Техническая информация
Вредоносные функции:
Отправляет СМС-сообщения:
- 12114: 苏州易N支付#<IMEI>#<IMSI>
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Перехватывает входящие смс и прекращает процесс их передачи обработчикам других приложений.
Сетевая активность:
Подключается к:
- 1####.####.10:9321
- 1####.####.151
- 1####.####.151:8080
- beijin####.####.com
- c####.####.net
- d####.####.com
- d####.####.com:8081
- e####.####.com
- e####.####.com:9698
- g####.####.com
- i####.####.cn
- l####.####.com
- l####.####.com:9820
- m####.####.com
- o####.####.cn
- p####.####.com
- t####.####.net
Запросы HTTP GET:
- beijin####.####.com/apks/load.bat
- m####.####.com/course/693628.html?dataSrcId=####&sqId=####&cm=####
Запросы HTTP POST:
- 1####.####.10:9321/astrolinkSDK/info/getUpIp
- 1####.####.151/astrolinkSDK/info/getUpUrlInfo
- 1####.####.151:8080/astrolinkSDK/info/getUpUrlInfo
- c####.####.net/config/update
- d####.####.com/update/index.php/protocol/getupdate
- d####.####.com/wmserver/WMUpdate
- d####.####.com:8081/update/index.php/protocol/getupdate
- e####.####.com/protocol/v5_9/getstrategy.do
- e####.####.com:9698/protocol/v5_9/getstrategy.do
- g####.####.com/cooguosdk?b=####&requestId=####&a=####
- i####.####.cn/iplookup/iplookup.php?format=####
- l####.####.com/chnlt/ltpay/pytstart.do
- l####.####.com:9820/chnlt/ltpay/pytstart.do
- o####.####.cn/wk/queryAd
- p####.####.com/interfaceAction?unikey=####
- t####.####.net/g/d
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/databases/database-journal
- <Package Folder>/databases/dataeye_database_A519312A14CF5993CCDEB7227BB5602A.db
- <Package Folder>/databases/dataeye_database_A519312A14CF5993CCDEB7227BB5602A.db-journal
- <Package Folder>/databases/ehooab-journal
- <Package Folder>/databases/ehooep
- <Package Folder>/databases/ehooep-journal
- <Package Folder>/databases/epay_db
- <Package Folder>/databases/epay_db-journal
- <Package Folder>/databases/lepeng.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/files/A527D9405760E55DACED6331925468B4.jar
- <Package Folder>/files/TDtcagent.db
- <Package Folder>/files/TDtcagent.db-journal
- <Package Folder>/files/epay.jar
- <Package Folder>/files/sdk.jar
- <Package Folder>/files/td.lock
- <Package Folder>/shared_prefs/473|account_file.xml
- <Package Folder>/shared_prefs/473|account_file.xml.bak
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/STORE_MAIN.xml
- <Package Folder>/shared_prefs/WMApp_System.xml
- <Package Folder>/shared_prefs/Wimipay_System.xml
- <Package Folder>/shared_prefs/abs.xml
- <Package Folder>/shared_prefs/abs.xml.bak
- <Package Folder>/shared_prefs/appstartone.xml
- <Package Folder>/shared_prefs/appstarttwo.xml
- <Package Folder>/shared_prefs/cg.xml
- <Package Folder>/shared_prefs/dc.A519312A14CF5993CCDEB7227BB5602A.preferences.xml
- <Package Folder>/shared_prefs/dc.A519312A14CF5993CCDEB7227BB5602A.preferences.xml.bak
- <Package Folder>/shared_prefs/ehooae.xml
- <Package Folder>/shared_prefs/ehooep.xml
- <Package Folder>/shared_prefs/epay_share.xml
- <Package Folder>/shared_prefs/epay_share.xml.bak
- <Package Folder>/shared_prefs/pref_longtime.xml
- <Package Folder>/shared_prefs/pref_longtime.xml.bak
- <Package Folder>/shared_prefs/pref_shorttime.xml
- <Package Folder>/shared_prefs/pref_shorttime.xml.bak
- <Package Folder>/shared_prefs/tdid.xml
- <Package Folder>/shared_prefs/util_preference.xml
- <Package Folder>/shared_prefs/uuid.xml
- <Package Folder>/shared_prefs/zhangpay_share.xml
- <Package Folder>/shared_prefs/zhangpay_share.xml.bak
- <Package Folder>/shared_prefs/zhangpay_sms_info.xml
- <SD-Card>/.SystemService/####/uid
- <SD-Card>/.tcookieid
- <SD-Card>/Android/####/com.lyhtgh.pay.ltplugin.apk
- <SD-Card>/Download/####/load.bat
- <SD-Card>/Download/####/version.bin
- <SD-Card>/Platform-Log.txt
- <SD-Card>/com/####/uid.sys
- <SD-Card>/cooguo/####/CG.DAT
- <SD-Card>/ogdex/####/Advertisement
- <SD-Card>/ogdex/####/nextTimeTable
- <SD-Card>/ogdex/####/shareDoc
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh
- chmod /data/data/com.ieytgo.fhdgf 777&& busybox chmod /data/data/com.ieytgo.fhdgf 777
- chmod <Package Folder> 777&& busybox chmod <Package Folder> 777
- getprop
- ls -l /sbin/su
- ls -l /system/bin/su
- ls -l /system/sbin/su
- ls -l /system/xbin/su
- ls -l /vendor/bin/su
Загружает динамические библиотеки:
- cocos2dcpp
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- DES
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- DES
Использует специальную библиотеку для скрытия исполняемого байткода.
Может автоматически отправлять СМС-сообщения.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Осуществляет доступ к информации о зарегистрированных на устройстве аккаунтах (Google, Facebook и тд.).
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
