೆಯುತ್ತದೆ ರಿಲೇ ಸರ್ವರ್‌ಗಳಿಂದ ಒಳಬರುವ ಪ್ಯಾಕೆಟ್‌ಗಳು ಮತ್ತು ಕ್ಲೈಂಟ್‌ಗೆ ಅದರ ನಿರ್ಗಮನ ನೋಡ್ ಸಾಕೆಟ್ ಮೂಲಕ ಓದಲು ಮತ್ತು ಪ್ರಾಕ್ಸಿ ಮಾಡಲು ಅವುಗಳನ್ನು ಸರದಿಯಲ್ಲಿ ಇರಿಸುತ್ತದೆ. ಸೇವೆಯು ಬಹು ಪ್ರಾಕ್ಸಿ ಸೆಷನ್‌ಗಳನ್ನು ಏಕಕಾಲದಲ್ಲಿ ನಿರ್ವಹಿಸುತ್ತದೆ (ಕ್ಲೈಂಟ್‌ಗಳು ಎಂದು ಉಲ್ಲೇಖಿಸಲಾಗುತ್ತದೆ), ಮತ್ತು ಪ್ರತಿ ಕ್ಲೈಂಟ್ ಸಂದೇಶಗಳಿಗಾಗಿ ತನ್ನದೇ ಆದ tcp/udp ಕ್ಯೂ ಅನ್ನು ಹೊಂದಿರುತ್ತದೆ.
ನಾವು PopaNet/NetNut ಮತ್ತು EarnFM ಫ್ಲೀಟ್ ರೆಸಿಡೆನ್ಶಿಯಲ್ ಪ್ರಾಕ್ಸಿ SDKಗಳನ್ನು ಪ್ರಾರಂಭಿಸುವುದನ್ನು GaGaNode ಅನ್ನು ಗಮನಿಸುತ್ತೇವೆ. GaGaNode/IPCola ತನ್ನ SDK ಅನ್ನು ಮತ್ತಷ್ಟು ಹಣಗಳಿಸಲು ಸಾಧ್ಯವಾಗುತ್ತದೆ ಮತ್ತು ಈ ಅಂಗಸಂಸ್ಥೆಗಳಿಗೆ ಸೋಂಕಿತ ನಿರ್ಗಮನ ನೋಡ್‌ಗಳಿಗೆ ಪ್ರವೇಶವನ್ನು ನೀಡುತ್ತದೆ.
NetNut / Popanet
Popanet ಒಂದು ವಸತಿ ಪ್ರಾಕ್ಸಿ SDK ಆಗಿದ್ದು, ನೆಟ್‌ನಟ್, ವಸತಿ ಪ್ರಾಕ್ಸಿ ಆಪರೇಟರ್‌ನಿಂದ ಅಭಿವೃದ್ಧಿಪಡಿಸಲಾಗಿದೆ. GaGaNode ಮಾಡ್ಯೂಲ್ Popanet SDK ಅನ್ನು ಪ್ರಾರಂಭಿಸುತ್ತದೆ (io.popanet.Popa) ಈ ಮಾಲ್‌ವೇರ್ ನಮ್ಮಲ್ಲಿ ವಿವರಿಸಿರುವ ಮಾಲ್‌ವೇರ್‌ಗೆ ಹೋಲುತ್ತದೆ NetNut ನ ಹಿಂದಿನ ಅಡ್ಡಿ. ಎಲ್ಲಾ C2 ಮೂಲಸೌಕರ್ಯವನ್ನು Popanet ಮಾದರಿಗಳನ್ನು ಸಂಪರ್ಕಿಸಲಾಗಿದೆ x.cpe ಹಿಂದಿನ ನೆಟ್‌ನಟ್ ಅಡಚಣೆಯ ಭಾಗವಾಗಿ ತೆಗೆದುಹಾಕಲಾಯಿತು.
