Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.247.origin
- Android.Triada.248.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- 1####.####.1
- 1####.####.190:8088
- 1####.####.1:8088
- 1####.####.88
- 1####.####.88:8999
- 6####.####.140
- i####.####.com
- l####.####.com
- res####.####.com
Запросы HTTP GET:
- 1####.####.190:8088/sdkserver/adData/adInfo/sdk/1501432303194.jar
- 1####.####.88/catServer/content.action?id=####
- i####.####.com/ando-res/m/A6EGb*Py4u1FtWQ3Rk0AdTbn3l2VkFbr8rEbwi8yQXTViC...
- res####.####.com/v3/ip?key=####
Запросы HTTP POST:
- 1####.####.1/sdkserver/v2/serviceConfig
- 1####.####.1:8088/sdkserver/v2/addSdk
- 1####.####.88:8999/catServer/recommend!status.action
- 6####.####.140/ando/v1/x/lv?app_id=####&r=####
- l####.####.com/sdk.php
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/cache/####/0198ef931e4cbbec5503fed39a0e45d99cfbcc62cb88d686c53b71e8f509ae0e.0.tmp
- <Package Folder>/cache/####/4228adcc2d091c535ca782a799357b73dbed66113a1151d7e93f62a85252a69b.0.tmp
- <Package Folder>/cache/####/76ad498fc1e5e5a44717802afc5dd870a8e4235b369d5d7306bd8687bacdc8b4.0.tmp
- <Package Folder>/cache/####/be8edc021b86be6566c9b932a0e1997d46a493523de8acf94da72a6e9f881c0f.0.tmp
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/index
- <Package Folder>/cache/####/journal.tmp
- <Package Folder>/code-6758380/3w-YEmQKQ08dmMFJ
- <Package Folder>/databases/aiuTEgWyS6pIrqK8Yw6Fx59dNEXhkRlLIJFxM9lPOIA=_6ZegEASvlTeUonO1uM8ReQ==
- <Package Folder>/databases/aiuTEgWyS6pIrqK8Yw6Fx59dNEXhkRlLIJFxM9lPOIA=_6ZegEASvlTeUonO1uM8ReQ==-journal
- <Package Folder>/databases/aiuTEgWyS6pIrqK8Yw6Fx59dNEXhkRlLIJFxM9lPOIA=_7HOkasGxUv0Kyi1PoSy02LOPsRo=
- <Package Folder>/databases/aiuTEgWyS6pIrqK8Yw6Fx59dNEXhkRlLIJFxM9lPOIA=_7HOkasGxUv0Kyi1PoSy02LOPsRo=-journal
- <Package Folder>/databases/aiuTEgWyS6pIrqK8Yw6Fx59dNEXhkRlLIJFxM9lPOIA=_BtXjRlyPvjo=-journal
- <Package Folder>/databases/aiuTEgWyS6pIrqK8Yw6Fx59dNEXhkRlLIJFxM9lPOIA=_GnaK73l2NxUpoR5j2jWHeA==
- <Package Folder>/databases/aiuTEgWyS6pIrqK8Yw6Fx59dNEXhkRlLIJFxM9lPOIA=_GnaK73l2NxUpoR5j2jWHeA==-journal
- <Package Folder>/databases/aiuTEgWyS6pIrqK8Yw6Fx59dNEXhkRlLIJFxM9lPOIA=_OEjhPGT_8OCumMBK
- <Package Folder>/databases/aiuTEgWyS6pIrqK8Yw6Fx59dNEXhkRlLIJFxM9lPOIA=_OEjhPGT_8OCumMBK-journal
- <Package Folder>/databases/cc.db
- <Package Folder>/databases/cc.db-journal
- <Package Folder>/databases/download.db-journal
- <Package Folder>/databases/ua.db
- <Package Folder>/databases/ua.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/####/0bLdH5RIKh1CYwijSRjjjQiKsnI=.new
- <Package Folder>/files/####/2ShZ7WSq0nyTu4RcB6dDQg==.new
- <Package Folder>/files/####/7aN3QViUtn88CJOc
- <Package Folder>/files/####/7aN3QViUtn88CJOc.temp
- <Package Folder>/files/####/Doqi3RUr0teOsv9BfZSXJkgqN8MA1DCS1lPr4b5uwfA=.new
