Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.MobiDash.2.origin
Перехватывает входящие смс и прекращает процесс их передачи обработчикам других приложений.
Сетевая активность:
Подключается к:
- cplus-w####.####.com
- d20xwqz####.####.net
Запросы HTTP GET:
- cplus-w####.####.com/log-status
- d20xwqz####.####.net/update.json
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/app_app_apk/android.dat.jar
- <Package Folder>/cache/####/-13185612291922445220
- <Package Folder>/code_cache/####/MultiDex.lock
- <Package Folder>/code_cache/####/tmp-<Package>-1.apk.classes-476112436.zip
- <Package Folder>/code_cache/####/tmp-<Package>-1.apk.classes809873756.zip
- <Package Folder>/databases/cplus_callerid-journal
- <Package Folder>/databases/cplus_logs-journal
- <Package Folder>/databases/metrica_client_data.db
- <Package Folder>/databases/metrica_client_data.db-journal
- <Package Folder>/files/####/598469D5017B-0001-0826-98301368A082BeginSession.cls_temp
- <Package Folder>/files/####/598469D5017B-0001-0826-98301368A082SessionApp.cls_temp
- <Package Folder>/files/####/598469D5017B-0001-0826-98301368A082SessionDevice.cls_temp
- <Package Folder>/files/####/598469D5017B-0001-0826-98301368A082SessionEvent0000000000.cls_temp
- <Package Folder>/files/####/598469D5017B-0001-0826-98301368A082SessionEvent0000000001.cls_temp
- <Package Folder>/files/####/598469D5017B-0001-0826-98301368A082SessionEvent0000000002.cls
- <Package Folder>/files/####/598469D5017B-0001-0826-98301368A082SessionEvent0000000003.cls_temp
- <Package Folder>/files/####/598469D5017B-0001-0826-98301368A082SessionEvent0000000004.cls_temp
- <Package Folder>/files/####/598469D5017B-0001-0826-98301368A082SessionEvent0000000005.cls
- <Package Folder>/files/####/598469D5017B-0001-0826-98301368A082SessionOS.cls_temp
- <Package Folder>/files/####/598469D5017B-0001-0826-98301368A082keys.meta
- <Package Folder>/files/####/598469D5017B-0001-0826-98301368A082user.meta
- <Package Folder>/files/####/com.crashlytics.settings.json
- <Package Folder>/files/####/crashlytics-userlog-598469D5017B-0001-0826-98301368A082.temp
- <Package Folder>/files/####/crashlytics-userlog-598469D5017B-0001-0826-98301368A082.temp (deleted)
- <Package Folder>/files/####/crashlytics-userlog-598469D5017B-0001-0826-98301368A082.temp.tmp
- <Package Folder>/files/####/initialization_marker
- <Package Folder>/files/####/sa_2cf07577-d3c1-46e0-b331-25bedced5723_1501850071137.tap
- <Package Folder>/files/####/sa_7ce97dca-af26-4c85-98d2-f9008b98388d_1501850114137.tap
- <Package Folder>/files/####/sa_aabddc88-f77e-4c36-aa2d-4c6a44c9697d_1501850072719.tap
- <Package Folder>/files/####/session_analytics.tap
- <Package Folder>/files/####/session_analytics.tap.tmp
- <Package Folder>/files/AppEventsLogger.persistedevents
- <Package Folder>/files/gNKXrirba
- <Package Folder>/files/metrica_client_data.db.lock
- <Package Folder>/shared_prefs/<Package>_migrationpreferences.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml (deleted)
- <Package Folder>/shared_prefs/<Package>_preferences.xml.bak
- <Package Folder>/shared_prefs/TwitterAdvertisingInfoPreferences.xml
- <Package Folder>/shared_prefs/backup-prefs.xml
- <Package Folder>/shared_prefs/backup-prefs.xml.bak
- <Package Folder>/shared_prefs/com.crashlytics.prefs.xml
- <Package Folder>/shared_prefs/com.crashlytics.sdk.android;answers;settings.xml
- <Package Folder>/shared_prefs/com.facebook.internal.preferences.APP_SETTINGS.xml
- <Package Folder>/shared_prefs/com.facebook.sdk.appEventPreferences.xml
- <Package Folder>/shared_prefs/com.facebook.sdk.attributionTracking.xml
- <Package Folder>/shared_prefs/io.fabric.sdk.android;fabric;io.fabric.sdk.android.Onboarding.xml
- <Package Folder>/shared_prefs/multidex.version.xml
- <Package Folder>/shared_prefs/timestamps.prefs.file.xml
- <Package Folder>/shared_prefs/timestamps.prefs.file.xml.bak
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/lib/libwatch.so
- sh <Package Folder>/lib/libwatch.so
Загружает динамические библиотеки:
- YandexMetricaNativeModule
- gNKXrirba
Использует права администратора.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о зарегистрированных на устройстве аккаунтах (Google, Facebook и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации о входящих/исходящих звонках.
Осуществляет доступ к информации об отправленых/принятых смс.