ಟ್ರಾಫ್ಮಾನೆಟೈಸರ್
ಟ್ರಾಫ್ಮಾನೆಟೈಜರ್ SDK ಅನ್ನು ಪ್ರಾಥಮಿಕ ಹಿನ್ನೆಲೆ ಸೇವೆಯೊಳಗೆ ಪ್ರಾರಂಭಿಸಲಾಗಿದೆ com.abc.nexus.service.CoreService. ಕೋರ್ ಸೇವೆ ಕಾರ್ಯಾಚರಣೆಯು IPC ಮೂಲಕ XCPE ಹಿಂಬಾಗಿಲಿನಿಂದ ಒದಗಿಸಲಾದ JSON ನೀತಿಯ ಲಭ್ಯತೆಯ ಮೇಲೆ ಅವಲಂಬಿತವಾಗಿರುತ್ತದೆ. Traffmonetizer SDK ಪ್ರಾರಂಭಿಕ ವಿಧಾನಗಳಿಗೆ ಕರೆ ಮಾಡುವ ಮೊದಲು, ಅಪ್ಲಿಕೇಶನ್ ಸ್ಥಳೀಯ ಲೈಬ್ರರಿಯಿಂದ Traffmonetizer SDK API ಕೀಯನ್ನು ಪಡೆಯುತ್ತದೆ libnative_keys.so ಅದನ್ನು ಕರೆಯುವ ಮೂಲಕ getTraffmonetizerKey() ಕಾರ್ಯ.
ಟ್ರಾಫ್ಮಾನೆಟೈಜರ್ ಕಾರ್ಯವನ್ನು ಎರಡು ಘಟಕಗಳ ನಡುವೆ ವಿಭಜಿಸಲಾಗಿದೆ, ಅಲ್ಲಿ Android SDK ರಾಜ್ಯ ಯಂತ್ರವಾಗಿ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತದೆ, ಇದು ಅಸಮಕಾಲಿಕ ಈವೆಂಟ್ ರವಾನೆದಾರರ ಮೂಲಕ ಸ್ಥಳೀಯ ಲೈಬ್ರರಿ ಕಾಲ್‌ಬ್ಯಾಕ್‌ಗಳನ್ನು ನಿರ್ವಹಿಸುತ್ತದೆ. ServiceBloc ಸ್ಥಳೀಯ ಕಾಲ್‌ಬ್ಯಾಕ್‌ಗಳಿಂದ ಸಂಪರ್ಕ ಸ್ಥಿತಿ ನವೀಕರಣಗಳನ್ನು ಮೇಲ್ವಿಚಾರಣೆ ಮಾಡುತ್ತದೆ ಮತ್ತು ConnectivityBloc Wi-Fi ಮತ್ತು ಮೊಬೈಲ್ ಡೇಟಾ ನೆಟ್ವರ್ಕ್ ಬದಲಾವಣೆಗಳನ್ನು ಮೇಲ್ವಿಚಾರಣೆ ಮಾಡುತ್ತದೆ.
ಟ್ರಾಫ್ಮಾನೆಟೈಜರ್ ಸ್ಥಳೀಯ ಲೈಬ್ರರಿ ಪ್ರಾರಂಭ ಮತ್ತು ಕಾನ್ಫಿಗರೇಶನ್ ಅನ್ನು ಕರೆ ಮಾಡುವ ಮೂಲಕ ಅನುಸರಿಸಲಾಗುತ್ತದೆ baseClientStart() ಇದು C2 ಸರ್ವರ್‌ಗೆ WebSocket ಸಂಪರ್ಕವನ್ನು ಸ್ಥಾಪಿಸುತ್ತದೆ. ಮಲ್ಟಿಪ್ಲೆಕ್ಸ್ ನಿಯಂತ್ರಣ ಸಂದೇಶಗಳು ಮತ್ತು ಸುರಂಗ ಸಂಪರ್ಕಗಳಿಗೆ (ಟಿಸಿಪಿ ಮತ್ತು ಯುಡಿಪಿ ಎರಡನ್ನೂ ಬೆಂಬಲಿಸುತ್ತದೆ) ಕಮಾಂಡ್ ಮತ್ತು ಕಂಟ್ರೋಲ್ ಸರ್ವರ್‌ಗೆ ಒಂದೇ ವೆಬ್‌ಸಾಕೆಟ್ (ಟಿಎಲ್‌ಎಸ್) ಸಂಪರ್ಕವನ್ನು ಟ್ರಾಫ್ಮಾನೆಟೈಜರ್ ಬಳಸುತ್ತದೆ. Traffmonetizer ಸಹ ಬ್ಯಾಂಡ್‌ವಿಡ್ತ್-ತೀವ್ರ ದಟ್ಟಣೆಯನ್ನು ಸುರಂಗ ಮಾಡಲು ನೋಡ್‌ಗಳನ್ನು ಅನುಮತಿಸುವ “ಕಂಟೆಂಟ್ ಡೆಲಿವರಿ” ಟನೆಲಿಂಗ್ ಅನ್ನು ಸಹ ಬೆಂಬಲಿಸುತ್ತದೆ.
