Техническая информация
Вредоносные функции:
Отправляет СМС-сообщения:
- 12114: dyl#####,####,6000076-1-1-rxun_rlys_1-2
- 106575206321505460: dyl#####,####,6000076-1-1-rxun_rlys_1-2
Загружает на исполнение код следующих детектируемых угроз:
- Android.SmsSpy.527.origin
- Android.Triada.155.origin
- Android.DownLoader.441.origin
- Android.SmsSend.1848.origin
Загружает из Интернета следующие детектируемые угрозы:
- Android.Backdoor.285.origin
Отправляет данные получаемых СМС-сообщений на удалённый хост.
Сетевая активность:
Подключается к:
- pus####.####.cn
- huangda####.com
- page####.####.info:8088
- d####.####.net
- p####.####.com
- p####.####.com:7820
- s####.####.com
- f####.####.cn:8090
- up####.####.info:6020
- page####.####.info
- f####.####.cn
- a####.####.com
- up####.####.info
Запросы HTTP GET:
- d####.####.net/update/plugin-release-v4.9.3.zip
- huangda####.com/active!activeLog.action?provider=####&clickId=####&manu=####&type=####&system=####&simid=####&v=####&smsc=####&et=####&imsi=####&imei=...
- s####.####.com/getconfig.aspx?
- f####.####.cn/getjar?cpid=####&packagename=####&ismi=####&version_code=####
- pus####.####.cn/czfiles/shangan-2017-51016-old5
- page####.####.info:8088/earth/enable?deviceid=####&version=####&imsi=####
- page####.####.info/earth/video/needshow2?channel=####
- huangda####.com/resource!resource?resTypes=####&appid=####&channel=####&simid=####&v=####&smsc=####&et=####&imsi=####&imei=####
- f####.####.cn:8090/getjar?cpid=####&packagename=####&ismi=####&version_code=####
- huangda####.com/apk!requestApkLog.action?provider=####&reqType=####&result=####&pushappid=####&pushappver=####&fromType=####&err=####&dexVer=####&appi...
- p####.####.com:7820/?igtcmd=####&nativePayCmd=####&iccid=####&price=####&imsi=####&imei=####&gameid=####&channel=####&payperiod=####&pointid=####
- pus####.####.cn/czfiles/youtou-2017
- p####.####.com/?igtcmd=####&nativePayCmd=####&iccid=####&price=####&imsi=####&imei=####&gameid=####&channel=####&payperiod=####&pointid=####
- p####.####.com/?igtcmd=####&iccid=####&imsi=####&imei=####&order=####&umeng=####&price=####&cpid=####&gameid=####&sdk=####&gamename=####&sdkpaypoint=#...
- huangda####.com/resource!chargeUpdate?resTypes=####&dexId=####&dexVer=####&appid=####&appVer=####&channel=####
- f####.####.cn/phoneget?cpid=####&ismi=####&calltime=####&callcount=####&smscount=####&appname=####&sign=####
- pus####.####.cn/czfiles/mysdk1702271330
- pus####.####.cn/czfiles/myadv-2017-nopermission
- f####.####.cn/getdata?cpid=####&packagename=####
Запросы HTTP POST:
- huangda####.com/resource!plugUpdate
- p####.####.com/
- up####.####.info:6020/
- up####.####.info/
- huangda####.com/shop/shop_upload_log
- a####.####.com/app_logs
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/Plugin/net.tt.plugin.yingmei/dalvik-cache/base-1.dex
- /data/data/####/Plugin/net.tt.plugin.yingmei/Signature/Signature_0.key
- /data/data/####/files/ijiami.dat
- /data/data/####/Plugin/net.tt.plugin.taiku/apk/base-1.apk
- /data/data/####/Plugin/net.tt.plugin.taiku/Signature/Signature_0.key
- /data/data/####/files/net.tt.plugin.yingmei.apk
- /data/data/####/files/mobclick_agent_cached_####
- /data/data/####/app_cache/ijiami.jar
- /data/data/####/Plugin/net.tt.plugin.taiku/dalvik-cache/base-1.dex
- /sdcard/gooogle/userid.cfg
- /data/data/####/Plugin/net.tt.plugin.yingmei/apk/base-1.apk
- /sdcard/com.zckj.files/u.apk
- /data/data/####/shared_prefs/mobclick_agent_state_####.xml
- /data/data/####/shared_prefs/userinfo_file.xml
- /data/data/####/shared_prefs/mobclick_agent_header_####.xml
- /data/data/####/shared_prefs/mobclick_agent_state_####.xml.bak
- /data/data/####/files/splash.dat
- /data/data/####/files/net.tt.plugin.taiku.apk
- /data/data/####/shared_prefs/game_state_file.xml
Присваивает атрибут 'исполняемый' для следующих файлов:
- /sdcard/gooogle/userid.cfg
Другие:
Использует специальную библиотеку для скрытия исполняемого байткода.
Может автоматически отправлять СМС-сообщения.
