Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.155.origin
- Android.Triada.178
- Android.Triada.248.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony)
Сетевая активность:
Подключается к:
- 1####.####.34:19000
- 1####.####.57:10001
- a####.####.com
- huangda####.com
- i####.####.com
- l####.####.com
Запросы HTTP GET:
- 1####.####.57:10001/v1/order/get?phone=####&imei=####&sdk_version=####&c...
- a####.####.com/ando/i/mon?k=####&d=####
- huangda####.com/active!activeLog.action?provider=####&clickId=####&manu=...
- i####.####.com/ando-res/ads/black/640x270.png
Запросы HTTP POST:
- 1####.####.34:19000/v2/chis
- l####.####.com/sdk.php
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/EOZTzhVG.jar
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/index
- <Package Folder>/code-2566948/UcrXXTOSU9zdn2Hk
- <Package Folder>/databases/####/cc.db
- <Package Folder>/databases/####/cc.db-journal
- <Package Folder>/databases/qg1fafFOHOrz0Ru0QrYygxZdgsuGCEkR_-SrFIqUc_bwpYHs2lYrNgA==
- <Package Folder>/databases/qg1fafFOHOrz0Ru0QrYygxZdgsuGCEkR_-SrFIqUc_bwpYHs2lYrNgA==-journal
- <Package Folder>/databases/qg1fafFOHOrz0Ru0QrYygxZdgsuGCEkR_JJZOs_sWvCzpXkdA9W3ZYMZ0D3c=
- <Package Folder>/databases/qg1fafFOHOrz0Ru0QrYygxZdgsuGCEkR_JJZOs_sWvCzpXkdA9W3ZYMZ0D3c=-journal
- <Package Folder>/databases/qg1fafFOHOrz0Ru0QrYygxZdgsuGCEkR_WOpp7rWcgg4=-journal
- <Package Folder>/databases/qg1fafFOHOrz0Ru0QrYygxZdgsuGCEkR_jexxea-v-LwaFfyo19c34g==
- <Package Folder>/databases/qg1fafFOHOrz0Ru0QrYygxZdgsuGCEkR_jexxea-v-LwaFfyo19c34g==-journal
- <Package Folder>/databases/qg1fafFOHOrz0Ru0QrYygxZdgsuGCEkR_pUcG9rxgjx4ja7Fq
- <Package Folder>/databases/qg1fafFOHOrz0Ru0QrYygxZdgsuGCEkR_pUcG9rxgjx4ja7Fq-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/####/00f65717-1357-49af-8536-7508c808ba7b.pic.temp
- <Package Folder>/files/####/3369b65f-1c6e-4ac0-992f-e71126f0a09f.pic.temp
- <Package Folder>/files/####/6669d738-2259-4100-9206-329b2c4509d3.pic
- <Package Folder>/files/####/6Z7WYyrkQV3FHTHxbimdxpmO0jnnwmj4.new
- <Package Folder>/files/####/975066db-5da8-4323-8941-c5ced09ac066.pic.temp
- <Package Folder>/files/####/9JDddJswSSzvI5MeMlAIFA==
- <Package Folder>/files/####/9JDddJswSSzvI5MeMlAIFA==.new
- <Package Folder>/files/####/B_Pguq29BWxsq21Ci3SFPg==.new
- <Package Folder>/files/####/DV5XUFavt4sorPAKB9ke4EkDgKU=.new
- <Package Folder>/files/####/Ey6P6vgnI9urEhO24eX2z6M6mwJNfw3-.new
- <Package Folder>/files/####/Fr-peK8nDcAYJs-vUTO1ctmPQdkToGkW
- <Package Folder>/files/####/Fr-peK8nDcAYJs-vUTO1ctmPQdkToGkW.new
- <Package Folder>/files/####/Fr-peK8nDcAYJs-vUTO1ctmPQdkToGkW.old (deleted)
- <Package Folder>/files/####/HAB8GlkOmgQ8Y5vPlw77wjchZco=
- <Package Folder>/files/####/MXOs8OOBeKE2zXZjWy5uB8dguJiR6FS4gts7eA==.new
- <Package Folder>/files/####/OKlJBCkQ4NjvwCwwoYVugRvzp78=.new
- <Package Folder>/files/####/Po3j8HEsBnUHPfhQJeB8PZ4KIH4=.new
- <Package Folder>/files/####/ZUuKabAvrWMAL4Du.zip
- <Package Folder>/files/####/ZhuUf447pkIpgjua
