Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Xiny.72.origin
- Android.Xiny.90.origin
- Android.Loki.15.origin
- Android.Xiny.164.origin
- Android.Backdoor.336.origin
- Android.Xiny.73.origin
- Android.Xiny.166.origin
Загружает из Интернета следующие детектируемые угрозы:
- Android.Backdoor.336.origin
Сетевая активность:
Подключается к:
- t####.####.com
- we####.com:8081
- g####.####.com
- faceboo####.link
- woo####.com:7077
- pingsta####.####.com
- we####.com
- p####.####.com
- ip####.io
- l####.####.net
- d####.####.com
- e####.####.com
- and####.####.com
- quede####.com
- a####.####.plus
- p####.####.com:3090
- 1####.####.198
- m####.####.com
- a####.####.com
Запросы HTTP GET:
- quede####.com/99Q12/OjkYdA/Ljpd/KjdMJ2k/eHIafDNiK1N-ulas0aXWWjGkEszX8e0B...
- a####.####.com/mediation/config?&publisher_id=####&slot_id=####&app_id=#...
- a####.####.com/c/d
- pingsta####.####.com/mediation/config?&publisher_id=####&slot_id=####&ap...
- d####.####.com/thinking/group/rtt0319_662.apk
- quede####.com/99Q12/Ljpd/ID5N/eHIafDNiK1N-ulas0aXWWjGkEszX8e0Bi1iEcqOBRB...
- faceboo####.link/c/da57dc555e50572d?s1=####&s2=####&s3=####&click_id=####
- a####.####.com/v3/api/nativeads?&publisherid=####&slotid=####&lang=####&...
- 1####.####.198/admin201506/uploadApkFile/rt/20170408/env201704081550.data
- a####.####.com/pull/top_offer?gaid=####&id=####
- ip####.io/json
- a####.####.plus/api/getADConfig?app_key=####&duid=####&sdk_version=####&...
- e####.####.com/thinking/group/exp
- pingsta####.####.com/v3/api/nativeads?&publisherid=####&slotid=####&lang...
- faceboo####.link/c/679efeecdc3b4d07?&ijykJHsadL5=####&click_id=####&s1=#...
Запросы HTTP POST:
- a####.####.com/app_logs
- we####.com/sm/sr/ku/ky
- a####.####.com/offerview/info/920
- and####.####.com/rqd/async
- woo####.com:7077/sdk/nsd.action?b=####
- t####.####.com/ggview/rsddateindex
- g####.####.com/pilot/api/300102
- a####.####.com/subscribe/api/1997
- l####.####.net/gkview/info/600
- p####.####.com:3090/PlutoServer/app/getplugin/
- m####.####.com/errorview/api/601
- a####.####.com/oversea_adjust_and_download_write_redis/notify/download/app
- p####.####.com/PlutoServer/app/appinit/
- we####.com:8081/sm/sr/rt/ry
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/databases/cc.db-journal
- /data/data/####/shared_prefs/SSPPrefe.xml
- /data/data/####/shared_prefs/Alvin2.xml
- /data/data/####/databases/cc.db
- /sdcard/test
- /data/data/####/files/83bf46f2b4e35a0f9c967cd01d154a8.data
- /data/data/####/cache/webviewCacheChromium/data_2
- /data/data/####/cache/webviewCacheChromium/data_1
- /data/data/####/cache/webviewCacheChromium/data_0
- /data/data/####/files/.snow/myshell
- /data/data/####/shared_prefs/umeng_general_config.xml
- /data/data/####/files/.umeng/exchangeIdentity.json
- /data/data/####/tx_shell/libshella-2.10.1.so
- /data/data/####/shared_prefs/20160218.xml.bak
- /data/data/####/files/.work/postroot.sh
- /data/data/####/files/200/1001/110011Copy.data
- /data/data/####/files/.snow/.zip/rt8
- /data/data/####/files/exid.dat
- /data/data/####/databases/webview.db-journal
- /data/data/####/shared_prefs/META_INFO.xml.bak
- /data/data/####/shared_prefs/au.xml
- /data/data/####/files/mljfqgy/libtyljVHYmxseqkTXrdynamicloader.so
- /data/data/####/shared_prefs/ContextData.xml
- /data/data/####/files/.pluto_lib/ab506f17f29f8f71a1eadc4e1487ddd0/pluto.apk
- /data/data/####/shared_prefs/share_data.xml
- /data/data/####/cache/webviewCacheChromium/index
- /data/data/####/files/.snow/.dico.apk
- /data/data/####/cache/webviewCacheChromium/data_3
- /data/data/####/files/.snow/.service
- /sdcard/.windy/508e8558f784e3a21d3368e4763e2693.dat
- /data/data/####/files/.snow/b.png
- /data/data/####/files/mljfqgy/libONFskLKydMoxwGhxbt.so
- /data/data/####/files/.snow/.ir
- /data/data/####/shared_prefs/com.monetiseguys.adsdk.preference.xml
- /data/data/####/files/.snow/checkFile0
- /data/data/####/shared_prefs/Q2hhbm5lbElES2V5MjAxNjEyMjcxODU3.xml