EarnFM
EarnFM ಒಂದು ವಸತಿ ಪ್ರಾಕ್ಸಿ ಪೂರೈಕೆದಾರರಾಗಿದ್ದು, ಫ್ಲೀಟ್ SDK ಎಂಬುದು ಪೂರೈಕೆದಾರರ SDK ಆಗಿದ್ದು ಅದು ಪ್ರಾಕ್ಸಿ ನೆಟ್‌ವರ್ಕ್‌ಗೆ ನಿರ್ಗಮನ ನೋಡ್‌ಗಳಾಗಿ ಸಾಧನಗಳನ್ನು ದಾಖಲಿಸುತ್ತದೆ. ರಲ್ಲಿ com.abc.nexusFleetSDK ಅನ್ನು ಪ್ರಾರಂಭಿಸಲಾಗಿದೆ com.gaganode.sdk ಮೇಲೆ ತಿಳಿಸಿದಂತೆ. FleetSdk ನಂತರ ಸ್ಥಳೀಯ ಬೈನರಿಯನ್ನು ಲೋಡ್ ಮಾಡುತ್ತದೆ libfleetshare.so.
ಅನಿಯಂತ್ರಿತ ನೆಟ್ವರ್ಕ್ ಟ್ರಾಫಿಕ್ ಅನ್ನು ರೂಟಿಂಗ್ ಮಾಡಲು ಫ್ಲೀಟ್‌ಎಸ್‌ಡಿಕೆ ತನ್ನ ಪ್ರಾಥಮಿಕ C2 ಸರ್ವರ್‌ನೊಂದಿಗೆ ನಿರಂತರ ವೆಬ್‌ಸಾಕೆಟ್ ಸಂಪರ್ಕವನ್ನು ಸ್ಥಾಪಿಸುತ್ತದೆ. ಒಳಬರುವ ಕಾರ್ಯ ಚೌಕಟ್ಟುಗಳನ್ನು ವೆಬ್‌ಸಾಕೆಟ್ ಚಾನಲ್‌ನಲ್ಲಿ ಸ್ವೀಕರಿಸಲಾಗುತ್ತದೆ ಮತ್ತು ನಿರಂತರ ಲೂಪ್‌ನಲ್ಲಿ ಪ್ರಕ್ರಿಯೆಗೊಳಿಸಲಾಗುತ್ತದೆ. TCP ಮತ್ತು UDP ಎರಡಕ್ಕೂ ಬೆಂಬಲದೊಂದಿಗೆ ನಿರ್ದಿಷ್ಟ ರಿಮೋಟ್ ಹೋಸ್ಟ್‌ಗಳಿಗೆ ಸಂಪರ್ಕಿಸಲು ಡೀಮನ್‌ಗೆ ಸೂಚಿಸುವ ರಚನಾತ್ಮಕ JSON ಆಜ್ಞೆಗಳನ್ನು ಸಂದೇಶಗಳು ಒಳಗೊಂಡಿರುತ್ತವೆ.
