Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.247.origin
- Android.Triada.248.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- c####.####.com
- i####.####.com
- l####.####.com
- r####.####.net
Запросы HTTP GET:
- i####.####.com/ando-res/ads/0/9/837ec120-ccf8-4ad0-b6fd-1303ff645eca/773...
- i####.####.com/ando-res/ads/30/14/f15541de-b7bd-4ff9-97fb-9e6cc9e4e044/0...
- i####.####.com/ando-res/ads/4/5/d73ab4a4-4c75-43a7-a3c9-5bdabd9437c8/d26...
- i####.####.com/ando-res/m/s3KOUSTUNwqwJOgW89Tsl-Qlaroq07gDVNfYRzW-w*Av*E...
- l####.####.com/ando/i/mon?k=####&d=####
Запросы HTTP POST:
- c####.####.com/show.aspx?Key=####
- l####.####.com/ando/x/lis?app_id=####&r=####
- l####.####.com/ando/x/liv?app_id=####&r=####
- l####.####.com/ando/x/req?app_id=####&r=####
- r####.####.net/config/update
- r####.####.net/dc/sync_adr
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/code-5711342/####/ZDQzabX1l6g=.jar
- <Package Folder>/code-5711342/GGqh4mf3iFfxyqc0
- <Package Folder>/databases/cc.db
- <Package Folder>/databases/cc.db-journal
- <Package Folder>/databases/dataeye_database_48BB4A8941447B7636BE87F9917B2855.db
- <Package Folder>/databases/dataeye_database_48BB4A8941447B7636BE87F9917B2855.db-journal
- <Package Folder>/databases/oxyMsUAA0CKwB19AUfwtq7s4z_5Kwjw-_FrWW2CmrwzkzslcB
- <Package Folder>/databases/oxyMsUAA0CKwB19AUfwtq7s4z_5Kwjw-_FrWW2CmrwzkzslcB-journal
- <Package Folder>/databases/oxyMsUAA0CKwB19AUfwtq7s4z_5Kwjw-_aiEtkHSMaY0YDbdppZLi1g==-journal
- <Package Folder>/databases/oxyMsUAA0CKwB19AUfwtq7s4z_5Kwjw-_gMIHZzhbXjFyqZPdKZ7jbyaCi4Q=
- <Package Folder>/databases/oxyMsUAA0CKwB19AUfwtq7s4z_5Kwjw-_gMIHZzhbXjFyqZPdKZ7jbyaCi4Q=-journal
- <Package Folder>/databases/oxyMsUAA0CKwB19AUfwtq7s4z_5Kwjw-_quTqfcmZL-ZuX9f0y1bLgQ==-journal
- <Package Folder>/databases/ua.db
- <Package Folder>/databases/ua.db-journal
- <Package Folder>/databases/vi_db_pay-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/files/####/-6Q2t-jQgbzxwE5JJLhouDSnYE78VS0sBYczdeSliCM=.new
- <Package Folder>/files/####/-wNpR-M3_6WtJ1AP
- <Package Folder>/files/####/1v8zrPAdf2s36AQTuSKceh9xk3M=.new
- <Package Folder>/files/####/25ca1b4f-4305-459e-94e4-b244fed99c60.res.temp
- <Package Folder>/files/####/35ac3bf0-4408-4910-827a-14c49a199878.res.temp
- <Package Folder>/files/####/53T7ti-qT2TT3JfD9eFa8KXVThTv0SpA.new
- <Package Folder>/files/####/6DU8aisqQsRdvjtW7GrC6-e8J5QFAU5U.new
- <Package Folder>/files/####/7EO84-mmIyiqvZSCy9ibrWe14Jk=
- <Package Folder>/files/####/7EO84-mmIyiqvZSCy9ibrWe14Jk=.new
- <Package Folder>/files/####/8273c2a0-a671-48d5-b192-a93a0320f252.res.temp
- <Package Folder>/files/####/B7_qt9J4WFozHjpsg6FlpQ==
- <Package Folder>/files/####/B7_qt9J4WFozHjpsg6FlpQ==.new
- <Package Folder>/files/####/ClxrYL9NFYAZkpbIbDZIqofP3FFNCTg3
- <Package Folder>/files/####/ClxrYL9NFYAZkpbIbDZIqofP3FFNCTg3.new
- <Package Folder>/files/####/DQ3D0mnePo-314oAVfjIbA==
- <Package Folder>/files/####/DnfSVaGNpmWybyn5qGXcGvhOyPp7d-ug.new
- <Package Folder>/files/####/E9ZCY0aPS0MgI1q07z3vHA==
- <Package Folder>/files/####/E9ZCY0aPS0MgI1q07z3vHA==.new
- <Package Folder>/files/####/JBnDZ6fLUjxd4ZxB_eKuueY6dU2EumlLrB7NrQ==.new
- <Package Folder>/files/####/KwL8mFUHyPyc23Qg.new
- <Package Folder>/files/####/OwCm0lBDv4zqw0MYYjgK-WnCKCk=.temp
- <Package Folder>/files/####/RBCBDDF4nFLk796BURob_w57GwnxUCHi.new