- <Package Folder>/files/####/_RMkY1SNG6pTMDSL87dcV7kwEiI=
- <Package Folder>/files/####/a7a317c4-d49e-4b11-a373-1e2f0fe3ec4a.pic.temp
- <Package Folder>/files/####/b9bd828f-82bc-4e49-a0ce-e23e1716c780.pic.temp
- <Package Folder>/files/####/bWuSvPofRQRfhWstkWo-hlMny03b3Rgc.new
- <Package Folder>/files/####/bl0oh-lOzZMs_ACJaxHvFCeDiGgtR9OY.new
- <Package Folder>/files/####/data.dat.tmp
- <Package Folder>/files/####/e7647830-ec4c-41ae-a8fe-789990fca0ae.pic.temp
- <Package Folder>/files/####/f6e4ac4c-dc47-40fa-ad17-4024dfe2f587.pic
- <Package Folder>/files/####/gi2sxUgq0et08qIcSo_XvbHEdb2P9GAdDKhinj8lne8=.new
- <Package Folder>/files/####/gjOXyiKjEZYFVRZhkHH5mZVj0ALcJeOsJgaSyac-2_c=.new
- <Package Folder>/files/####/hiqMd4Ke4Fw8VGlND_i1v7OPUF90FCE8BxYlUA==.new
- <Package Folder>/files/####/itx52-qGWd-isZPGiw-FJW20uNTN7LbFq3H3wg==.new
- <Package Folder>/files/####/j45cIBzdskFU9FjyDlHzBw==.new
- <Package Folder>/files/####/libus.so
- <Package Folder>/files/####/o1x2fCFRv0kbrvMF.new
- <Package Folder>/files/####/ow-zpF7ShSuOHm60Xe5Wd21ZBK8IuPO4.new
- <Package Folder>/files/####/qmDbr91ATFmDGXR4XAPsVp5RGDm4WMpMZ5IcD7bGLp4=.new
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/sbcnua_f.zip
- <Package Folder>/files/####/si68kRnEfxV1OSLqvmcGrXPLzxyk2Fba.new
- <Package Folder>/files/####/syk8VF8KSEGkzcbOz2h8OjIqiN0=.new
- <Package Folder>/files/####/t7prrbdvptQRnP50xjcvltW5QcZNJdiC.new
- <Package Folder>/files/####/wFXtNikmhpVCp3ahw9qC6g==
- <Package Folder>/files/####/xmJgkU9g3HfPI17LSGQTWIYdMRZI7-4c3HZe-roLSFI=.new
- <Package Folder>/shared_prefs/pretw.xml
- <Package Folder>/shared_prefs/twj.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/zzconfig.xml
- <SD-Card>/.armsd/####/2e4c0c3c-d5f7-4dc1-bbca-9dfee1b7f9ef.res
- <SD-Card>/.armsd/####/2ed66cac-dbee-4a29-ba02-89c6349533bd.res
- <SD-Card>/.armsd/####/590c1699-fdb7-4197-be9b-faee4861e2dc.res
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/a864f570-d416-4f1b-886c-3c63e15a0b61.res
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique.new
- <SD-Card>/.twservice/####/tw
- <SD-Card>/.twservice/qshp_3002_2206.zip
- <SD-Card>/Download/channel_conf
- <SD-Card>/Download/channel_conf1
Другие:
Запускает следующие shell-скрипты:
- /data/data/eenhd.xaguhy.xtox.qmiwmwp/code-2566948/UcrXXTOSU9zdn2Hk -p eenhd.xaguhy.xtox.qmiwmwp -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- sh <Package Folder>/code-2566948/UcrXXTOSU9zdn2Hk -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- oiupf
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Осуществляет доступ к информации о геолокации
Осуществляет доступ к информации о сети
Осуществляет доступ к информации о телефоне (номер, imei и тд.)
Осуществляет доступ к информации об установленных приложениях
Осуществляет доступ к информации о запущенных приложениях
Добавляет задания в системный планировщик
Отрисовывает собственные окна поверх других приложений
Парсит информацию из смс сообщений
Осуществляет доступ к информации об отправленых/принятых смс
