Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.155.origin
- Android.Triada.178
- Android.Triada.248.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- 1####.####.34:19000
- 1####.####.57:10001
- a####.####.com
- huangda####.com
- i####.####.com
- l####.####.com
Запросы HTTP GET:
- 1####.####.57:10001/v1/order/get?phone=####&imei=####&sdk_version=####&c...
- a####.####.com/ando/i/mon?k=####&d=####
- huangda####.com/resource!resource?resTypes=####&appid=####&channel=####&...
- i####.####.com/ando-res/ads/0/9/837ec120-ccf8-4ad0-b6fd-1303ff645eca/773...
Запросы HTTP POST:
- 1####.####.34:19000/v2/chis
- l####.####.com/sdk.php
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/EOZTzhVG.jar
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/index
- <Package Folder>/code-1621598/O_dkaz7GavERFxxC
- <Package Folder>/databases/####/cc.db
- <Package Folder>/databases/####/cc.db-journal
- <Package Folder>/databases/U5vJeImLfa9C5nt7ub2Y4UzcMsjlrnBv_BX7Q_aNkvdSN3GP6ILWpDg==
- <Package Folder>/databases/U5vJeImLfa9C5nt7ub2Y4UzcMsjlrnBv_BX7Q_aNkvdSN3GP6ILWpDg==-journal
- <Package Folder>/databases/U5vJeImLfa9C5nt7ub2Y4UzcMsjlrnBv_HxfL6quv0XSKNU5b
- <Package Folder>/databases/U5vJeImLfa9C5nt7ub2Y4UzcMsjlrnBv_HxfL6quv0XSKNU5b-journal
- <Package Folder>/databases/U5vJeImLfa9C5nt7ub2Y4UzcMsjlrnBv_p6VuO8AyRAE=-journal
- <Package Folder>/databases/U5vJeImLfa9C5nt7ub2Y4UzcMsjlrnBv_uODHt4evB66elZRt5VfGzY5c-Po=
- <Package Folder>/databases/U5vJeImLfa9C5nt7ub2Y4UzcMsjlrnBv_uODHt4evB66elZRt5VfGzY5c-Po=-journal
- <Package Folder>/databases/U5vJeImLfa9C5nt7ub2Y4UzcMsjlrnBv_udEPPHD8Ak75uH38UTm-LQ==
- <Package Folder>/databases/U5vJeImLfa9C5nt7ub2Y4UzcMsjlrnBv_udEPPHD8Ak75uH38UTm-LQ==-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/####/186da776-f617-4930-9ada-f2784df3f676.pic
- <Package Folder>/files/####/1ELWWwg-NBEveRIouDJXJZwTh2nw52uu.new
- <Package Folder>/files/####/1EU-AKpcf1Bkbh8TUd73XVUTzK_6VjC-f5nAtw==.new
- <Package Folder>/files/####/394a4168-b43b-4209-a42d-3f22e7845649.pic
- <Package Folder>/files/####/3og_pYubcoMbQscddU4OczanwpUsuylg9DBWkQ==.new
- <Package Folder>/files/####/3r6cHMnYXnMFKT_UzC9R6fGtb4Rafn4u.new
- <Package Folder>/files/####/4188e8c2-4df5-4653-a988-f21d2f698c26.pic.temp
- <Package Folder>/files/####/5zbA95sKAlZcqU2y.new
- <Package Folder>/files/####/8Vdyo2hUda3NMS5AVUGbk2F6GLY=
- <Package Folder>/files/####/8c6f54ac-b764-4410-af8b-e7db5d1ac29a.pic.temp
- <Package Folder>/files/####/8vU6pgsetdEB4V_PPdUUwNRe8zU=
- <Package Folder>/files/####/GODJzNIz1D4o7BqZ471PNVo1RyLclytrTPAecA==.new
- <Package Folder>/files/####/INfEigOP4kj7Ter2CTQFf5IEBf4=.new
- <Package Folder>/files/####/Q9UGQgaLne1IKrP_FCY4JZgwSOvdO5xw.new
- <Package Folder>/files/####/SVMWa0E5qiNrQ96CbzZDpQ==
- <Package Folder>/files/####/SVMWa0E5qiNrQ96CbzZDpQ==.new