ಬ್ಯಾಕ್‌ಡೋರ್ ಮಾಡ್ಯೂಲ್‌ಗಳು
ಸ್ಪಿರಿಟ್
ಸ್ಪಿರಿಟ್ ಒಂದು ಡೈನಾಮಿಕ್ ಕೋಡ್ ಲೋಡಿಂಗ್ ಹಿಂಬಾಗಿಲು. ಸ್ಪಿರಿಟ್ ಅನೇಕ ಹಂತಗಳನ್ನು ಬಳಸಿಕೊಳ್ಳುತ್ತದೆ. ಮೊದಲ ಹಂತದ ಪೇಲೋಡ್ ಸಾಧನದ ಮಾಹಿತಿಯನ್ನು (ಹಾರ್ಡ್‌ವೇರ್, ಆಪರೇಟಿಂಗ್ ಸಿಸ್ಟಮ್, ಮತ್ತು ತಯಾರಕ/ಬ್ರಾಂಡ್ ಮಾಹಿತಿ ಮತ್ತು ಜಿಯೋಲೊಕೇಶನ್) ಪಡೆಯುತ್ತದೆ, ಅದನ್ನು HTTP ಮೂಲಕ ಹಾರ್ಡ್‌ಕೋಡ್ ಮಾಡಿದ C2 ಸರ್ವರ್‌ಗೆ ಪೋಸ್ಟ್ ಮಾಡುತ್ತದೆ ಮತ್ತು ಸರ್ವರ್‌ನಿಂದ ಡೌನ್‌ಲೋಡ್ ಮಾಡಲು ಹೆಚ್ಚುವರಿ ಮಾಡ್ಯೂಲ್‌ಗಳ ಪಟ್ಟಿಯನ್ನು ಪಡೆಯುತ್ತದೆ. ಎರಡನೇ ಹಂತವು ಪ್ರತ್ಯೇಕ ಸರ್ವರ್‌ನೊಂದಿಗೆ ಸಂವಹನ ನಡೆಸುತ್ತದೆ ಮತ್ತು ಇದಕ್ಕಾಗಿ ಬಳಸಲಾಗುತ್ತದೆ ಕಾರ್ಯನಿರ್ವಹಣೆ, ಸಂರಚನಾ ಸಿಂಕ್, ಮಾಡ್ಯೂಲ್ ಮರುಪಡೆಯುವಿಕೆ, ಹೃದಯ ಬಡಿತಗಳು ಮತ್ತು ವರದಿ ಮಾಡುವಿಕೆ. ಈಗಾಗಲೇ ನೇರವಾಗಿ ಲೋಡ್ ಮಾಡಿರುವ ಕೆಲವು ಕುಟುಂಬಗಳು ಸೇರಿದಂತೆ, ಸ್ಪಿರಿಟ್ ಗಮನಾರ್ಹ ಪ್ರಮಾಣದ ಹೆಚ್ಚುವರಿ ಮಾಲ್‌ವೇರ್ ಹಣಗಳಿಕೆ ಮಾಡ್ಯೂಲ್‌ಗಳನ್ನು ಲೋಡ್ ಮಾಡುವುದನ್ನು ನಾವು ಗಮನಿಸಿದ್ದೇವೆ com.abc.nexus.
ಮೋಯು
Moyu ಬ್ಯಾಡ್‌ಬಾಕ್ಸ್ ಎಂಟರ್‌ಪ್ರೈಸ್‌ನ ಭಾಗವಾಗಿ ಹಿಂದೆ ಗಮನಿಸಲಾದ 3-ಹಂತದ ಹಿಂಬಾಗಿಲಾಗಿದೆ. ಆನ್ x.cpeಬ್ಯಾಕ್‌ಡೋರ್ಡ್ ಸಾಧನಗಳು, ಇದನ್ನು ಪ್ರಾರಂಭಿಸಿರುವುದನ್ನು ನಾವು ಗಮನಿಸಿದ್ದೇವೆ com.abc.nexus.service.DevourService. ಮೊದಲ ಹಂತವು ಆಫ್‌ಲೈನ್ ಡ್ರಾಪ್ಪರ್ ಆಗಿದ್ದು ಅದು ಎಂಬೆಡೆಡ್ ಎರಡನೇ ಹಂತವನ್ನು ಮರುನಿರ್ಮಾಣ ಮಾಡುತ್ತದೆ ಮತ್ತು ಲೋಡ್ ಮಾಡುತ್ತದೆ. ಮೂರನೇ ಹಂತವನ್ನು ಡೌನ್‌ಲೋಡ್ ಮಾಡಲು, ಡೀಕ್ರಿಪ್ಟ್ ಮಾಡಲು ಮತ್ತು ಲೋಡ್ ಮಾಡಲು ಎರಡು ಹಂತದ ಸಮೀಕ್ಷೆಗಳು C2 ಅನ್ನು ನವೀಕರಿಸಿ. ಮೂರು ಹಂತವು ಗುಪ್ತ ಡಬಲ್-ವೆಬ್ ವ್ಯೂ ಕ್ಲಿಕ್/ಪರಿವರ್ತನೆ ವಂಚನೆ, ನಿರಂತರ ಕ್ಲಿಪ್‌ಬೋರ್ಡ್ ಅಪಹರಣ, ಮತ್ತು ದ್ವಿತೀಯ ಕ್ರಿಯಾತ್ಮಕವಾಗಿ ಲೋಡ್ ಮಾಡಲಾದ JAR ಎಕ್ಸಿಕ್ಯೂಶನ್ ಮತ್ತು ಪ್ರತ್ಯೇಕ ವಸತಿ ಪ್ರಾಕ್ಸಿ ಟ್ರೋಜನ್‌ನೊಂದಿಗೆ ಹಿಂಬಾಗಿಲನ್ನು ಅಳವಡಿಸುತ್ತದೆ.
