Android.SmsSend.16420

Техническая информация

Вредоносные функции:

Отправляет СМС-сообщения:

15995160313: #2016#40051&88522&####&####&####

Сетевая активность:

Подключается к:

1####.####.181:83
and####.####.com
w####.####.com
1####.####.181
d####.####.net
and####.####.com:8077

Запросы HTTP GET:

d####.####.net/apkf/3rdapk2/M00/01/A9/wKhklVaxarmAY7oLAAGew4Nsm_s737.apk
1####.####.181/NewInterface/calc2.aspx?code=####
d####.####.net/apkf/3rdapk2/M01/0F/82/wKhklFiFe92AE1NeAAQYN1n4N4Q886.apk
d####.####.net/apkf/3rdapk2/M00/02/CA/wKhklFcsNaiAAJnOAARvS9T3oS8756.apk
1####.####.181/InterFace/MdoProvince.aspx?item=####&packagecode=####&imsi=####&imei=####&iccid=####
1####.####.181/InterFace/GatherSdkInterface.aspx?code=####
1####.####.181/InterFace/ServerInterFace.aspx?code=####
w####.####.com/r/p/index.jsp?vt=####&cm=####
1####.####.181:83/InterFace/GatherSdkInterface.aspx?code=####

Запросы HTTP POST:

and####.####.com/query-plat/cap/query.do
and####.####.com:8077/query-plat/cap/query.do
and####.####.com/android/sms/netpay/prefetch.do

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/shared_prefs/CrashTimes.xml
/data/data/####/.cache/version
/data/data/####/app_workbench04738/apk.zip
/data/data/####/app_workbench32288/apk.zip
/data/data/####/app_workbench26762/apk.zip
/data/data/####/files/sec.lck
/data/data/####/app_workbench93380/apk.zip
/sdcard/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.smspay.new.data
/sdcard/Android/data/com.skymobi.pay.newsdk/files_sms/plugins/com.newpay.spsdk.smspay.yummysdk.new.apk
/data/data/####/files_main/key_AppPluginCapInfo
/data/data/####/shared_prefs/sdktype.xml
/data/data/####/shared_prefs/IsSecondEx.xml
/data/data/####/shared_prefs/BOOT_SMS_SENT_TIME.xml
/data/data/####/files/crashlog/log1485418953354
/data/data/####/shared_prefs/mainplugin_query.xml
/data/data/####/app_workbench10184/apk.zip
/data/data/####/files_main/key_ServerPluginInfo
/data/data/####/databases/Data_sync.db-journal
/sdcard/Android/data/com.skymobi.pay.newsdk/files_sms/plugins/com.newpay.spsdk.smspay.yummysdk.new.apk.temp
/sdcard/Android/data/com.skymobi.pay.newsdk/files_main/key_ServerPluginInfo
/data/data/####/shared_prefs/ACCOUNT_SYSTEM_ACCOUNT_INFO.xml
/sdcard/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.smspay.data
/data/data/####/app_workbench10264/apk.zip
/data/data/####/shared_prefs/out.xml
/data/data/####/shared_prefs/BOOT_SMS_INFO.xml
/sdcard/Android/data/com.skymobi.pay.newsdk/user.sys
/data/data/####/app_workbench98906/apk.zip
/data/data/####/files/libnesec.so
/data/data/####/shared_prefs/plugin_record_app_info.xml
/data/data/####/shared_prefs/IsSecondEx.xml.bak
/data/data/####/files/libabc
/sdcard/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.main.data
/sdcard/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.recordupload.data
/data/data/####/shared_prefs/ysec.xml
/data/data/####/shared_prefs/pref_recomm.xml
/sdcard/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.smspay.new.data.temp
/data/data/####/shared_prefs/mdo.xml

Другие:

Запускает следующие shell-скрипты:

chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.main.data
logcat -d -v threadtime
chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.recordupload.data
chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.smspay.data

Использует специальную библиотеку для скрытия исполняемого байткода.

Может автоматически отправлять СМС-сообщения.