Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.SkyMobi.6.origin
Сетевая активность:
Подключается к:
- s####.####.com
- l####.####.com:9820
- and####.####.com
- c####.####.com
- l####.####.com
- and####.####.com:8077
Запросы HTTP GET:
- s####.####.com/chksdkupdate.php?sdkver=####&compver=####&mainver=####&ch...
- s####.####.com/pickoverlay.php?chid=####&cpmeta=####&vercode=####&ovid=#...
- s####.####.com/getdomain.php?chid=####&subchid=####&cpmeta=####&type=###...
- c####.####.com/mainjarupdate/gamesdk/59810/empty102/102224/main.zip
- c####.####.com/vmupdate/pack/empty/empty/29000/vm_generic/102/-1/vm.zip
- s####.####.com/picksdkgame.php?chid=####&imei=####&imsi=####&vercode=###...
- s####.####.com/gensdkuser.php?chid=####&cpmeta=####&vercode=####&md5=###...
- and####.####.com/3rd-access-android/image/show.do?imageName=####
- s####.####.com/chksdkupdate.php?sdkver=####&compver=####&mainver=####&ex...
Запросы HTTP POST:
- l####.####.com:9820/chnlt/ltpay/pytstart.do
- l####.####.com/chnlt/ltpay/pytstart.do
- and####.####.com/payment-adv-mis/adv/payment/getAdvInfo.do
- and####.####.com:8077/android/sms/netpay/prefetch.do
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/app_workbench38140/apk.zip
- /sdcard/Android/data/com.skymobi.pay.app/zyfadv/c7a44900a7f1959b3eaf5a573371e8d3.img
- /data/data/####/.platformcache/tmp/vm/kxqpplatform.jar.tmp
- /data/media/obb/####/game_res/compVersion
- /data/data/####/app_workbench32614/apk.zip
- /data/data/####/.zmvmp_2190_603008/libzmvmpcls.2190.233603017.so
- /data/data/####/.zmvmp_2308_658218/libzmvmpcls.2308.233658250.so
- /data/data/####/shared_prefs/excl_lb_lbmain.xml
- /data/data/####/.zmvmp_2074_596355/classes.dex
- /data/data/####/.zmvmp_2308_658218/classes.dex
- /data/data/####/.zmvmp_2296_657841/libkxqpzmvmpinf.2296.233657841.so
- /sdcard/Android/data/com.skymobi.pay.app/zyfadv/response.data
- /data/data/####/shared_prefs/excl_lb_chInfo.xml
- /data/data/####/.platformcache/tmp/main/lib_main/tmp.rp2340
- /data/data/####/.platformcache/tmp/main/lib_main/tmp.ic2190
- /data/data/####/.platformcache/tmp/vm/lib/tmp.FP2296
- /data/data/####/shared_prefs/excl_lb_gameInfo.xml
- /data/data/####/shared_prefs/excl_lb_platform.xml.bak
- /sdcard/Android/data/com.skymobi.pay.app/zyfadv/ad4083923264a6583a716b0724d0b789.img
- /data/data/####/zyfadv/c7a44900a7f1959b3eaf5a573371e8d3.img
- /data/data/####/.zmvmp_2340_658995/libkxqpzmvmpinf.2340.233658995.so
- /data/data/####/.zmvmp_2207_603471/libzmvmpcls.2207.233603477.so
- /data/data/####/.zmvmp_2296_657841/libzmvmpcls.2296.233658041.so
- /data/data/####/.platformcache/tmp/main/main2.jar
- /data/data/####/shared_prefs/####_preferences.xml.bak
- /data/data/####/shared_prefs/excl_lb_soUpdate.xml
- /data/data/####/app_workbench98992/apk.zip
- /data/data/####/.zmvmp_2106_597150/classes.dex
- /data/data/####/.platformcache/lbextjartag
- /data/data/####/app_workbench93466/apk.zip
- /data/data/####/.platformcache/tmp/main/lib_main/tmp.Jp2207
- /data/data/####/shared_prefs/uuid.xml
- /data/data/####/.platformcache/tmp/main/lib_main/tmp.nM2207
- /data/data/####/shared_prefs/BOOT_SMS_SENT_TIME.xml
- /data/data/####/shared_prefs/excl_lb_kxqpChannal.xml
- /data/data/####/.platformcache/tmp/vm/lib/tmp.MM2296
- /data/data/####/shared_prefs/zhangpay_sms_info.xml
- /data/data/####/.zmvmp_2207_603471/classes.dex