ಹಕ್ಕಿ
ಬರ್ಡ್ ಬ್ಯಾಡ್‌ಬಾಕ್ಸ್ ಎಂಟರ್‌ಪ್ರೈಸ್‌ಗೆ ಹಿಂದೆ ಕಟ್ಟಲಾದ 2-ಹಂತದ ಹಿಂಬಾಗಿಲು. ಹಂತ 1 ಅದರ C2 ಸರ್ವರ್‌ಗೆ ಸಾಧನ ಮತ್ತು ವಿಶ್ಲೇಷಣೆ-ಪರಿಸರ ಪ್ರೊಫೈಲ್ ಅನ್ನು ಬೀಕನ್ ಮಾಡುತ್ತದೆ ಮತ್ತು ಸರ್ವರ್ ಅನುಮೋದಿಸಿದಾಗ, ಡೌನ್‌ಲೋಡ್ ಮಾಡಿದಾಗ, ಡೀಕ್ರಿಪ್ಟ್ ಮಾಡಿದಾಗ ಮತ್ತು ಹಂತ 2 JAR ಅನ್ನು ಲೋಡ್ ಮಾಡುತ್ತದೆ. ಹಂತ 2 ಡೈನಾಮಿಕ್ ಕೋಡ್ ಲೋಡಿಂಗ್ ಹಿಂಬಾಗಿಲನ್ನು (ಎರಡು ಪ್ಲಗಿನ್ ಲೋಡರ್‌ಗಳು ಜೊತೆಗೆ C2-ಚಾಲಿತ ಪ್ರತಿಫಲಿತ ವಿಧಾನ ಇನ್‌ವೋಕರ್), ಪ್ರತ್ಯೇಕ ಡೌನ್‌ಲೋಡರ್ (ಮೂಕ APK ಸ್ಥಾಪನೆ ಮತ್ತು ಪ್ರವೇಶಿಸುವಿಕೆ-ಚಾಲಿತ Google Play ಸ್ಥಾಪನೆಗಳು) ಮತ್ತು ಜಾಹೀರಾತು ದುರ್ಬಳಕೆ (ಲಾಕ್‌ಸ್ಕ್ರೀನ್ ಜಾಹೀರಾತುಗಳು, ಓವರ್‌ಲೇಗಳು, ಬ್ರೌಸರ್ ಲಾಂಚ್‌ಗಳು) ಅನ್ನು ಅಳವಡಿಸುತ್ತದೆ.
ವಿದಳನ
ವಿದಳನವು ಡೈನಾಮಿಕ್ ಕೋಡ್ ಲೋಡಿಂಗ್ (DCL) ಬ್ಯಾಕ್‌ಡೋರ್ ಆಗಿದ್ದು, ಪ್ರಮಾಣಿತ ವೀಡಿಯೊ ಅಪ್ಲಿಕೇಶನ್‌ಗಳಲ್ಲಿ (ಉದಾ, com.newtv.cboxtv) ಪ್ರಾರಂಭದ ನಂತರ, ಮೊದಲ ಹಂತದ ಪ್ಲಗಿನ್ ಹೆಚ್ಚುವರಿ ಮಾಡ್ಯೂಲ್‌ಗಳನ್ನು ಡೌನ್‌ಲೋಡ್ ಮಾಡಲು ಅದರ C2 ಸರ್ವರ್ ಅನ್ನು ಸಂಪರ್ಕಿಸುತ್ತದೆ. ಡೀಕ್ರಿಪ್ಟ್ ಮಾಡಲಾದ ಎರಡನೇ ಹಂತದ ಪೇಲೋಡ್ C2 ನಿಂದ ಎಕ್ಸಿಕ್ಯೂಶನ್ ಗುರಿಗಳನ್ನು ಮತ್ತು ಟ್ರ್ಯಾಕಿಂಗ್ URL ಗಳನ್ನು ಪಡೆಯುತ್ತದೆ. ವಿನಂತಿಯು ಆಂತರಿಕದಿಂದ ಟ್ರ್ಯಾಕಿಂಗ್ ಮೆಟ್ರಿಕ್‌ಗಳೊಂದಿಗೆ ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡದ POST ವಿನಂತಿಯನ್ನು ಕಳುಹಿಸುತ್ತದೆ DeviceManager.
