Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.343.origin
Загружает из Интернета следующие детектируемые угрозы:
- Android.DownLoader.343.origin
Сетевая активность:
Подключается к:
- b####.com
- j####.####.cn
- ope####.####.cn
- sh####.####.com
Запросы HTTP GET:
- b####.com/
- ope####.####.cn/index/d/sid/3204933
- sh####.####.com/170512/e88785f54cc0751d82afb1389cafedfd/com.qcleaner_22....
Запросы HTTP POST:
- j####.####.cn/app/init
Изменения в файловой системе:
Создает следующие файлы:
- /data/anr/traces.txt
- <Package Folder>/.lib/libexec.so
- <Package Folder>/.lib/libexecmain.so
- <Package Folder>/cache/####/702495827283569880
- <Package Folder>/cache/####/8945847571479238573
- <Package Folder>/databases/COMKEKOGAMESSPEEDCARRACEP-journal
- <Package Folder>/databases/downmodel.db-journal
- <Package Folder>/databases/dxt_yx_sdk-journal
- <Package Folder>/databases/epxompbe.ec-journal
- <Package Folder>/databases/gmodel.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/files/__pasys_remote_banner.tmp.jar
- <Package Folder>/shared_prefs/.xml
- <Package Folder>/shared_prefs/INITSP.xml
- <Package Folder>/shared_prefs/hengshu.xml
- <Package Folder>/shared_prefs/keySP.xml
- <Package Folder>/shared_prefs/xngle.xml
- <Package Folder>/xzygbs.t
- <SD-Card>/Android/####/closeMatter
- <SD-Card>/Android/####/gwjqfmwpdzkxaqfq.jar
- <SD-Card>/Android/####/kopoetfteivornpad.jar
- <SD-Card>/Android/####/lmark
- <SD-Card>/Android/####/loadimg
- <SD-Card>/Android/####/notiicon
- <SD-Card>/Android/####/remote_
- <SD-Card>/Android/####/rmark
- <SD-Card>/Android/####/t<Package>
- <SD-Card>/Android/####/tb_jiance
- <SD-Card>/Android/####/tb_zy
- <SD-Card>/Android/####/transparent
- <SD-Card>/Android/####/xnigr
- <SD-Card>/Android/####/xnigr.jar
- <SD-Card>/Android/####/xnuhtpeecwxojskwsybqc.jar
- <SD-Card>/Android/####/xzygbs
- <SD-Card>/Android/####/yrpdsivohmnmciqwabnuozl.jar
- <SD-Card>/Download/ooa001.jar
- <SD-Card>/bifvnokxqwoizkxjzyy.jar
- <SD-Card>/system.ini
Другие:
Запускает следующие shell-скрипты:
- /data/data/com.kekoGames.speedCarRace/xzygbs -p com.kekoGames.speedCarRace -r am start --user 0 -n com.kekoGames.speedCarRace/cqzd.csq.jei.degr -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2100
- /data/data/com.kekoGames.speedCarRace/xzygbs -p com.kekoGames.speedCarRace -r am start --user 0 -n com.kekoGames.speedCarRace/cqzd.csq.jei.degr -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2144
- /data/data/com.kekoGames.speedCarRace/xzygbs -p com.kekoGames.speedCarRace -r am start --user 0 -n com.kekoGames.speedCarRace/cqzd.csq.jei.degr -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2187
- /data/data/com.kekoGames.speedCarRace/xzygbs -p com.kekoGames.speedCarRace -r am start --user 0 -n com.kekoGames.speedCarRace/cqzd.csq.jei.degr -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2238
- /data/data/com.kekoGames.speedCarRace/xzygbs -p com.kekoGames.speedCarRace -r am start --user 0 -n com.kekoGames.speedCarRace/cqzd.csq.jei.degr -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2404
- <dexopt>
- chmod 604 /storage/emulated/0/Android/data/<Package>
- chmod 604 /storage/emulated/0/Android/data/com.kekoGames.speedCarRace
- chmod 705 /data/data/com.kekoGames.speedCarRace/files
- chmod 705 <Package Folder>/files
- chmod 777 /data/data/com.kekoGames.speedCarRace/xzygbs
- chmod 777 <Package Folder>/xzygbs
- getprop ro.product.cpu.abi
- sh <Package Folder>/xzygbs -p <Package> -r am start --user 0 -n <Package>/cqzd.csq.jei.degr -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2100
- sh <Package Folder>/xzygbs -p <Package> -r am start --user 0 -n <Package>/cqzd.csq.jei.degr -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2144
- sh <Package Folder>/xzygbs -p <Package> -r am start --user 0 -n <Package>/cqzd.csq.jei.degr -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2187
- sh <Package Folder>/xzygbs -p <Package> -r am start --user 0 -n <Package>/cqzd.csq.jei.degr -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2238
- sh <Package Folder>/xzygbs -p <Package> -r am start --user 0 -n <Package>/cqzd.csq.jei.degr -a zbaidu -h http://127.0.0.1:7123/report/allData -i 2404
Использует специальную библиотеку для скрытия исполняемого байткода.