- /sdcard/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.smspay.apk
- /data/data/####/.zmvmp_2308_658218/libkxqpzmvmpinf.2308.233658218.so
- /data/data/####/files/classes.dex
- /data/data/####/.zmvmp_2340_658995/classes.dex
- /data/data/####/.zmvmp_2296_657841/classes.dex
- /data/data/####/.zmvmp_2074_596355/libzmvmpcls.2074.233596361.so
- /data/data/####/apk/main.zip.dload
- /data/data/####/.platformcache/tmp/main/lib_main/tmp.EM2308
- /data/data/####/.platformcache/tmp/vm/lib/tmp.cP2296
- /sdcard/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.recordupload.apk
- /data/data/####/shared_prefs/appstartone.xml
- /data/data/####/databases/Data_sync.db-journal
- /data/data/####/.zmvmp_2340_658995/libzmvmpcls.2340.233659013.so
- /data/data/####/zyfadv/response.data
- /data/data/####/apk/vm.zip.dload
- /data/data/####/.zmvmp_2190_603008/libkxqpzmvmpinf.2190.233603008.so
- /data/data/####/shared_prefs/ACCOUNT_SYSTEM_ACCOUNT_INFO.xml
- /data/data/####/.zmvmp_2106_597150/libzmvmpcls.2106.233597164.so
- /data/data/####/shared_prefs/appstarttwo.xml
- /data/data/####/.platformcache/tmp/main/lib_main/tmp.Ra2308
- /data/data/####/shared_prefs/excl_lb_platform.xml
- /data/data/####/shared_prefs/####_preferences.xml
- /data/data/####/shared_prefs/BOOT_SMS_INFO.xml
- /sdcard/Android/data/com.skymobi.pay.newsdk/user.sys
- /data/data/####/databases/webview.db-journal
- /sdcard/com/android/system/uid.sys
- /data/data/####/shared_prefs/excl_lb_domain.xml
- /data/data/####/shared_prefs/zhangpay_share.xml.bak
- /data/data/####/shared_prefs/first.xml
- /data/data/####/shared_prefs/zhangpay_share.xml
- /data/data/####/.platformcache/tmp/main/lib_main/tmp.lT2340
- /data/data/####/.platformcache/tmp/main/lib_main/tmp.Ne2190
- /data/data/####/shared_prefs/excl_lb_userInfo.xml
- /data/data/####/.zmvmp_2074_596355/libkxqpzmvmpinf.2074.233596355.so
- /sdcard/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.main.apk
- /data/data/####/shared_prefs/excl_lb_updateInfo.xml
- /data/data/####/zyfadv/ad4083923264a6583a716b0724d0b789.img
- /data/data/####/shared_prefs/excl_lb_kxqp.xml
- /data/data/####/.zmvmp_2190_603008/classes.dex
- /data/media/obb/####/game_res/mainVersion
- /data/data/####/.zmvmp_2106_597150/libkxqpzmvmpinf.2106.233597150.so
- /data/data/####/app_workbench43666/apk.zip
- /data/data/####/shared_prefs/excl_lb_extractInfo.xml
- /data/data/####/databases/database-journal
- /sdcard/Android/data/com.lyhtgh.pay/plugins/com.lyhtgh.pay.ltplugin.apk
- /data/media/obb/####/game_res/conveying
- /data/data/####/.zmvmp_2207_603471/libkxqpzmvmpinf.2207.233603471.so
Присваивает атрибут 'исполняемый' для следующих файлов:
- /data/data/####/apk/vm.zip.dload
- /data/data/####/.platformcache/tmp/main/main2.jar
- /data/data/####/apk/main.zip.dload
Другие:
Запускает следующие shell-скрипты:
- chmod 777 /data/data/####/apk/vm.zip.dload
- chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.recordupload.apk
- chmod 777 /data/data/####/apk
- chmod 755 /data/data/####/.platformcache/tmp/vm/kxqpplatform.jar
- chmod 777 /data/data/####/apk/main.zip.dload
- chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.smspay.apk
- chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.main.apk
- chmod 755 /data/data/####/.platformcache/tmp/main/main2.jar
Использует специальную библиотеку для скрытия исполняемого байткода.
Может автоматически отправлять СМС-сообщения.
