Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.RemoteCode.32
Отправляет данные получаемых СМС-сообщений на удалённый хост.
Сетевая активность:
Подключается к:
- 2####.####.69:806
- i####.####.cn
- p####.####.com
- collec####.####.com
Запросы HTTP GET:
- i####.####.cn/iplookup/iplookup.php?format=####
- 2####.####.69:806/GetAdvAuthentication?imei=####&iccid=####&province=####&pkgname=####&cpid=####&isdemo=####&iswosdk=####&versioncode=####
Запросы HTTP POST:
- collec####.####.com/pay-data-collect/collectAppBehavioralData.json
- p####.####.com/tmpay/initv2
- p####.####.com/tmpay/newaccountv2
- p####.####.com/tmpay/initlist
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/app_skypay_newsdk/plugins/com.skymobi.pay.plugin.main.apk
- /sdcard/sylog/170126_080429.log
- /data/data/####/files/OriginBoot/.jar/OriginClasses.jar
- /sdcard/sylog/170126_080426.log
- /sdcard/sylog/170126_080352.log
- /sdcard/sylog/170126_080353.log
- /data/data/####/shared_prefs/6704_546_37285_1580.xml
- /data/data/####/shared_prefs/shellinit.xml
- /data/data/####/databases/google_analytics_v2.db-journal
- /sdcard/sylog/170126_080411.log
- /data/data/####/databases/webview.db-journal
- /sdcard/sylog/170126_080425.log
- /data/data/####/files/gaClientId
- /sdcard/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.main.apk
Другие:
Запускает следующие shell-скрипты:
- chmod 666 /data/data/####/app_skypay_newsdk/plugins/com.skymobi.pay.plugin.main.apk
- chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.main.apk
- cat /proc/version
Может автоматически отправлять СМС-сообщения.
