Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.155.origin
- Android.Triada.178
- Android.Triada.248.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony)
Сетевая активность:
Подключается к:
- 1####.####.34:19000
- 1####.####.57:10001
- a####.####.com
- huangda####.com
- i####.####.com
- l####.####.com
Запросы HTTP GET:
- 1####.####.57:10001/v1/order/get?phone=####&imei=####&sdk_version=####&c...
- a####.####.com/ando/i/mon?k=####&d=####
- huangda####.com/active!activeLog.action?provider=####&clickId=####&manu=...
- i####.####.com/ando-res/ads/30/14/f15541de-b7bd-4ff9-97fb-9e6cc9e4e044/3...
Запросы HTTP POST:
- 1####.####.34:19000/v2/chis
- l####.####.com/sdk.php
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/EOZTzhVG.jar
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/index
- <Package Folder>/code-4292973/aVG6UYWMjdy3hY1h
- <Package Folder>/databases/####/cc.db
- <Package Folder>/databases/####/cc.db-journal
- <Package Folder>/databases/L6iWghu9dbq-QIrPdC6uZSH3S36g_ZEu_-GSZbc5sYZ8RUuQ6
- <Package Folder>/databases/L6iWghu9dbq-QIrPdC6uZSH3S36g_ZEu_-GSZbc5sYZ8RUuQ6-journal
- <Package Folder>/databases/L6iWghu9dbq-QIrPdC6uZSH3S36g_ZEu_ArwwsgogE3Lk2pW0os1IoQ==
- <Package Folder>/databases/L6iWghu9dbq-QIrPdC6uZSH3S36g_ZEu_ArwwsgogE3Lk2pW0os1IoQ==-journal
- <Package Folder>/databases/L6iWghu9dbq-QIrPdC6uZSH3S36g_ZEu_N6KyRykhQLNCzkLWe6nYKw==
- <Package Folder>/databases/L6iWghu9dbq-QIrPdC6uZSH3S36g_ZEu_N6KyRykhQLNCzkLWe6nYKw==-journal
- <Package Folder>/databases/L6iWghu9dbq-QIrPdC6uZSH3S36g_ZEu_Pcmln34gPoc=-journal
- <Package Folder>/databases/L6iWghu9dbq-QIrPdC6uZSH3S36g_ZEu_ximae90wZx-cibWlr3EUXrPHYds=
- <Package Folder>/databases/L6iWghu9dbq-QIrPdC6uZSH3S36g_ZEu_ximae90wZx-cibWlr3EUXrPHYds=-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/####/0GZ_Sw-EAgQIG45m_zhk5rxVBchqwPLuFJd5P9NboEk=.new
- <Package Folder>/files/####/10e96bf2-e4ce-47b7-9aec-74b70351fa4a.pic.temp
- <Package Folder>/files/####/1de25784-7a05-4321-80b2-d9ac581dd2b1.pic.temp
- <Package Folder>/files/####/2wEI_Sb_VBDRMDcXJicyZnAYfjiDGIFJlQUzxg==.new
- <Package Folder>/files/####/30abcaa6-e87d-4ba2-834d-f20c2fa0c75f.pic.temp
- <Package Folder>/files/####/364bcb20-80b2-4891-bf61-9d286f2c9243.pic.temp
- <Package Folder>/files/####/405a4c21-9ab3-4664-b7d5-b1037f2d63d8.pic.temp
- <Package Folder>/files/####/5JLkyuUYE1khO7e6TKKHE5dq2V-OYzbI.new
- <Package Folder>/files/####/6oU7NoOl5za0L8HaOTG6weUpXqQByanS.new
- <Package Folder>/files/####/7f93ba4b-157b-4350-adf5-c26af40ea2d8.pic.temp
- <Package Folder>/files/####/8Htn4SQGffFBh99nrP3XXMekrAw=.new
- <Package Folder>/files/####/CYUItx0b_Eam_eUj
- <Package Folder>/files/####/DrE3anJRU2e6vSLA2_JmW7wsAjM=.new
- <Package Folder>/files/####/KwhaMLLVn7B1T7GMa_XgSmCK0tZsonAW.new
- <Package Folder>/files/####/LuqpJmcDq_4lPKj5yd2uO_mgMuU=
- <Package Folder>/files/####/N2YJb1P7eXYVp0iurOfZbIGKAKw=
- <Package Folder>/files/####/N2YJb1P7eXYVp0iurOfZbIGKAKw=.new
- <Package Folder>/files/####/PEnhCKMMX-Etz2l1.zip