ನಾವು ಗಮನಿಸಿದ ಪೇಲೋಡ್ ಅನ್ನು ಜಾಹೀರಾತು ವಂಚನೆ ಮಾಡಲು ಕಾನ್ಫಿಗರ್ ಮಾಡಲಾಗಿದೆ. ಎ ನಲ್ಲಿ ಗೋಚರಿಸುವ ಜಾಹೀರಾತುಗಳನ್ನು ಸಲ್ಲಿಸುವ ಬದಲು WebView ಅಥವಾ UI ಘಟಕ, ಹಂತ 2 ಪ್ಲಗಿನ್ ಹಿನ್ನೆಲೆಯಲ್ಲಿ ತಲೆಬುರುಡೆಯಿಲ್ಲದೆ ಕಾರ್ಯಗತಗೊಳ್ಳುತ್ತದೆ. ಜಾಹೀರಾತು ಪ್ಲೇಸ್‌ಮೆಂಟ್ ಪ್ರತಿಕ್ರಿಯೆಗಳನ್ನು ಹಿಂಪಡೆಯಲು ಹಿನ್ನೆಲೆಯಲ್ಲಿ ಮಾಡ್ಯೂಲ್ ಜಾಹೀರಾತು ಸರ್ವರ್ ಅಂತ್ಯಬಿಂದುಗಳನ್ನು ಪ್ರಶ್ನಿಸುತ್ತದೆ, ಪ್ರಾಥಮಿಕ ಇಂಪ್ರೆಶನ್ ಬೀಕನ್‌ಗಳನ್ನು ಪಾರ್ಸ್ ಮಾಡುತ್ತದೆ (pvm) ಮತ್ತು ಮೂರನೇ ವ್ಯಕ್ತಿಯ ಟ್ರ್ಯಾಕಿಂಗ್ ಮಾನಿಟರ್ URL ಗಳು (pvtpm), ಮತ್ತು ಸೃಜನಾತ್ಮಕ ವಿಷಯವನ್ನು ಪ್ರದರ್ಶಿಸದೆ ನಕಲಿ ಜಾಹೀರಾತು ವೀಕ್ಷಣೆಯನ್ನು ನೋಂದಾಯಿಸಲು ಪ್ರತಿ ಟ್ರ್ಯಾಕಿಂಗ್ ಅಂತಿಮ ಬಿಂದುವಿಗೆ HTTP GET ವಿನಂತಿಗಳನ್ನು ತಕ್ಷಣವೇ ಹಾರಿಸುತ್ತದೆ. ನಿರ್ದಿಷ್ಟ ಸ್ಮಾರ್ಟ್-ಟಿವಿ ಅಪ್ಲಿಕೇಶನ್ ಸ್ಟೋರ್‌ಗಳಲ್ಲಿ ಕಾರ್ಯಗತಗೊಳಿಸುವಾಗ (com.changhong.appstore ಅಥವಾ com.tcl.appmarket2), ಪ್ಲಗಿನ್ ಸಿಂಥೆಟಿಕ್ ಜಾಹೀರಾತು ಎಕ್ಸ್‌ಪೋಶರ್‌ಗಳನ್ನು ವರದಿ ಮಾಡಲು ಜಾಹೀರಾತು SDK ಅನ್ನು ನೇರವಾಗಿ ಪ್ರಾರಂಭಿಸುತ್ತದೆ ಮತ್ತು ಪ್ರಚೋದಿಸುತ್ತದೆ.
