Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Loki.15.origin
Сетевая активность:
Подключается к:
- g####.####.com
- aexcep####.####.com:8012
- ip####.io
- p####.####.com
- aexcep####.####.com
- l####.####.net
- a####.####.plus
- and####.####.com
- p####.####.com:3090
- a####.####.com
Запросы HTTP GET:
- a####.####.plus/api/getADConfig?app_key=####&duid=####&sdk_version=####&gaid=####&sub=####&vs=####
- a####.####.com/c/d
- a####.####.com/pull/top_offer?gaid=####&id=####
- a####.####.com/v3/api/nativeads?&publisherid=####&slotid=####&lang=####×tamp=####&platform=####&osv=####&dpi=####&tzone=####&aid=####&orientation...
- ip####.io/json
- a####.####.com/mediation/config?&publisher_id=####&slot_id=####&app_id=####&platform=####&aid=####&language=####&version_code=####&osv=####&app_name=#...
Запросы HTTP POST:
- a####.####.com/offerview/info/920
- and####.####.com/rqd/async
- g####.####.com/pilot/api/300102
- aexcep####.####.com/rqd/async
- a####.####.com/subscribe/api/1997
- l####.####.net/gkview/info/600
- p####.####.com:3090/PlutoServer/app/getplugin/
- a####.####.com/app_logs
- p####.####.com/PlutoServer/app/appinit/
- aexcep####.####.com:8012/rqd/async
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/tx_shell/libufix.so
- /data/data/####/files/jymbkry/libBEeIkylSiomJCMMwdynamicloader.so
- /data/data/####/databases/cc.db-journal
- /data/data/####/shared_prefs/SSPPrefe.xml
- /data/data/####/files/jymbkry/libqQCsEctjZlalDSKYzxc.so
- /data/data/####/databases/ua.db
- /sdcard/.pluto_data/a5065d9725435eca9b04c5fa7adf906c/client.id
- /data/data/####/mix.dex
- /data/data/####/shared_prefs/com.monetiseguys.adsdk.preference.xml.bak
- /data/data/####/app_bugly/tomb_1485418428938.txt
- /data/data/####/shared_prefs/Alvin2.xml
- /data/data/####/databases/cc.db
- /data/data/####/files/BEeIkylSiomJCMMwdynamicloader.jar
- /data/data/####/cache/webviewCacheChromium/data_3
- /data/data/####/cache/webviewCacheChromium/data_2
- /data/data/####/cache/webviewCacheChromium/data_1
- /data/data/####/cache/webviewCacheChromium/data_0
- /data/data/####/databases/ua.db-journal
- /data/data/####/app_bugly/rqd_record.eup
- /data/data/####/databases/webviewCookiesChromium.db-journal
- /data/data/####/tx_shell/libnfix.so
- /data/data/####/databases/ReminderDatabase.mirror
- /data/data/####/files/libZdbdnPOTIAnTJreGbootstrap.so
- /data/data/####/shared_prefs/com.monetiseguys.adsdk.preference.xml
- /data/data/####/shared_prefs/umeng_general_config.xml
- /data/data/####/files/.umeng/exchangeIdentity.json
- /data/data/####/databases/ua.db.mirror
- /data/data/####/files/.imprint
- /sdcard/.UTSystemConfig/Global/Alvin2.xml
- /data/data/####/tx_shell/libshella-2.10.1.so
- /data/data/####/shared_prefs/ContextData.xml
- /data/data/####/cache/tomb.zip
- /sdcard/.DataStorage/ContextData.xml
- /data/data/####/shared_prefs/####_preferences.xml
- /data/data/####/databases/webviewCookiesChromium.db.mirror
- /data/data/####/files/exid.dat
- /data/data/####/databases/webview.db-journal
- /data/data/####/files/jymbkry/libfUxRhKvWaPpegEZElala.so
- /data/data/####/databases/webview.db.mirror
- /data/data/####/app_bugly/tomb_1485418450516.txt
- /data/data/####/databases/ReminderDatabase-journal
- /data/data/####/files/umeng_it.cache
- /data/data/####/shared_prefs/META_INFO.xml.bak
- /data/data/####/files/security_info
- /data/data/####/shared_prefs/umeng_general_config.xml.bak
- /data/data/####/databases/bugly_db_legu-journal
- /data/data/####/databases/bugly_db_legu.mirror
- /data/data/####/files/jymbkry/libMutkgkxsohgXtLizbt.so
- /data/data/####/shared_prefs/IMDPREF.xml
- /data/data/####/files/local_crash_lock
- /data/data/####/files/.pluto_lib/a5065d9725435eca9b04c5fa7adf906c/pluto.apk
- /data/data/####/shared_prefs/META_INFO.xml
- /data/data/####/files/native_record_lock
- /data/data/####/cache/webviewCacheChromium/index
- /data/data/####/databases/cc.db.mirror
Присваивает атрибут 'исполняемый' для следующих файлов:
- /data/data/####/tx_shell/libufix.so
- /data/data/####/app_bugly/tomb_1485418428938.txt
- /data/data/####/tx_shell/libshella-2.10.1.so
- /data/data/####/tx_shell/libnfix.so
- /data/data/####/app_bugly/tomb_1485418450516.txt
Другие:
Использует специальную библиотеку для скрытия исполняемого байткода.
Может автоматически отправлять СМС-сообщения.
