Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.BackDoor.312
- Android.Backdoor.547.origin
Загружает из Интернета следующие детектируемые угрозы:
- Android.BackDoor.325
Сетевая активность:
Подключается к:
- 1####.####.71
- c####.####.com
- m####.####.net:5688
- 1####.####.71:9500
- j####.####.com
- c####.####.net
- r####.####.com
- m####.####.net
- up####.####.com:8900
- j####.####.com:20000
- a####.####.com
Запросы HTTP GET:
- r####.####.com/ads/pri/b4844bf032ed438686c8edde6b5d989b.apk
- r####.####.com/ads/img/8237c9d203e845d5bd4d0750c9713744.png
- r####.####.com/ads/img/8cf5a50d93284eb2b0a95e06eec637e8.jpg
- r####.####.com/ads/img/36871e05b15f44e9b229bce19ce5ba93.png
- r####.####.com/ads/img/24bae5abb30640a2a0889761ea2f2e29.png
- r####.####.com/ads/img/35a063a8123a49219d0c1d5327bb7530.png
Запросы HTTP POST:
- c####.####.net/config/update
- 1####.####.71/
- c####.####.net/dc/sync_adr
- m####.####.net:5688/
- 1####.####.71:9500/
- c####.####.com/show.aspx?Key=####
- up####.####.com:8900/
- a####.####.com/app_logs
- j####.####.com:20000/
- m####.####.net/
- j####.####.com/
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/databases/MF_CFG-journal
- <Package Folder>/shared_prefs/initdata.xml
- <Package Folder>/files/libexecmain.so
- <Package Folder>/files/myfvu.jar
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/files/libexec.so
Другие:
Запускает следующие shell-скрипты:
- ls -l /system/sbin/su
- cat /sys/block/mmcblk0/device/cid
- ls -l /vendor/bin/su
- sh
- getprop ro.product.cpu.abi
- /system/bin/sh
- chmod 777 <Package Folder>/files/look
- ls -l /sbin/su
- ls -l /system/xbin/su
- ls -l /system/bin/su
- <dexopt>
Использует специальную библиотеку для скрытия исполняемого байткода.
Может автоматически отправлять СМС-сообщения.
