Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.155.origin
- Android.Triada.178
- Android.Triada.248.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- i####.####.com
- l####.####.com
- mt####.####.com
- w####.####.com
Запросы HTTP GET:
- l####.####.com/ando/i/mon?k=####&d=####
- w####.####.com/active!activeLog.action?provider=####&clickId=####&manu=#...
- w####.####.com/resource!resource?resTypes=####&appid=####&channel=####&s...
Запросы HTTP POST:
- l####.####.com/ando/v1/x/ap?app_id=####&r=####
- l####.####.com/ando/v1/x/lv?app_id=####&r=####
- l####.####.com/ando/v1/x/qa?app_id=####&r=####
- l####.####.com/sdk.php
- w####.####.com/mobilepay/v2/getPayInfoListX2.do
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/EOZTzhVG.dex (deleted)
- <Package Folder>/EOZTzhVG.jar
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/index
- <Package Folder>/code-9730083/852tjeaksyXdIsY_
- <Package Folder>/databases/####/cc.db
- <Package Folder>/databases/####/cc.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/databases/yfXjseFb4_uaK7Xd-dbbm_tRH22ZWXDp_2otW-1wzX1g=-journal
- <Package Folder>/databases/yfXjseFb4_uaK7Xd-dbbm_tRH22ZWXDp_5ZBlsclbyOcns6U4
- <Package Folder>/databases/yfXjseFb4_uaK7Xd-dbbm_tRH22ZWXDp_5ZBlsclbyOcns6U4-journal
- <Package Folder>/databases/yfXjseFb4_uaK7Xd-dbbm_tRH22ZWXDp_PmhjaR71v5OczY8Zzv1RmQ==
- <Package Folder>/databases/yfXjseFb4_uaK7Xd-dbbm_tRH22ZWXDp_PmhjaR71v5OczY8Zzv1RmQ==-journal
- <Package Folder>/databases/yfXjseFb4_uaK7Xd-dbbm_tRH22ZWXDp__isKq2BZk8unHI6EI03YQg==
- <Package Folder>/databases/yfXjseFb4_uaK7Xd-dbbm_tRH22ZWXDp__isKq2BZk8unHI6EI03YQg==-journal
- <Package Folder>/databases/yfXjseFb4_uaK7Xd-dbbm_tRH22ZWXDp_miaVYXenb6PeYR62wQkZGGIzSak=
- <Package Folder>/databases/yfXjseFb4_uaK7Xd-dbbm_tRH22ZWXDp_miaVYXenb6PeYR62wQkZGGIzSak=-journal
- <Package Folder>/files/####/19oVB_7WoCUi4FY1tUjVoNQH5Djr9NU_.new
- <Package Folder>/files/####/1c1aa072-3757-4488-b2c8-ad04aea9db0e.pic.temp
- <Package Folder>/files/####/32535a76-86c6-4eee-9a88-6b5ccaf1b001.pic.temp
- <Package Folder>/files/####/577hzmb1zJSZQafk6k1u9f6gWlxJY-DgEJ_Tp3HZ3xo=.new
- <Package Folder>/files/####/679f1b1b-10e6-45b6-8512-2c9e86763cc8.pic
- <Package Folder>/files/####/6dx_dGOtIRk15xRxbQLGgbM4Qlg=
- <Package Folder>/files/####/7b6dba4f-00aa-4847-b193-a8312e3ebee5.pic.temp
- <Package Folder>/files/####/85acf5a7-68e6-49e7-a450-018dbc33f4cb.pic.temp
- <Package Folder>/files/####/9c719d6c-e0d7-4f44-ab9c-d4dbcfffc22b.pic.temp
- <Package Folder>/files/####/9ku7Ww9WMF1NwhWjsA9e6kaG6eR7loov
- <Package Folder>/files/####/9ku7Ww9WMF1NwhWjsA9e6kaG6eR7loov.new
- <Package Folder>/files/####/9ku7Ww9WMF1NwhWjsA9e6kaG6eR7loov.old (deleted)
- <Package Folder>/files/####/FVCOlSb1d7QG2-SDw6S7UA==
- <Package Folder>/files/####/GFrHHc-KTwDRItQPQONVmQ==
- <Package Folder>/files/####/GFrHHc-KTwDRItQPQONVmQ==.new