- /data/data/####/cache/tomb.zip
- /sdcard/.UTSystemConfig/Global/Alvin2.xml
- /data/data/####/files/100/1003/59436413.apk
- /data/data/####/app_bugly/tomb_1485416449561.txt
- /data/data/####/databases/webviewCookiesChromium.db
- /data/data/####/files/.snow/.center.tapk
- /data/data/####/files/.snow/exp
- /data/data/####/shared_prefs/20160121.xml
- /data/data/####/files/.snow/.dlme.apk
- /data/data/####/files/umeng_it.cache
- /data/data/####/files/.snow/.catr.apk
- /data/data/####/files/security_info
- /data/data/####/files/.snow/.ukd
- /data/data/####/files/local_crash_lock
- /data/data/####/files/native_record_lock
- /sdcard/.windy/508e8558f784e3a21d3368e4763e2693.tmp
- /data/data/####/files/.snow/.uks
- /data/data/####/shared_prefs/META_INFO.xml
- /data/data/####/databases/ua.db
- /sdcard/.pluto_data/ab506f17f29f8f71a1eadc4e1487ddd0/client.id
- /data/data/####/files/.snow/.dlsb.apk
- /data/data/####/shared_prefs/20160218.xml
- /data/data/####/files/tyljVHYmxseqkTXrdynamicloader.jar
- /data/data/####/files/200/1001/170126074049283.apk
- /data/data/####/files/200/1001/2017032117911
- /data/data/####/databases/ReminderDatabase-journal
- /data/data/####/files/native_service
- /data/data/####/files/.snow/.zip/rsh
- /data/data/####/files/libIBfirGFNXAGlAQdybootstrap.so
- /data/data/####/files/mljfqgy/libRfkmuJfBXinLQYAgzxc.so
- /data/data/####/files/.default/83bf46f2b4e35a0f9c967cd01d154a8.data.temp
- /data/data/####/files/.snow/a.xml
- /data/data/####/tx_shell/libufix.so
- /data/data/####/mix.dex
- /data/data/####/files/.snow/.zip/r4
- /data/data/####/files/.snow/.zip/r1
- /data/data/####/files/.snow/.zip/r3
- /data/data/####/files/.snow/.zip/r2
- /data/data/####/databases/ua.db-journal
- /data/data/####/tx_shell/libnfix.so
- /data/data/####/app_bugly/tomb_148541648263.txt
- /data/data/####/files/.snow/.client
- /sdcard/.DataStorage/ContextData.xml
- /data/data/####/files/100/1001/1485416461379.apk
- /data/data/####/files/.imprint
- /data/data/####/shared_prefs/IMDPREF.xml
- /data/data/####/databases/bdownloaders.db-journal
- /data/data/####/files/mljfqgy/libqJLkRjYvImNmbdVMlala.so
- /data/data/####/files/.snow/checkFile13
- /data/data/####/app_DEX_OPT/59436413.dex
- /data/data/####/databases/swith1014.db-journal
- /data/data/####/files/100/1003/env201704081550.data
- /data/data/####/shared_prefs/####_preferences.xml.bak
- /data/data/####/shared_prefs/umeng_general_config.xml.bak
- /data/data/####/databases/bugly_db_legu-journal
- /data/data/####/files/.snow/.uok
- /data/data/####/shared_prefs/com.monetiseguys.adsdk.preference.xml.bak
- /data/data/####/files/.snow/.dg
- /data/data/####/files/.snow/.zip/mkdevsh
Присваивает атрибут 'исполняемый' для следующих файлов:
- /data/data/####/tx_shell/libufix.so
- /data/data/####/files/.snow/.dg
- /data/data/####/files/.snow/.zip/r4
- /data/data/####/files/.snow/.zip/r1
- /data/data/####/files/.snow/.service
- /data/data/####/files/.snow/.zip/r3
- /data/data/####/files/.snow/.zip/r2
- /data/data/####/files/.snow/b.png
- /data/data/####/tx_shell/libnfix.so
- /data/data/####/app_bugly/tomb_148541648263.txt
- /data/data/####/files/.snow/myshell
- /data/data/####/files/.snow/.ir
- /data/data/####/tx_shell/libshella-2.10.1.so
- /data/data/####/app_bugly/tomb_1485416449561.txt
- /data/data/####/files/.snow/.client
- /data/data/####/files/.snow/.zip/rt8
- /data/data/####/files/native_service
- /data/data/####/files/.snow/.zip/rsh
- /data/data/####/files/.snow/exp
- /data/data/####/files/.snow/.catr.apk
- /data/data/####/files/.snow/a.xml
- /data/data/####/files/.snow/.ukd
- /data/data/####/files/.snow/.uok
- /data/data/####/files/.work/postroot.sh
- /data/data/####/files/.snow/.zip/mkdevsh
- /data/data/####/files/.snow/.uks
Другие:
Запускает следующие shell-скрипты:
- sh
- blkid_xehm_stop -c id
- blkid_xehm_stop
Использует специальную библиотеку для скрытия исполняемого байткода.
Может автоматически отправлять СМС-сообщения.
