Техническая информация
Вредоносные функции:
Отправляет СМС-сообщения:
- 15121150845: #2016#40042&70717&<IMSI>&<IMEI>&<ICCID>
Загружает на исполнение код следующих детектируемых угроз:
- Android.SkyMobi.6.origin
Сетевая активность:
Подключается к:
- l####.####.com:9820
- 1####.####.181:84
- c####.####.com
- w####.####.com
- and####.####.com
- l####.####.com
- m####.####.com
- 1####.####.181
Запросы HTTP GET:
- w####.####.com/r/378609775/378609778/index.htm?cm=####
- 1####.####.181:84/Interface/SdkUserInterface.aspx?imsi=####&imei=####&ic...
- w####.####.com/r/378609775/index.htm?cm=####
- w####.####.com/r/p/lyxy.jsp?ln=####&t1=####&cm=####
- 1####.####.181/InterFace/GatherSdkInterface.aspx?code=####
- 1####.####.181/InterFace/ServerInterFace.aspx?code=####
- m####.####.com/course/504703.html?cm=####
- and####.####.com/3rd-access-android/image/show.do?imageName=####
- w####.####.com/r/p/index.jsp?vt=####&cm=####
Запросы HTTP POST:
- l####.####.com/chnlt/ltpay/pytstart.do
- l####.####.com:9820/chnlt/ltpay/pytstart.do
- and####.####.com/android/sms/netpay/prefetch.do
- c####.####.com/client/api/uploadStartUpInfo.do
- and####.####.com/record-plat/msg/strategy/query.do
- and####.####.com/record-plat/seq/query.do
- and####.####.com/payment-adv-mis/adv/payment/getAdvInfo.do
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/zyfadv/response.data
- <Package Folder>/shared_prefs/IsSecondEx.xml
- <Package Folder>/shared_prefs/plugin_record_app_info.xml
- <Package Folder>/shared_prefs/appstartone.xml
- <Package Folder>/databases/Data_sync.db-journal
- <Package Folder>/shared_prefs/IsSecondEx.xml.bak
- <Package Folder>/files/playerData
- <Package Folder>/zyfadv/c7a44900a7f1959b3eaf5a573371e8d3.img
- <Package Folder>/shared_prefs/appstarttwo.xml
- <Package Folder>/files/classes.dex
- <Package Folder>/app_lyhtgh/plugins/com.lyhtgh.pay.ltplugin.apk
- <Package Folder>/shared_prefs/pref_recomm.xml.bak
- <Package Folder>/shared_prefs/BOOT_SMS_INFO.xml
- <Package Folder>/shared_prefs/ysec.xml
- <Package Folder>/shared_prefs/sdktype.xml
- <Package Folder>/shared_prefs/uuid.xml
- <Package Folder>/shared_prefs/ACCOUNT_SYSTEM_ACCOUNT_INFO.xml
- <Package Folder>/app_workbench95166/apk.zip
- <Package Folder>/.cache/version
- <Package Folder>/shared_prefs/out.xml
- <Package Folder>/app_workbench00692/apk.zip
- <Package Folder>/files/sec.lck
- <Package Folder>/shared_prefs/pref_recomm.xml
- <Package Folder>/shared_prefs/InitTag.xml
- <Package Folder>/app_workbench06218/apk.zip
- <Package Folder>/shared_prefs/BOOT_SMS_SENT_TIME.xml
- <Package Folder>/zyfadv/ad4083923264a6583a716b0724d0b789.img
Другие:
Запускает следующие shell-скрипты:
- chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.main.data
- chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.smspay.data
- <dexopt>
- chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.recordupload.data
Использует специальную библиотеку для скрытия исполняемого байткода.
Может автоматически отправлять СМС-сообщения.
