Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.155.origin
- Android.Triada.178
- Android.Triada.248.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- 1####.####.34:19000
- 1####.####.57:10001
- a####.####.com
- huangda####.com
- i####.####.com
- l####.####.com
Запросы HTTP GET:
- 1####.####.57:10001/v1/order/get?phone=####&imei=####&sdk_version=####&c...
- a####.####.com/ando/i/mon?k=####&d=####
- huangda####.com/active!activeLog.action?provider=####&clickId=####&manu=...
- i####.####.com/ando-res/ads/black/640x270.png
Запросы HTTP POST:
- 1####.####.34:19000/v2/chis
- l####.####.com/sdk.php
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/EOZTzhVG.jar
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/index
- <Package Folder>/code-5942668/n1HDrIJG2i4yb5cM
- <Package Folder>/databases/####/cc.db
- <Package Folder>/databases/####/cc.db-journal
- <Package Folder>/databases/7DB4ORA5O0uPDTYdBRO1HKgf5WokqrN7_8u8M1bjodoftrTeN4-M2eMf6w1U=
- <Package Folder>/databases/7DB4ORA5O0uPDTYdBRO1HKgf5WokqrN7_8u8M1bjodoftrTeN4-M2eMf6w1U=-journal
- <Package Folder>/databases/7DB4ORA5O0uPDTYdBRO1HKgf5WokqrN7_Q00sva3qjz2dMq7a19ZmSw==
- <Package Folder>/databases/7DB4ORA5O0uPDTYdBRO1HKgf5WokqrN7_Q00sva3qjz2dMq7a19ZmSw==-journal
- <Package Folder>/databases/7DB4ORA5O0uPDTYdBRO1HKgf5WokqrN7_R4BiV0ICpYU=-journal
- <Package Folder>/databases/7DB4ORA5O0uPDTYdBRO1HKgf5WokqrN7_e3iMOvPlMvLBBKvp
- <Package Folder>/databases/7DB4ORA5O0uPDTYdBRO1HKgf5WokqrN7_e3iMOvPlMvLBBKvp-journal
- <Package Folder>/databases/7DB4ORA5O0uPDTYdBRO1HKgf5WokqrN7_nw54YPf3xgqWCyo3TAnIog==
- <Package Folder>/databases/7DB4ORA5O0uPDTYdBRO1HKgf5WokqrN7_nw54YPf3xgqWCyo3TAnIog==-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/####/06fde459-9ada-422d-a862-5ecd14d7334f.pic.temp
- <Package Folder>/files/####/344f7831-e5f8-41ce-a14e-f5e70101ca61.pic.temp
- <Package Folder>/files/####/50eac5d1-5207-4370-bc78-066ad0f25c50.pic.temp
- <Package Folder>/files/####/5R1yqqcwhAvASQLGmshjOJZHIww=.new
- <Package Folder>/files/####/892ac73b-6aa4-4a16-8412-2f755ed70691.pic.temp
- <Package Folder>/files/####/8aa001e4-2103-4625-8df7-c5170c7f3cfc.pic
- <Package Folder>/files/####/EAwhLDGD4i2YV0f3E9jRVfNrGhECc7WK9KneIk6b5C0=.new
- <Package Folder>/files/####/FcTzphvsFZWjngiwmwwz4p6UzxOAsUeL.new
- <Package Folder>/files/####/FwlWD_GRDLw-CYj7mru-Ew==.new
- <Package Folder>/files/####/Ij30Zf1iajOQ7-EHSL34WA==
- <Package Folder>/files/####/LGEmlrnXCIXtXSgPolYry4BwlWkcrNzN
- <Package Folder>/files/####/LGEmlrnXCIXtXSgPolYry4BwlWkcrNzN.new
- <Package Folder>/files/####/LGEmlrnXCIXtXSgPolYry4BwlWkcrNzN.old (deleted)
- <Package Folder>/files/####/LKlICo5Lo-68deMYjE0F8sBIHbcmCw0DEe3DtA==.new
- <Package Folder>/files/####/MgXrDIoxOHafOyiG.new
