Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.532.origin
Загружает из Интернета следующие детектируемые угрозы:
- Android.DownLoader.532.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony)
Сетевая активность:
Подключается к:
- 2####.####.226
- a####.####.com
- d####.####.com
- game####.com
- m####.####.com
- pl####.####.com
- s####.####.com
- s####.####.net
- sc####.####.com
- u####.####.com
Запросы HTTP GET:
- 2####.####.226/start1.apk
- a####.####.com/mpapi/ad?model=####&fomat=####&mcc=####&os_v=####&directi...
- a####.####.com/strategy/api/v1/rule/get?p=####&hp=####&l=####&c=####&pro...
- d####.####.com/M01/01/AA/CvJJDVjknR2ALwDPAASOPCpAQTQ233.dex
- game####.com/SDKManager/cpa/downloadlink.php?country=####&packageName=####
- game####.com/mars18/control.json
- sc####.####.com/v1/scheme/app?model=####&mcc=####&os_v=####&direction=##...
- u####.####.com/setting/grobal_strategy?p=####&hp=####&l=####&c=####&prod...
Запросы HTTP POST:
- m####.####.com/detail/getOfferListNew?enc=####
- pl####.####.com/ad_dex.php
- s####.####.com/cgi-bin-py/ad_sdk.cgi?ty=####&enc=####&bt=####
- s####.####.net/async/dc/app20
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.mbj/####/classes.zip
- <Package Folder>/.mbj/####/update.zip
- <Package Folder>/databases/adblib.db-journal
- <Package Folder>/databases/data.db
- <Package Folder>/databases/data.db-journal
- <Package Folder>/databases/dataeye_database_.db
- <Package Folder>/databases/dataeye_database_.db-journal
- <Package Folder>/databases/mobpower.db-journal
- <Package Folder>/databases/preference.db-journal
- <Package Folder>/databases/presage.db
- <Package Folder>/databases/presage.db-journal
- <Package Folder>/files/google.db
- <Package Folder>/files/osmcore
- <Package Folder>/files/osmcore.lock
- <Package Folder>/files/osmcore.token
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/AdsBusiness-data.xml
- <Package Folder>/shared_prefs/AdsBusiness-data.xml (deleted)
- <Package Folder>/shared_prefs/AdsBusiness-data.xml.bak
- <Package Folder>/shared_prefs/aps.xml
- <Package Folder>/shared_prefs/apsad.xml
- <Package Folder>/shared_prefs/apscomm.xml
- <Package Folder>/shared_prefs/com.mobpower.xml
- <Package Folder>/shared_prefs/com.mobpower.xml.bak
- <Package Folder>/shared_prefs/dc.C0D93E94FA82D48E4B5716A7BF3A2E05A.preferences.xml
- <Package Folder>/shared_prefs/dc.C0D93E94FA82D48E4B5716A7BF3A2E05A.preferences.xml.bak
- <Package Folder>/shared_prefs/dc.global.prfrerence.xml
- <Package Folder>/shared_prefs/presage.xml
- <SD-Card>/baidu/####/journal.tmp
- <SD-Card>/baidu/.cuid
- <SD-Card>/start1.apk
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh
- <Package Folder>/files/osmcore <Package Folder>/files/osmcore.token osmipcV1.0 10044
- cat /sys/class/net/wlan0/address
- chmod 755 <Package Folder>/files/osmcore
- ls -l /sbin/su
- ls -l /system/bin/su
- ls -l /system/sbin/su
- ls -l /system/xbin/su
- ls -l /vendor/bin/su
- sh
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-NoPadding
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES-CBC-PKCS5Padding
Осуществляет доступ к информации о геолокации
Осуществляет доступ к информации о сети
Осуществляет доступ к информации о телефоне (номер, imei и тд.)
Осуществляет доступ к информации об установленных приложениях
Осуществляет доступ к информации о зарегистрированных на устройстве аккаунтах (Google, Facebook и тд.)
Добавляет задания в системный планировщик
Отрисовывает собственные окна поверх других приложений
