Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.456.origin
- Android.DownLoader.205.origin
Загружает из Интернета следующие детектируемые угрозы:
- Android.DownLoader.456.origin
- Android.DownLoader.205.origin
Сетевая активность:
Подключается к:
- ad####.####.cn
- k####.####.cn
- c####.####.net
- s####.####.cn
- a####.####.com:38080
- a####.####.com
Запросы HTTP GET:
- ad####.####.cn/sdk/signlib/lib_v1.0.4.zip
- ad####.####.cn/sdk/hlpt/lib_v1.0.36.zip
- ad####.####.cn/pangzi/2016/3/4/14570724148315350/01D51DEE6C55E580DBCF27D...
- ad####.####.cn/sdk/ggpt/service/lib_v3.0.18.zip
Запросы HTTP POST:
- a####.####.com/CD382781B46D648D05B8C219784B4DD1
- c####.####.net/config/update
- a####.####.com/8018DAF55F3FB325C0EF07F6C62DC787
- c####.####.net/dc/sync_adr
- k####.####.cn/FA193DF6DFDF511DCB16AEA4AA91E793
- s####.####.cn/702619E220213D3BFE64AC4C86FBECF1
- a####.####.com:38080/70F5024058DC2E24DFD61302050EEED3
- a####.####.com/30ECC166BD4D761A98AADF5167E0E46E
- s####.####.cn/70F5024058DC2E24DFD61302050EEED3
- k####.####.cn/F6EA80A604B90C1AFFF602C719787160
- k####.####.cn/702619E220213D3BFE64AC4C86FBECF1
- a####.####.com/70F5024058DC2E24DFD61302050EEED3
- a####.####.com/app_logs
- s####.####.cn/F6EA80A604B90C1AFFF602C719787160
- a####.####.com/F24303512B08C2D0918EAC8F8649AC2C
- s####.####.cn/FA193DF6DFDF511DCB16AEA4AA91E793
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/shared_prefs/admainlib.xml
- /sdcard/sys2/01D51DEE6C55E580DBCF27DB4AF7F02C_41_28.jpg.tmp
- /data/data/####/databases/bb_new.db-journal
- /data/data/####/databases/dl_old.db
- /data/data/####/files/JARD_-576242986.zip
- /data/data/####/databases/dtad_old.db
- /data/data/####/databases/dl_old.db-journal
- /data/data/####/files/JARD_-715821129.zip
- /data/data/####/shared_prefs/dc.BBF1B3828A8106FDF6F83FFB7EA6FCB0.preferences.xml
- /data/data/####/shared_prefs/lib_names_new.xml
- /data/data/####/databases/ab_new.db-journal
- /data/data/####/shared_prefs/umeng_general_config.xml
- /data/data/####/files/.umeng/exchangeIdentity.json
- /sdcard/lysy/images/journal.tmp
- /data/data/####/files/.imprint
- /data/data/####/files/JNID_632735223.so
- /data/data/####/tx_shell/libshella-0.0.2.so
- /sdcard/.SystemService/BBF1B3828A8106FDF6F83FFB7EA6FCB0/uid
- /data/data/####/files/JARD_1808590725.zip
- /data/data/####/shared_prefs/admainlib_new.xml.bak
- /data/data/####/databases/ab_new.db
- /sdcard/.SystemService/BBF1B3828A8106FDF6F83FFB7EA6FCB0/.account/2D7F07BB6125DEB407E92A22DC4AC550
- /data/data/####/databases/bb_new.db
- /data/data/####/databases/dtad_old.db-journal
- /data/data/####/databases/dataeye_database_BBF1B3828A8106FDF6F83FFB7EA6FCB0.db-journal
- /data/data/####/shared_prefs/shared_lib_info_new.xml
- /data/data/####/shared_prefs/lib_names.xml
- /data/data/####/files/JNID_1591301928.so
- /data/data/####/files/umeng_it.cache
- /data/data/####/files/JARD_1241507723.zip
- /data/data/####/shared_prefs/admainlib.xml.bak
- /data/data/####/shared_prefs/admainlib_new.xml
- /data/data/####/shared_prefs/inslib.xml
- /sdcard/lysy/prop/config.ini
- /data/data/####/files/JNID_-721579148.so
- /data/data/####/databases/dataeye_database_BBF1B3828A8106FDF6F83FFB7EA6FCB0.db
- /data/data/####/files/JNID_362399865.so
- /data/data/####/shared_prefs/shared_lib_info.xml
Присваивает атрибут 'исполняемый' для следующих файлов:
- /data/data/####/tx_shell/libshella-0.0.2.so
Другие:
Запускает следующие shell-скрипты:
- /system/bin/dexopt --dex 27 65 40 284396 /data/data/####/files/JARD_-576242986.zip 1199862728 -578898658 45 /system/framework/core.jar /system/framework/core-junit.jar /system/framework/bouncycastle.jar /system/framework/ext.jar /sy
- chmod 700 /data/data/####/tx_shell/libshella-0.0.2.so
- getprop ro.build.version.release
- getprop ro.build.version.sdk
- ls -l /vendor/bin/su
- /system/bin/sh
- /system/bin/dexopt --dex 27 46 40 284440 /data/data/####/files/JARD_1808590725.zip 1198820292 -6907021 45 /system/framework/core.jar /system/framework/core-junit.jar /system/framework/bouncycastle.jar /system/framework/ext.jar /syst
- /system/bin/dexopt --dex 27 55 40 175168 /data/data/####/files/JARD_1241507723.zip 1198357444 1555969659 45 /system/framework/core.jar /system/framework/core-junit.jar /system/framework/bouncycastle.jar /system/framework/ext.jar /sy
- ls -l /system/sbin/su
- ls -l /sbin/su
- ls -l /system/xbin/su
- ls -l /system/bin/su
- /system/bin/dexopt --dex 27 66 40 251488 /data/data/####/files/JARD_-715821129.zip 1225822252 -1816468986 45 /system/framework/core.jar /system/framework/core-junit.jar /system/framework/bouncycastle.jar /system/framework/ext.jar /s
Использует специальную библиотеку для скрытия исполняемого байткода.
Может автоматически отправлять СМС-сообщения.
