Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.155.origin
Сетевая активность:
Подключается к:
- bosb####.####.com
- 6####.####.140
- i####.####.com
Запросы HTTP GET:
- i####.####.com/ando-res/ads/30/14/f15541de-b7bd-4ff9-97fb-9e6cc9e4e044/0...
- 6####.####.140/ando/i/mon?k=####&d=####
- i####.####.com/ando-res/ads/13/23/bc4dd2ed-0d19-49bd-ad99-f8d032103d54/c...
- i####.####.com/ando-res/m/hQFsvuTOjQG2grLU8T2VCshw4jkuJadBny-GDQ
- i####.####.com/ando-res/ads/18/19/da964672-e0f2-4f69-a63b-cea979b9a721/8...
- i####.####.com/ando-res/ads/3/2/eff3c843-7d88-43f5-8d7e-c94c4a29226a/e1c...
- i####.####.com/ando-res/ads/4/5/d73ab4a4-4c75-43a7-a3c9-5bdabd9437c8/b53...
- i####.####.com/ando-res/ads/18/19/da964672-e0f2-4f69-a63b-cea979b9a721/7...
- i####.####.com/ando-res/m/pdEeeeSMxFc4Pj1c-bdIkZ0qk6HBiFe76oxdY-RIRAlRlR...
- bosb####.####.com/v1/baitong/upload/file/source/58d8e9bdd9591.jpg?author...
- i####.####.com/ando-res/ads/30/2/be3c8c5e-393d-4a34-bb98-c526a69eb12c/e2...
- i####.####.com/ando-res/ads/8/27/672cdb68-a1ba-438c-843e-9f6da452d844/ad...
- i####.####.com/ando-res/ads/4/13/293849a4-7aca-4da7-b323-b28c6fe00079/ae...
- i####.####.com/ando-res/ads/4/5/d73ab4a4-4c75-43a7-a3c9-5bdabd9437c8/c21...
Запросы HTTP POST:
- 6####.####.140/ando/x/req?app_id=####&r=####
- 6####.####.140/ando/x/liv?app_id=f78a7a7a-b33c-424b-9cf0-8bc2ee50a68c&r=...
- 6####.####.140/ando/x/lis?app_id=####&r=####
Дропперы:
Был загружен на исполнение следующими детектируемыми угрозами:
- Android.Packed.17674
- Android.Packed.18677
- Android.DownLoader.1867
- Android.Packed.18833
- Android.SmsSend.15582
- Android.SmsSend.16326
- Android.SmsSend.15602
- Android.SmsSend.14598
- Android.SmsSend.15588
- Android.SmsSend.15619
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/files/wpUkvUNSBkRZldvKQ47ukOY1AcZUjcH9xA7Ljw==/mXKoAjABm1o5TKM49cpwaA==/runner_info.prop
- /data/data/####/files/wpUkvUNSBkRZldvKQ47ukOY1AcZUjcH9xA7Ljw==/KooVrmclnZxDD3BodBEzDw==.new
- /data/data/####/files/rdata.new
- /data/data/####/files/aU5u28RlejafXYXn4PvvJboqFCTaHePzypl9JQ==_files/7LzREHdbYHfLRqjixAU-nA==/18dKS0jKFXXF6HalFwWP1otR11A=.new
- /data/data/####/databases/aU5u28RlejafXYXn4PvvJboqFCTaHePzypl9JQ==_IfA5zrCeJmOszcIVbmLR0Q0qfrU=-journal
- /data/data/####/files/aU5u28RlejafXYXn4PvvJboqFCTaHePzypl9JQ==_files/7LzREHdbYHfLRqjixAU-nA==/mVvgii1DEl9l1kxIWAqVug==.new
- /data/data/####/files/wpUkvUNSBkRZldvKQ47ukOY1AcZUjcH9xA7Ljw==/67FrdcF4gl2hImERCnpAug==.new
- /data/data/####/files/aU5u28RlejafXYXn4PvvJboqFCTaHePzypl9JQ==_files/7LzREHdbYHfLRqjixAU-nA==/aIlmnYpau4Dwtcl-UOzy2w==.new
- /data/data/####/files/aU5u28RlejafXYXn4PvvJboqFCTaHePzypl9JQ==_files/7LzREHdbYHfLRqjixAU-nA==/55tF9Nps4lZ76vqEHg3Pf1EB3WQ=
- /data/data/####/files/aU5u28RlejafXYXn4PvvJboqFCTaHePzypl9JQ==_files/7LzREHdbYHfLRqjixAU-nA==/KTHsZhJWzEFNBlLm_B-luDzTjU8=.new
- /data/data/####/files/aU5u28RlejafXYXn4PvvJboqFCTaHePzypl9JQ==_xkfiN3_4EM409j0N_app/7LzREHdbYHfLRqjixAU-nA==/LHJVS5V6IE08lkWcApMjQr4VRPGTojNC.new
- /data/data/####/files/rdata
- /data/data/####/files/wpUkvUNSBkRZldvKQ47ukOY1AcZUjcH9xA7Ljw==/JVaTQGITMa03tmx_ut5nBA==/n2-lXTPq9At8Dxrw
- /data/data/####/files/wpUkvUNSBkRZldvKQ47ukOY1AcZUjcH9xA7Ljw==/HHka6VDE1KK1YJbeg5U37Q==/57CSXG4AkRf8mBYZ.zip
- /sdcard/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/data/####/files/aU5u28RlejafXYXn4PvvJboqFCTaHePzypl9JQ==_files/6dniG6OpPXbWC4fJMIWVMg==/DapT0cBicj31Ukwa-g2Kz6FfvSqZIAQL.new
- /data/data/####/databases/aU5u28RlejafXYXn4PvvJboqFCTaHePzypl9JQ==_whdlajBHvEBYYBqfvXBnKg==-journal
- /sdcard/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/data/####/files/wpUkvUNSBkRZldvKQ47ukOY1AcZUjcH9xA7Ljw==/JVaTQGITMa03tmx_ut5nBA==/eOaNAKS7ZFL-EL5m7K1DVQ==
- /data/data/####/files/hrfaxq_d/hrfaxq_f.zip
- /data/data/####/files/wpUkvUNSBkRZldvKQ47ukOY1AcZUjcH9xA7Ljw==/4-VSeCZREsaRFz3NzRR72Q==/data.dat.tmp
- /data/data/####/files/j_wf_ZeToNlsdwpThIBrQQ==/riDsjWQxsa4mD8OS_8cpB3v5UYY=
Другие:
Запускает следующие shell-скрипты:
- /data/data/####/code-7855974/98yrN6pnyVgK_kW9 #### com.gmkerqw.fjskd.bgrfxa.a.a.c.b /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M /storage/emulated/0/Download/ladung
- dumpsys meminfo
- cat /data/anr/traces.txt
- procrank
Может автоматически отправлять СМС-сообщения.