- <Package Folder>/files/####/WySTG7LrNmff5f-ROQuUu5GhbGjxRJsV.new
- <Package Folder>/files/####/XombsgzYGKon1kSi8Yth2AaJefGiEd6w3UD1fagzG-A=.new
- <Package Folder>/files/####/cZmK8FDn8IYmHWHUQVj4gpX-Y9ljhTIo.new
- <Package Folder>/files/####/data.dat.tmp
- <Package Folder>/files/####/e08bb01d-1c99-4086-98f9-ad1bf5711948.pic
- <Package Folder>/files/####/eeaQL193qpIRAMqYPAMbzfwWrWHzLquZuJvy8A==.new
- <Package Folder>/files/####/fe9eedd9-d911-48e5-a5d6-d85d672ec618.pic
- <Package Folder>/files/####/hSl41qFGiiCnVEQcZDs_Yg==
- <Package Folder>/files/####/hSl41qFGiiCnVEQcZDs_Yg==.new
- <Package Folder>/files/####/idSVTnOYdOplz5TyvUg4zg==.new
- <Package Folder>/files/####/jPqkl6IshPQqczvxY2i4Cea4OIhZePpP1WID0VT-lYQ=.new
- <Package Folder>/files/####/j_AwOgnDqcVGnrOcFzuWzRDbryNxLrX82dTnd481QJw=.new
- <Package Folder>/files/####/libus.so
- <Package Folder>/files/####/m4agWrRez1nxWkZl_nxYUgJptPWr0175cf7Tng==.new
- <Package Folder>/files/####/oURE3r7z0Tq8RWxq.new
- <Package Folder>/files/####/pjf1vf7ynks4Myh3KPHGIwaN7kQyBFgR.new
- <Package Folder>/files/####/qvQWdwL730g82H2fIHuoUKfnGqeUCg27.new
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/sbcnua_f.zip
- <Package Folder>/files/####/t7Bl3OZqyAuc71RF4aknajlgFCw=.new
- <Package Folder>/files/####/wENS0P1ighUYTs7L-IgOqjALzZlswMe-.new
- <Package Folder>/files/####/wupv9uUREAjJHTjJ4tZ8aA==.new
- <Package Folder>/files/####/xicU-TfWOCE1yL6VUKlG3A==
- <Package Folder>/files/####/xpHDvoMciIbt9_eyE9CEai114mg=.new
- <Package Folder>/shared_prefs/pretw.xml
- <Package Folder>/shared_prefs/twj.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/zzconfig.xml
- <SD-Card>/.armsd/####/2fc5b30a-3d70-4e80-8ea0-99cd859e539c.res
- <SD-Card>/.armsd/####/36f184ff-d15f-4980-a379-48e7c4745720.res
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/9e808acc-34ce-4efa-ac0b-ffbaa27ea4f8.res
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/c12225d8-5f53-4f7e-8935-72c67dec2fd6.res
- <SD-Card>/.armsd/####/d6fa56c5-108a-42ed-9542-f757990628c8.res
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique
- <SD-Card>/.env/.uunique.new
- <SD-Card>/.twservice/####/tw
- <SD-Card>/.twservice/qshp_3002_2206.zip
- <SD-Card>/Download/channel_conf
- <SD-Card>/Download/channel_conf1
Другие:
Запускает следующие shell-скрипты:
- /data/data/mubwcan.gdmrs.psddxak.gwoi/code-4292973/aVG6UYWMjdy3hY1h -p mubwcan.gdmrs.psddxak.gwoi -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- <error:2>
- sh <Package Folder>/code-4292973/aVG6UYWMjdy3hY1h -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- mmjif
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Осуществляет доступ к информации о геолокации
Осуществляет доступ к информации о сети
Осуществляет доступ к информации о телефоне (номер, imei и тд.)
Осуществляет доступ к информации об установленных приложениях
Осуществляет доступ к информации о запущенных приложениях
Добавляет задания в системный планировщик
Отрисовывает собственные окна поверх других приложений
Осуществляет доступ к информации об отправленых/принятых смс
