Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.255.origin
- Android.DownLoader.343.origin
Загружает из Интернета следующие детектируемые угрозы:
- Android.DownLoader.255.origin
- Android.DownLoader.343.origin
Сетевая активность:
Подключается к:
- j####.####.cn
Запросы HTTP POST:
- j####.####.cn/app/init
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.lib/libexec.so
- <Package Folder>/.lib/libexecmain.so
- <Package Folder>/cache/####/646368540-1866955315
- <Package Folder>/databases/downmodel.db-journal
- <Package Folder>/files/yxsdk.jar
- <Package Folder>/shared_prefs/keySP.xml
- <Package Folder>/shared_prefs/xngle.xml
- <Package Folder>/xzygbs.t
- <SD-Card>/Android/####/closeMatter
- <SD-Card>/Android/####/cthijxzfcheyiudcttticuzkl.jar
- <SD-Card>/Android/####/enldaplcfkrtpclgrcnfhlnbyhx.jar
- <SD-Card>/Android/####/fxazurldonokrgolqqmarszk.jar
- <SD-Card>/Android/####/hflkhqkcdwkuxqwzemumdozqcf.jar
- <SD-Card>/Android/####/lmark
- <SD-Card>/Android/####/loadimg
- <SD-Card>/Android/####/lroedasqhrhojjxjlqdxtspfputqa.jar
- <SD-Card>/Android/####/mzsvrwwansaxupppfjbjtg.jar
- <SD-Card>/Android/####/notiicon
- <SD-Card>/Android/####/rmark
- <SD-Card>/Android/####/tb_jiance
- <SD-Card>/Android/####/tb_zy
- <SD-Card>/Android/####/transparent
- <SD-Card>/Android/####/xnigr
- <SD-Card>/Android/####/xnigr.jar
- <SD-Card>/Android/####/xuaedmcvpwcodpihsdpacbj.jar
- <SD-Card>/Android/####/xzygbs
- <SD-Card>/Android/####/ympdjwttjvrcxcklysxrczjrawib.jar
- <SD-Card>/Android/####/ypmavwxkcgloekzuvciaadxxivlrzl.jar
- <SD-Card>/jjmvejozfxrpcgetbhnlxa.jar
Другие:
Запускает следующие shell-скрипты:
- /data/data/com.kekoGames.speedCarRace/xzygbs -p com.kekoGames.speedCarRace -r am start --user 0 -n com.kekoGames.speedCarRace/qqnds.akorm.i.k -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2097
- /data/data/com.kekoGames.speedCarRace/xzygbs -p com.kekoGames.speedCarRace -r am start --user 0 -n com.kekoGames.speedCarRace/qqnds.akorm.i.k -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2142
- /data/data/com.kekoGames.speedCarRace/xzygbs -p com.kekoGames.speedCarRace -r am start --user 0 -n com.kekoGames.speedCarRace/qqnds.akorm.i.k -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2186
- /data/data/com.kekoGames.speedCarRace/xzygbs -p com.kekoGames.speedCarRace -r am start --user 0 -n com.kekoGames.speedCarRace/qqnds.akorm.i.k -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2263
- /data/data/com.kekoGames.speedCarRace/xzygbs -p com.kekoGames.speedCarRace -r am start --user 0 -n com.kekoGames.speedCarRace/qqnds.akorm.i.k -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2307
- /data/data/com.kekoGames.speedCarRace/xzygbs -p com.kekoGames.speedCarRace -r am start --user 0 -n com.kekoGames.speedCarRace/qqnds.akorm.i.k -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2351
- /data/data/com.kekoGames.speedCarRace/xzygbs -p com.kekoGames.speedCarRace -r am start --user 0 -n com.kekoGames.speedCarRace/qqnds.akorm.i.k -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2395
- /data/data/com.kekoGames.speedCarRace/xzygbs -p com.kekoGames.speedCarRace -r am start --user 0 -n com.kekoGames.speedCarRace/qqnds.akorm.i.k -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2439
- /data/data/com.kekoGames.speedCarRace/xzygbs -p com.kekoGames.speedCarRace -r am start --user 0 -n com.kekoGames.speedCarRace/qqnds.akorm.i.k -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2483
- /data/data/com.kekoGames.speedCarRace/xzygbs -p com.kekoGames.speedCarRace -r am start --user 0 -n com.kekoGames.speedCarRace/qqnds.akorm.i.k -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2529
- <dexopt>
- chmod 777 /data/data/com.kekoGames.speedCarRace/xzygbs
- chmod 777 <Package Folder>/xzygbs
- getprop ro.product.cpu.abi
- sh <Package Folder>/xzygbs -p <Package> -r am start --user 0 -n <Package>/qqnds.akorm.i.k -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2097
- sh <Package Folder>/xzygbs -p <Package> -r am start --user 0 -n <Package>/qqnds.akorm.i.k -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2142
- sh <Package Folder>/xzygbs -p <Package> -r am start --user 0 -n <Package>/qqnds.akorm.i.k -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2186
- sh <Package Folder>/xzygbs -p <Package> -r am start --user 0 -n <Package>/qqnds.akorm.i.k -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2263
- sh <Package Folder>/xzygbs -p <Package> -r am start --user 0 -n <Package>/qqnds.akorm.i.k -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2307
- sh <Package Folder>/xzygbs -p <Package> -r am start --user 0 -n <Package>/qqnds.akorm.i.k -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2351
- sh <Package Folder>/xzygbs -p <Package> -r am start --user 0 -n <Package>/qqnds.akorm.i.k -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2395
- sh <Package Folder>/xzygbs -p <Package> -r am start --user 0 -n <Package>/qqnds.akorm.i.k -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2439
- sh <Package Folder>/xzygbs -p <Package> -r am start --user 0 -n <Package>/qqnds.akorm.i.k -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2483
- sh <Package Folder>/xzygbs -p <Package> -r am start --user 0 -n <Package>/qqnds.akorm.i.k -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2529
Использует специальную библиотеку для скрытия исполняемого байткода.
