Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.236.origin
- Android.Triada.247.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- 1####.####.136:8090
- 1####.####.192
- 1####.####.238
- 1####.####.67
- 1####.####.80:8000
- 2####.####.140:8080
- c####.####.cn
- c####.####.com
- d####.####.com
- g####.####.net
- g####.####.net:8080
- i####.####.com
- p####.####.com
- s####.####.cn
- s####.####.cn:8088
- sd####.####.com
- unitedp####.####.com
- w####.####.com:7758
Запросы HTTP GET:
- 1####.####.136:8090/sendLog/getUrl.php
- 1####.####.192/helper/interface.html?action=####
- 1####.####.67/codex/version
- c####.####.com/20170724/tongyu-pay-lib-2160.apk
- d####.####.com/egsb/startup/queryConfiguration?channelId=####&contentId=...
- i####.####.com/a/3521668acb8d3a1a04964513d0f7eb368
- unitedp####.####.com/numberbank/interface?getInfo=####
Запросы HTTP POST:
- 1####.####.238/updata/interface.html
- 1####.####.80:8000/intp/1621552081b8e6ac6695e9c61488b5bf6f1b968f
- 2####.####.140:8080/migusdk/tl/enclog
- c####.####.cn/api3?_m=####
- d####.####.com/mvc/network/get_info.do
- g####.####.net/migusdk/verification/checkSdkUpdate
- g####.####.net:8080/migusdk/tl/tcttl
- p####.####.com/api/statis/3521668acb8d3a1a04964513d0f7eb368/game-FA5ABB1...
- p####.####.com/sdkMis/sdk-update
- s####.####.cn/a.do
- s####.####.cn:8088/a.do
- sd####.####.com/behaviorLogging/eventLogging/accept?
- w####.####.com:7758/normandie/QueryConfigPolicy
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/2111.dex
- <Package Folder>/app_cache/Mpj4.dex
- <Package Folder>/app_dex/tongyu-pay-lib.dex
- <Package Folder>/app_lemuellabs_reserved/23f73865b5d6cd53.jar
- <Package Folder>/app_lemuellabs_reserved/7776eaa458742acf.jar
- <Package Folder>/app_lemuellabs_reserved/codex.so
- <Package Folder>/app_lemuellabs_reserved/e6993e085928ef3a.jar
- <Package Folder>/app_lemuellabs_reserved/e98089937529aa2c.jar
- <Package Folder>/app_lemuellabs_reserved_/9a2b3efcf76f26bf.dex
- <Package Folder>/app_lemuellabs_reserved_/9a2b3efcf76f26bf.jar
- <Package Folder>/app_lemuellabs_reserved_/codex_inner.so
- <Package Folder>/app_lemuellabs_reserved_/lemuel_security_inner.so
- <Package Folder>/app_td-cache/td_database_push
- <Package Folder>/app_td-cache/tdandroidgame
- <Package Folder>/app_tongyu/####/tongyu-pay-lib.apk
- <Package Folder>/cache/2111.dex (deleted)
- <Package Folder>/databases/talkingdata_app.db
- <Package Folder>/databases/talkingdata_app.db-journal
- <Package Folder>/files/####/DYsDoWyOnR9eW1chAre6lQ==
- <Package Folder>/files/####/DZmX3pmgT9tveEUfV5swww==
- <Package Folder>/files/####/cIiio30XoGs8HpFhnpC6_w==.new
- <Package Folder>/files/####/isgbnIP7kkttFaBJ
- <Package Folder>/files/####/jdQMCqOVvcW_Fy5r.zip
- <Package Folder>/files/####/libmiguED.so
- <Package Folder>/files/####/sGKVy5flcrzkyIcvCuuPcg==.new
- <Package Folder>/files/####/sewnug_f.dex
- <Package Folder>/files/####/sewnug_f.zip
- <Package Folder>/files/ED.ini
- <Package Folder>/files/MiguPay.Sdk30.Lib_12003033_2ef7e474df9346e4b808e3b0179c72c7_BN202.cod
- <Package Folder>/files/MiguPay.Sdk30.Lib_12003033_2ef7e474df9346e4b808e3b0179c72c7_BN202.dat
- <Package Folder>/files/Mpj4
- <Package Folder>/files/Mpj4.jar
- <Package Folder>/files/Plugin2.apk
- <Package Folder>/files/Plugin2.dex
- <Package Folder>/files/UNITEDPAYACTLIST_
- <Package Folder>/files/libmgRun_04.22.09_01.so
- <Package Folder>/files/log.dat
- <Package Folder>/files/mgAS.dat
- <Package Folder>/files/mgSS.dat
- <Package Folder>/files/mgid.dat
- <Package Folder>/files/sdk_prefs
- <Package Folder>/files/talkingdata_app_process_preferences_file
- <Package Folder>/files/talkingdata_app_version_preferences_file
- <Package Folder>/shared_prefs/3521668acb8d3a1a04964513d0f7eb368|account_file.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/TD_app_pefercen_profile.xml
- <Package Folder>/shared_prefs/TD_app_pefercen_profile.xml.bak
- <Package Folder>/shared_prefs/abc.xml
- <Package Folder>/shared_prefs/pref.xml
- <Package Folder>/shared_prefs/pref_file.xml
- <Package Folder>/shared_prefs/pref_file.xml.bak
- <Package Folder>/shared_prefs/td_pefercen_profile.xml
- <Package Folder>/shared_prefs/td_pefercen_profile.xml.bak
- <Package Folder>/shared_prefs/tdid.xml
- <SD-Card>/.tcookieid
- <SD-Card>/Download/####/ShareData.txt
- <SD-Card>/Download/####/deviceId
- <SD-Card>/Download/####/miguLog_1501850075084
- <SD-Card>/Download/####/miguLog_1501850075102
- <SD-Card>/Download/####/miguLog_1501850075116
- <SD-Card>/Download/####/sdk_prefs.txt
- <SD-Card>/cmgame/####/pushDB.txt
- <SD-Card>/cmgame/####/pushTime.txt
- <SD-Card>/cmgame/####/pushTotal.txt
Другие:
Запускает следующие shell-скрипты:
- cat /sys/class/net/wlan0/address
- getprop
- service list
Загружает динамические библиотеки:
- _lemuel_security
- codex
- codex_inner
- game
- lemuel_security_inner
- libmiguED
- megjb
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES
- DES-CBC-PKCS5Padding
- DES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
- DES-CBC-PKCS5Padding
- DES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Осуществляет доступ к информации об отправленых/принятых смс.