- <Package Folder>/files/####/aed69baa-8b77-42ac-9846-30de472109a4.pic.temp
- <Package Folder>/files/####/b189c944-b007-4b6f-9c65-389efc6d2c48.pic.temp
- <Package Folder>/files/####/bxuiU_UEwVmNVmNMPviXtQ==
- <Package Folder>/files/####/bxuiU_UEwVmNVmNMPviXtQ==.new
- <Package Folder>/files/####/cCbJ2w5q3eRwPbB4yCKUbPn3NhTJjJ7g.new
- <Package Folder>/files/####/ctJrnE3Dy2m1OIRdwtlK9qYmnP5Rt8ZbP7ZdYWNMHO4=.new
- <Package Folder>/files/####/d9gzPODWlGRmlnnkN86DMQ==
- <Package Folder>/files/####/data.dat.tmp
- <Package Folder>/files/####/e4dc71e2-c612-4936-af4e-ee0bb0b3b0bb.pic.temp
- <Package Folder>/files/####/e756d359-1991-4603-b311-d76d76e5f193.pic.temp
- <Package Folder>/files/####/eAMbhiZdxMnYkPS3f_BwppRrMA3bRtND.new
- <Package Folder>/files/####/fPA3YA6nbCqnCNOFSUxHfqQ67-JOBiS5SyblZztKHIY=.new
- <Package Folder>/files/####/g_JxWFTe36JIpXLZ7xk7K0IzZZL1UW8edDMC0lM3A9o=.new
- <Package Folder>/files/####/libus.so
- <Package Folder>/files/####/mOiwymNk8A1vgqoo5prZrg==.new
- <Package Folder>/files/####/oGmQ8GB4WpYnhYpG.zip
- <Package Folder>/files/####/pWk54A8Zfph8En7dPcgz0w1wbml7Vk2m
- <Package Folder>/files/####/pWk54A8Zfph8En7dPcgz0w1wbml7Vk2m.new
- <Package Folder>/files/####/pWk54A8Zfph8En7dPcgz0w1wbml7Vk2m.old (deleted)
- <Package Folder>/files/####/rimeiLn9VINFv-XiWEBo4dHqKfCs5I03.new
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/sAazmmaFiRbczWs1_peMPFpGALE=.new
- <Package Folder>/files/####/sPMSj6uGUKwmwJj30jlRiMu_bPRdM680qnwJCvwGgsU=.new
- <Package Folder>/files/####/sbcnua_f.zip
- <Package Folder>/files/####/txCpD-3WDz4AXI_sXBpIOBc4Tl5d7yyo.new
- <Package Folder>/files/####/vdlCYgghwTZH6iEl6oTL0sJdGc0=.new
- <Package Folder>/files/####/w5Y13h3brdzKFWfx
- <Package Folder>/files/####/ws5FNq8tYFx2LinkR5N_sE1Xnl8=.new
- <Package Folder>/shared_prefs/pretw.xml
- <Package Folder>/shared_prefs/twj.xml
- <Package Folder>/shared_prefs/twj.xml.bak
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/zzconfig.xml
- <SD-Card>/.armsd/####/2ee28d48-c8b2-4552-bfb4-89ec3b0f128e.res
- <SD-Card>/.armsd/####/45ad4042-be16-4432-a580-7331d725c375.res
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/a8be0df9-7ae9-433c-8fba-5f1a2014c751.res
- <SD-Card>/.armsd/####/cae0a502-5a6e-4448-a118-288a34e56f01.res
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique.new
- <SD-Card>/.twservice/####/tw
- <SD-Card>/.twservice/qshp_3002_2206.zip
- <SD-Card>/Download/channel_conf
- <SD-Card>/Download/channel_conf1
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-1621598/O_dkaz7GavERFxxC -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- sh <Package Folder>/code-1621598/O_dkaz7GavERFxxC -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- iisbf
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
