Техническая информация
Вредоносные функции:
Отправляет СМС-сообщения:
- 106575206321505460: dyl#null,<IMEI>,6000135-1-1001-6_kh29s0494_-0
- 10691009: @8DYL#null,<IMEI>,6000135-1-1001-6_kh29s0494_-0
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Перехватывает входящие смс и прекращает процесс их передачи обработчикам других приложений.
Сетевая активность:
Подключается к:
- 1####.####.136
- a####.####.com
- and####.####.com
- and####.####.com:8077
- c####.####.com
- huangda####.com
- m####.####.com
- p####.####.cc
- p####.####.com
- w####.####.com
- xx####.com
- xx####.com:8080
Запросы HTTP GET:
- 1####.####.136/sendLog/getUrl.php
- c####.####.com/20170724/tongyu-pay-lib-2160.apk
- huangda####.com/payres!getResource.action?resTypes=####&appid=####&chann...
- m####.####.com/course/504703.html?cm=####
- w####.####.com/r/378609775/index.htm?cm=####
- xx####.com/sok/gog?&brd=####&carrier=####&density=####&deviceid=####&ime...
- xx####.com:8080/sok/gog?&brd=####&carrier=####&density=####&deviceid=###...
Запросы HTTP POST:
- a####.####.com/app_logs
- and####.####.com/android/sms/netpay/prefetch.do
- and####.####.com:8077/record-plat/seq/query.do
- p####.####.cc/index.php/MC/HB
- p####.####.com/sdkMis/init-submit
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/app_tongyu/####/tongyu-pay-lib.apk
- <Package Folder>/app_workbench73346/apk.zip
- <Package Folder>/app_workbench84172/apk.zip
- <Package Folder>/databases/Data_sync.db-journal
- <Package Folder>/databases/MaiStore.db-journal
- <Package Folder>/databases/cc.db
- <Package Folder>/databases/cc.db-journal
- <Package Folder>/databases/ua.db
- <Package Folder>/databases/ua.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/files/####/exchangeIdentity.json
- <Package Folder>/files/.imprint
- <Package Folder>/files/exid.dat
- <Package Folder>/files/libabc
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/shared_prefs/ACCOUNT_SYSTEM_ACCOUNT_INFO.xml
- <Package Folder>/shared_prefs/Alvin2.xml
- <Package Folder>/shared_prefs/BOOT_SMS_INFO.xml
- <Package Folder>/shared_prefs/BOOT_SMS_SENT_TIME.xml
- <Package Folder>/shared_prefs/CONFIG.xml
- <Package Folder>/shared_prefs/ContextData.xml
- <Package Folder>/shared_prefs/plugin_record_app_info.xml
- <Package Folder>/shared_prefs/port.xml
- <Package Folder>/shared_prefs/port.xml.bak
- <Package Folder>/shared_prefs/pref_recomm.xml
- <Package Folder>/shared_prefs/pref_recomm.xml.bak
- <Package Folder>/shared_prefs/pretw.xml
- <Package Folder>/shared_prefs/pretw.xml.bak
- <Package Folder>/shared_prefs/share_data.xml
- <Package Folder>/shared_prefs/share_data.xml.bak
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <SD-Card>/.DataStorage/ContextData.xml
- <SD-Card>/.UTSystemConfig/####/Alvin2.xml
- <SD-Card>/.twservice/####/tw
- <SD-Card>/.twservice/qshp_3003_2282.zip
- <SD-Card>/Android/####/.nomedia
- <SD-Card>/Android/####/com.skymobi.pay.plugin.main.data
- <SD-Card>/Android/####/com.skymobi.pay.plugin.recordupload.data
- <SD-Card>/Android/####/com.skymobi.pay.plugin.smspay.data
- <SD-Card>/Android/####/user.sys
Другие:
Запускает следующие shell-скрипты:
- cat /sys/block/mmcblk0/device/cid
- cat /sys/class/net/wlan0/address
Загружает динамические библиотеки:
- andengine
- cocos2dx
- libabc
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации о входящих/исходящих звонках.
Осуществляет доступ к информации об отправленых/принятых смс.
