Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Loki.15.origin
- Android.Xiny.73.origin
- Android.Xiny.90.origin
Сетевая активность:
Подключается к:
- we####.com:8081
- 4####.####.126
- woo####.com:7077
- and####.####.com
- p####.####.com
- p####.####.com:3090
- a####.####.com
Запросы HTTP GET:
- 4####.####.126/admin201506/uploadApkFile/20170322/790201206.png
Запросы HTTP POST:
- we####.com:8081/sm/sr/rt/ry
- and####.####.com/rqd/async
- woo####.com:7077/sdk/nsd.action?b=####
- p####.####.com:3090/PlutoServer/app/appinit/
- p####.####.com/PlutoServer/app/getplugin/
- a####.####.com/app_logs
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/tx_shell/libufix.so
- /data/data/####/files/jymbkry/libBEeIkylSiomJCMMwdynamicloader.so
- /data/data/####/databases/cc.db-journal
- /data/data/####/shared_prefs/SSPPrefe.xml
- /data/data/####/files/jymbkry/libqQCsEctjZlalDSKYzxc.so
- /data/data/####/shared_prefs/20160218.xml.bak
- /data/data/####/databases/ua.db
- /sdcard/.pluto_data/a5065d9725435eca9b04c5fa7adf906c/client.id
- /data/data/####/mix.dex
- /data/data/####/databases/bugly_db_legu
- /data/data/####/shared_prefs/Alvin2.xml
- /data/data/####/databases/cc.db
- /sdcard/test
- /data/data/####/files/BEeIkylSiomJCMMwdynamicloader.jar
- /data/data/####/databases/ua.db-journal
- /data/data/####/app_bugly/rqd_record.eup
- /data/data/####/tx_shell/libnfix.so
- /data/data/####/databases/ReminderDatabase.mirror
- /data/data/####/files/libZdbdnPOTIAnTJreGbootstrap.so
- /data/data/####/app_bugly/tomb_1485423414151.txt
- /data/data/####/app_bugly/tomb_1485423393705.txt
- /data/data/####/shared_prefs/20160218.xml
- /data/data/####/shared_prefs/umeng_general_config.xml
- /data/data/####/shared_prefs/Q2hhbm5lbElES2V5MjAxNjEyMjcxODU3.xml
- /data/data/####/databases/swith1014.db.mirror
- /data/data/####/files/.umeng/exchangeIdentity.json
- /data/data/####/databases/ua.db.mirror
- /data/data/####/files/.imprint
- /sdcard/.UTSystemConfig/Global/Alvin2.xml
- /data/data/####/tx_shell/libshella-2.10.1.so
- /data/data/####/databases/bdownloaders.db.mirror
- /data/data/####/shared_prefs/ContextData.xml
- /data/data/####/databases/bdownloaders.db-journal
- /data/data/####/files/200/1001/2017032117911
- /data/data/####/files/100/1001/1485423403619.apk
- /data/data/####/cache/tomb.zip
- /data/data/####/files/200/1001/110011Copy.data
- /sdcard/.DataStorage/ContextData.xml
- /data/data/####/files/exid.dat
- /data/data/####/databases/webview.db-journal
- /data/data/####/files/native_service
- /data/data/####/databases/swith1014.db-journal
- /data/data/####/shared_prefs/20160121.xml
- /data/data/####/shared_prefs/duspf6030945.xml
- /data/data/####/databases/webview.db.mirror
- /sdcard/APPMarket/AdvSDK/ICON/admin201506/uploadApkFile/20170322/790201206.png.tmp
- /data/data/####/databases/ReminderDatabase-journal
- /data/data/####/files/umeng_it.cache
- /data/data/####/files/security_info
- /data/data/####/shared_prefs/au.xml
- /data/data/####/files/200/1001/170126093628072.apk
- /data/data/####/databases/bugly_db_legu.mirror
- /data/data/####/files/jymbkry/libMutkgkxsohgXtLizbt.so
- /data/data/####/shared_prefs/IMDPREF.xml
- /data/data/####/databases/bugly_db_legu-journal
- /data/data/####/files/local_crash_lock
- /data/data/####/files/.pluto_lib/a5065d9725435eca9b04c5fa7adf906c/pluto.apk
- /data/data/####/app_bugly/tomb_1485423388168.txt
- /data/data/####/files/native_record_lock
- /data/data/####/files/jymbkry/libfUxRhKvWaPpegEZElala.so
- /data/data/####/databases/cc.db.mirror
Присваивает атрибут 'исполняемый' для следующих файлов:
- /data/data/####/tx_shell/libufix.so
- /data/data/####/tx_shell/libnfix.so
- /data/data/####/app_bugly/tomb_1485423393705.txt
- /data/data/####/app_bugly/tomb_1485423414151.txt
- /data/data/####/files/native_service
- /data/data/####/tx_shell/libshella-2.10.1.so
- /data/data/####/app_bugly/tomb_1485423388168.txt
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- chmod 700 /data/data/####/tx_shell/libshella-2.10.1.so
- chmod 700 /data/data/####/tx_shell/libnfix.so
- chmod 700 /data/data/####/tx_shell/libufix.so
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c type su
- /system/bin/sh -c getprop ro.build.rom.id
Использует специальную библиотеку для скрытия исполняемого байткода.
Может автоматически отправлять СМС-сообщения.