- <Package Folder>/files/####/FsE3BeJTxJzjXfFRpS637H5Usy0=
- <Package Folder>/files/####/Lt0LBBILtjdiYpfjjaMobw==
- <Package Folder>/files/####/LwwLTtMy0tBRY7HFIQhPVrx-Dh8Javz1WIjsfg==.new
- <Package Folder>/files/####/NTyY7Z6CULTIzzbfYwkul5oI2vuTFP-AGa0LcA==.new
- <Package Folder>/files/####/Nw36ODT-RP-jCdeMSuND3wvgE1YVdlN7
- <Package Folder>/files/####/Nw36ODT-RP-jCdeMSuND3wvgE1YVdlN7.new
- <Package Folder>/files/####/Nw36ODT-RP-jCdeMSuND3wvgE1YVdlN7.old (deleted)
- <Package Folder>/files/####/P1HJxN4uwvIOYR930166Q9BEHiY=
- <Package Folder>/files/####/P1HJxN4uwvIOYR930166Q9BEHiY=.new
- <Package Folder>/files/####/PPni0OggAjljv7l9dRR8nAeNX2Q=.new
- <Package Folder>/files/####/Tpf7a4M1PcJa4KtjvSwxvw==
- <Package Folder>/files/####/YQYdF_LhIALsTLBw-BnPZlr-8yWDf4jCTtlg6FkX9bw=.new
- <Package Folder>/files/####/Zc6ypw8PLU8b_O-yanqDu2Ia_KKZp-91.new
- <Package Folder>/files/####/ZcYscB34MMeBBKu2.zip
- <Package Folder>/files/####/bgD4Mnf0TDfFcN2nSOnDVOqrJOiBnDXlYJNToA==.new
- <Package Folder>/files/####/bm-adVGiuEPVPNR2BOFwHIIMpTs0WLGt.new
- <Package Folder>/files/####/d7GlDM_zlum_Gl7vOUMnUA==
- <Package Folder>/files/####/d7GlDM_zlum_Gl7vOUMnUA==.new
- <Package Folder>/files/####/d7n7tpE8rtyOkV3p.new
- <Package Folder>/files/####/ihUGPKbXSHDUmdU5H6qXDA==
- <Package Folder>/files/####/ihUGPKbXSHDUmdU5H6qXDA==.new
- <Package Folder>/files/####/jCBPU-HHQSs1WlYM2UgLr5mrlqc=.new
- <Package Folder>/files/####/kaAE810oDd5ZqVkuageCh8_WpVFEWEjU.new
- <Package Folder>/files/####/nfytDjRFZHr8FEbSjBliHxShYLaXBjL-.new
- <Package Folder>/files/####/qGTp4WE2uLpiEwR-zq-XNxtfnaUKkz2E.new
- <Package Folder>/files/####/qTjDdZDwckoX_RpwTB3fByJBhZFVt5-aZIeB5BAZGq4=.new
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/sY-i1M6qRuLdNkV0uUZ2Sy7jUo4=.new
- <Package Folder>/files/####/txdcxq_f.zip
- <Package Folder>/files/####/uqrLHIcvAiZH9LwSdh3Kd9TtFSD3AbDpYlizM5jeELQ=.new
- <Package Folder>/files/####/yOUcLCunaXStTJW8d3tyOqBjSobiFryz.new
- <Package Folder>/files/####/zx12uHem5G-K9AQG1wKMkmgROjkAO2LI.new
- <Package Folder>/files/patch.jar
- <Package Folder>/files/rdata_comandroidsupport.new
- <Package Folder>/shared_prefs/share_data.xml
- <Package Folder>/shared_prefs/share_data.xml.bak
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique.new
Другие:
Запускает следующие shell-скрипты:
- /data/data/com.kjfdwkn.eoholw.goreknwo/code-6758380/3w-YEmQKQ08dmMFJ -p com.kjfdwkn.eoholw.goreknwo -c com.android.support.vajdxa.hi.hi.pw.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- <error:2>
- sh <Package Folder>/code-6758380/3w-YEmQKQ08dmMFJ -p <Package> -c com.android.support.vajdxa.hi.hi.pw.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- RSA-ECB-PKCS1Padding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
