Android.Packed.23280

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Android.SkyMobi.6.origin
Android.SkyMobi.6.origin
Android.SkyMobi.6.origin

Загружает из Интернета следующие детектируемые угрозы:

Android.SkyMobi.6.origin
Android.SkyMobi.6.origin
Android.SkyMobi.6.origin

Сетевая активность:

Подключается к:

and####.####.com

Запросы HTTP GET:

and####.####.com/3rd-access-android/image/show.do?imageName=####

Изменения в файловой системе:

Создает следующие файлы:

<Package Folder>/SkyAdver_file/LatestPushIndex
<Package Folder>/SkyAdver_file/NextReqInterval
<Package Folder>/SkyAdver_file/NotifyBarAdvResponse
<Package Folder>/SkyAdver_file/PushDataReciveTime
<Package Folder>/SkyAdver_file/PushDataServerTime
<Package Folder>/app_workbench33164/apk.zip
<Package Folder>/app_workbench38690/apk.zip
<Package Folder>/app_workbench44216/apk.zip
<Package Folder>/app_workbench66160/apk.zip
<Package Folder>/app_workbench71686/apk.zip
<Package Folder>/app_workbench77212/apk.zip
<Package Folder>/app_workbench82898/apk.zip
<Package Folder>/app_workbench88424/apk.zip
<Package Folder>/app_workbench94016/apk.zip
<Package Folder>/databases/Data_sync.db-journal
<Package Folder>/files/classes.dex
<Package Folder>/files/libexec.so
<Package Folder>/files/libexecmain.so
<Package Folder>/shared_prefs/3db355750bea842d8ee0cece950aa5ecd|account_file.xml
<Package Folder>/shared_prefs/paypush_preference.xml
<Package Folder>/shared_prefs/pref_file.xml
<Package Folder>/shared_prefs/pref_file.xml.bak
<Package Folder>/shared_prefs/td_pefercen_profile.xml
<Package Folder>/shared_prefs/tdid.xml
<Package Folder>/zyfadv/ad4083923264a6583a716b0724d0b789.img
<Package Folder>/zyfadv/c7a44900a7f1959b3eaf5a573371e8d3.img
<Package Folder>/zyfadv/response.data
<SD-Card>/.tcookieid
<SD-Card>/Android/####/LatestPushIndex
<SD-Card>/Android/####/NextReqInterval
<SD-Card>/Android/####/NotifyBarAdvResponse
<SD-Card>/Android/####/PushDataReciveTime
<SD-Card>/Android/####/PushDataServerTime
<SD-Card>/Android/####/ad4083923264a6583a716b0724d0b789.img
<SD-Card>/Android/####/c7a44900a7f1959b3eaf5a573371e8d3.img
<SD-Card>/Android/####/com.skymobi.pay.plugin.advert.apk
<SD-Card>/Android/####/com.skymobi.pay.plugin.main.apk
<SD-Card>/Android/####/com.skymobi.pay.plugin.push.apk
<SD-Card>/Android/####/com.skymobi.pay.plugin.recordupload.apk
<SD-Card>/Android/####/com.skymobi.pay.plugin.smspay.apk
<SD-Card>/Android/####/response.data
<SD-Card>/Android/####/sharemem_push.lock

Другие:

Запускает следующие shell-скрипты:

<dexopt>
chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.advert.apk
chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.main.apk
chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.push.apk
chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.recordupload.apk
chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.smspay.apk
getprop ro.product.cpu.abi

Использует специальную библиотеку для скрытия исполняемого байткода.