- <Package Folder>/files/####/TsJ7etTqs6n-haW3pnKELw==
- <Package Folder>/files/####/TsJ7etTqs6n-haW3pnKELw==.new
- <Package Folder>/files/####/TsJ7etTqs6n-haW3pnKELw==.old (deleted)
- <Package Folder>/files/####/X2WSn-uNffHRUJNdxXMLxyFTT32K34OqT0Cwbnqh3tw=.new
- <Package Folder>/files/####/XAubPbATtxaAXM_9UgRqRHs4MuyTYGKdT6Yjcw==.new
- <Package Folder>/files/####/YN8lcJVAeuqEozSo74xcLw==
- <Package Folder>/files/####/YN8lcJVAeuqEozSo74xcLw==.new
- <Package Folder>/files/####/YdE8kXJ2oC30q4YrjnAAVwiphX7XaJms.new
- <Package Folder>/files/####/_yzcePCAhiRhrrNeU7LmsCVQwzA=.new
- <Package Folder>/files/####/ac381b10-c076-47f6-80e0-4e771d917e9a.res
- <Package Folder>/files/####/bMTPLU_VyqgcCMvI.zip
- <Package Folder>/files/####/dUIRfCRvhSfuX9F29mruDy5LzVk=
- <Package Folder>/files/####/dUIRfCRvhSfuX9F29mruDy5LzVk=.new
- <Package Folder>/files/####/dUIRfCRvhSfuX9F29mruDy5LzVk=.old (deleted)
- <Package Folder>/files/####/data.dat.tmp
- <Package Folder>/files/####/e5fb9a08-aefb-465c-af50-72457e28f076.res
- <Package Folder>/files/####/exchangeIdentity.json
- <Package Folder>/files/####/mruQLpbZqoURf9xm71xFH7vJexl3FJ6gilIQiw==.new
- <Package Folder>/files/####/nmaiWCEskJRMSjh929a6txRbOfw2ONeccn62XLn77D4=.new
- <Package Folder>/files/####/olXIrHKZr5Ar5fjIhqJHTBvwtssUeb23.new
- <Package Folder>/files/####/runner_info.prop
- <Package Folder>/files/####/tuzcuw_f.zip
- <Package Folder>/files/####/xH3sZjBh8YRruDPC81uIpZ_zshE=.temp
- <Package Folder>/files/####/xOXwN6ny6vSMGUMzXfOeT6BNefU=
- <Package Folder>/files/exid.dat
- <Package Folder>/files/libexec.so
- <Package Folder>/files/libexecmain.so
- <Package Folder>/files/paylib.jar
- <Package Folder>/files/rdata_comsnnevneq
- <Package Folder>/files/rdata_comsnnevneq.new
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/shared_prefs/Alvin2.xml
- <Package Folder>/shared_prefs/ContextData.xml
- <Package Folder>/shared_prefs/dc.48BB4A8941447B7636BE87F9917B2855.preferences.xml
- <Package Folder>/shared_prefs/dc.48BB4A8941447B7636BE87F9917B2855.preferences.xml.bak
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/unknown.xml
- <SD-Card>/.DataStorage/ContextData.xml
- <SD-Card>/.SystemService/####/2D7F07BB6125DEB407E92A22DC4AC550
- <SD-Card>/.SystemService/####/uid
- <SD-Card>/.UTSystemConfig/####/Alvin2.xml
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/63219634-3499-44e1-acab-1f2c4a266f76.res
- <SD-Card>/.armsd/####/902f8881-3e3f-4425-b657-4666f36486ce.res
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/d8a87296-660f-4a41-b50a-c08e7163f4f7.res
- <SD-Card>/.armsd/####/f362541b-51d4-4921-a0e4-a32b968fa690.res
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique
- <SD-Card>/.env/.uunique.new
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh
- <Package Folder>/code-5711342/GGqh4mf3iFfxyqc0 -p <Package> -c com.snne.vneq.vlndug.a.a.d.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- cat /sys/block/mmcblk0/device/cid
- getprop ro.product.cpu.abi
- ls -l /sbin/su
- ls -l /system/bin/su
- ls -l /system/sbin/su
- ls -l /system/xbin/su
- ls -l /vendor/bin/su
- sh <Package Folder>/code-5711342/GGqh4mf3iFfxyqc0 -p <Package> -c com.snne.vneq.vlndug.a.a.d.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- cocos2dcpp
- libexec
- libexecmain
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