- <Package Folder>/files/####/L1cseIke7hAqTJE8-KZq5g==.new
- <Package Folder>/files/####/MU18oLp6qN1BD__ueOLdbbK92-I8peRNofccJPZh_g8=.new
- <Package Folder>/files/####/SyBflWE-udy1Dp8X.new
- <Package Folder>/files/####/TgdREI-9lmnvAXoxqf6pxVFe8N6Gw8H0.new
- <Package Folder>/files/####/Unaex7s1-KD3xgLNF3kYFHRPl_YnESfR.new
- <Package Folder>/files/####/WoIkOyTqzA46FYi89iAXUsnRX4ROeB3jVXLieg==.new
- <Package Folder>/files/####/YmQ0JBTipsK9ASG-QKBmN5pfojY=.new
- <Package Folder>/files/####/aZJ_wa-lfQE4unm1SPObVU1ZLfwhDmKg.new
- <Package Folder>/files/####/bbbb21c8-25f2-4e24-ac9a-8bde7c090e92.pic.temp
- <Package Folder>/files/####/cfpc14rkwfLNVsKvFZfE9QY4A5tqJTop.new
- <Package Folder>/files/####/data.dat.tmp
- <Package Folder>/files/####/eSsLmaPGGfrLn4s2ywqgN_woBdo=.new
- <Package Folder>/files/####/enlQY8zt-oGAj34H4123XABAepIkM4-6.new
- <Package Folder>/files/####/fcad47be-9ec6-4958-b2e2-cb243cd50123.pic
- <Package Folder>/files/####/iIzQVY6KrYOjaVN3awQ24VQ5uY99lcUKFR3WzPBfcL4=.new
- <Package Folder>/files/####/jN_nXYWb9uBboT21NCYT79EmJY98m1MQWo1nnCxZ1v8=.new
- <Package Folder>/files/####/libus.so
- <Package Folder>/files/####/mjcveCm1ICciweoYRxSdhYA-LcKYnFcnammkvw==.new
- <Package Folder>/files/####/n2DptqOQsjLHyMYWElE6_l8eWrsrRzuL.new
- <Package Folder>/files/####/oyPw3hjnwqKyU5jOoLQEpQkY55w=
- <Package Folder>/files/####/qTe4aCVO3ENaaaSk3MHb1vv4jNo=.new
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/sbcnua_f.zip
- <Package Folder>/files/####/sl1XtYE8eXD2qrO7Uv94G1hu3Fo=.new
- <Package Folder>/files/####/tMqdmiCJYsbA9JZ-.zip
- <Package Folder>/files/####/wmV7W1w_0eOI588P6czz_E7sDdPJ3z_OnxhDzA==.new
- <Package Folder>/files/####/y_3RdjfzY8oepfvI
- <Package Folder>/files/####/z-fiLfw-sSIO628gHhF1OA==
- <Package Folder>/files/####/z-fiLfw-sSIO628gHhF1OA==.new
- <Package Folder>/files/####/z-fiLfw-sSIO628gHhF1OA==.old (deleted)
- <Package Folder>/shared_prefs/pretw.xml
- <Package Folder>/shared_prefs/twj.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/zzconfig.xml
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/a22c3ca3-6702-4e09-8670-bba36ca0b9e7.res
- <SD-Card>/.armsd/####/b4ddcffc-77ec-4e72-90ca-970d19c419d4.res
- <SD-Card>/.armsd/####/e3d04f60-20c1-4990-a676-0f7a43889167.res
- <SD-Card>/.armsd/####/f04c41ae-410d-4bd0-ba1c-ee4addfd4362.res
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique.new
- <SD-Card>/.twservice/####/tw
- <SD-Card>/.twservice/qshp_3002_2206.zip
- <SD-Card>/Download/channel_conf
- <SD-Card>/Download/channel_conf1
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-9730083/852tjeaksyXdIsY_ -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- sh <Package Folder>/code-9730083/852tjeaksyXdIsY_ -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- vlvdl
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