- <Package Folder>/files/####/P3_NaACGjWs4yDKReI_SyLaolbI=
- <Package Folder>/files/####/Sm8gKw-8fuxEg6IKdQaVxzM4dhP5YNjs.new
- <Package Folder>/files/####/TB2fA-e4c1_v1ac3_ZlH5w==.new
- <Package Folder>/files/####/Ue8IcPbvhxtRCii2xiyrXvPB6AJbhnem.new
- <Package Folder>/files/####/Uz-92EiOJy-5CndI-wV9XmlyCFw=
- <Package Folder>/files/####/aMYM0xVpk9x_Q5r0leoXzaKUb7-KbO0uVCkGfw==.new
- <Package Folder>/files/####/c3732a6e-1e01-43c9-808b-0d0ddfaaab81.pic.temp
- <Package Folder>/files/####/d58d99a5-ea29-460b-9dad-e6090d740d08.pic.temp
- <Package Folder>/files/####/data.dat.tmp
- <Package Folder>/files/####/fd94df38-297a-4911-a964-cbcc310e4315.pic
- <Package Folder>/files/####/fqGoPjtu-gu7Rh5F
- <Package Folder>/files/####/fuo7wI2Uv6oYoBmxgxNHow==
- <Package Folder>/files/####/fuo7wI2Uv6oYoBmxgxNHow==.new
- <Package Folder>/files/####/hcjCu1SYQzz0ZrmR.zip
- <Package Folder>/files/####/iIqmNjv9svnkDopn6UbjeC3ruYYtVDbCIFgOM7zgnQg=.new
- <Package Folder>/files/####/libus.so
- <Package Folder>/files/####/lxgCNZ84SelsVn6-ahtDLzt9u9E=.new
- <Package Folder>/files/####/mlHmgaLiUr_lavGffVWppaJq6uo=.new
- <Package Folder>/files/####/nHxN5RtETuKw9gaoCfn8G3lMi9N2K1Lg.new
- <Package Folder>/files/####/nnSWwT37LAJnXTSzBQFMSxLd56I=.new
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/sbcnua_f.zip
- <Package Folder>/files/####/t5cgRKQYWOOtWQx4X_niiUO3U2FR5CQa.new
- <Package Folder>/files/####/tuTgdHV94lLnUFvYGPtLg3oNf1iYrL_l.new
- <Package Folder>/files/####/yAcu3aW9nHmmpDS5ll77n0RhjGx4Mu_rgzqLSGYoZIY=.new
- <Package Folder>/files/####/yBkwuzPHT2KoFMoDupO0m_4Ff3p6l0m6kRcibg==.new
- <Package Folder>/files/####/zTjimwxvLlNH8zGHhaCeVP55kO6wa_tE.new
- <Package Folder>/files/####/zv_D8M5qsaGF4yDZLgUA-8Fk_dIS3XuafUvwaSglThk=.new
- <Package Folder>/shared_prefs/pretw.xml
- <Package Folder>/shared_prefs/twj.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/zzconfig.xml
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/5abf3b65-8b87-44e4-8ae6-6000047611c5.res
- <SD-Card>/.armsd/####/76a37fdd-4bc0-4908-9fa0-917dee155dd6.res
- <SD-Card>/.armsd/####/7d5a75b3-5e0c-4fa7-b727-7616651c0923.res
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/ece58b0d-190d-492c-9674-be02b6abd8ad.res
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique.new
- <SD-Card>/.twservice/####/tw
- <SD-Card>/.twservice/qshp_3002_2206.zip
- <SD-Card>/Download/channel_conf
- <SD-Card>/Download/channel_conf1
Другие:
Запускает следующие shell-скрипты:
- /data/data/fpiby.inyjwhnr.xdiuky.yuzdncd/code-5942668/n1HDrIJG2i4yb5cM -p fpiby.inyjwhnr.xdiuky.yuzdncd -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- sh <Package Folder>/code-5942668/n1HDrIJG2i4yb5cM -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- ukjyb
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
