Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.155.origin
- Android.Triada.178
- Android.Triada.248.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- i####.####.com
- l####.####.com
- mt####.####.com
- w####.####.com
Запросы HTTP GET:
- l####.####.com/ando/i/mon?k=####&d=####
- w####.####.com/active!activeLog.action?provider=####&clickId=####&manu=#...
- w####.####.com/resource!resource?resTypes=####&appid=####&channel=####&s...
Запросы HTTP POST:
- l####.####.com/ando/v1/x/ap?app_id=####&r=####
- l####.####.com/ando/v1/x/lv?app_id=####&r=####
- l####.####.com/ando/v1/x/qa?app_id=####&r=####
- l####.####.com/sdk.php
- w####.####.com/mobilepay/v2/getPayInfoListX2.do
- w####.####.com/shop/shop_upload_log
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/EOZTzhVG.jar
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/index
- <Package Folder>/code-1591966/5m8KiYyZ68Wneqv9
- <Package Folder>/databases/####/cc.db
- <Package Folder>/databases/####/cc.db-journal
- <Package Folder>/databases/bz-TnhofsQcli8Zv9HMGvBteEWIntBwl_3p0byZ17TvgJn9nno-OfKg==
- <Package Folder>/databases/bz-TnhofsQcli8Zv9HMGvBteEWIntBwl_3p0byZ17TvgJn9nno-OfKg==-journal
- <Package Folder>/databases/bz-TnhofsQcli8Zv9HMGvBteEWIntBwl_NFz5x7bM76o=-journal
- <Package Folder>/databases/bz-TnhofsQcli8Zv9HMGvBteEWIntBwl_RshOT1uUiO90Nv6SW6Y73g==
- <Package Folder>/databases/bz-TnhofsQcli8Zv9HMGvBteEWIntBwl_RshOT1uUiO90Nv6SW6Y73g==-journal
- <Package Folder>/databases/bz-TnhofsQcli8Zv9HMGvBteEWIntBwl_ghmiSrCmJsiRKd9V8CeHYVthC04=
- <Package Folder>/databases/bz-TnhofsQcli8Zv9HMGvBteEWIntBwl_ghmiSrCmJsiRKd9V8CeHYVthC04=-journal
- <Package Folder>/databases/bz-TnhofsQcli8Zv9HMGvBteEWIntBwl_x2Sls8DfUcn2vdwu
- <Package Folder>/databases/bz-TnhofsQcli8Zv9HMGvBteEWIntBwl_x2Sls8DfUcn2vdwu-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/####/0c7333ce-02ae-4828-b60a-2c091508d72e.pic.temp
- <Package Folder>/files/####/25ec05a1-e274-4647-b05d-3fdd3037e5a9.pic.temp
- <Package Folder>/files/####/2aab7da9-9c0c-4e47-9928-bca288d54c3d.pic.temp
- <Package Folder>/files/####/2b20d3bf-99c4-4bce-97fd-1ba8ee6ff596.pic
- <Package Folder>/files/####/3ecb462a-39b4-4fa5-a732-d48557eb2511.pic.temp
- <Package Folder>/files/####/3uE0ojWEY0xdWVPftsnlQDqtwQw=.new
- <Package Folder>/files/####/4yvqgcEAzbbL1ow81YExOdHQeww=.new
- <Package Folder>/files/####/66f5fa43-dcdb-476a-a63c-8634bb0ee45c.pic.temp
- <Package Folder>/files/####/80dc0307-7d86-425a-8dc6-2b9bdc5f7d48.pic.temp
- <Package Folder>/files/####/989237ea-5e9d-4c35-9c7f-655f7d1652ee.pic
- <Package Folder>/files/####/B5Nao-IiKsnVOJBQcKJJCqlZtu0=.new
- <Package Folder>/files/####/ByuuIi56cHReuYngge491A==
- <Package Folder>/files/####/ByuuIi56cHReuYngge491A==.new
- <Package Folder>/files/####/D5BXUCVsA63TXcnKTdrf3nrFjreWki5E9nSGBvudGP4=.new
- <Package Folder>/files/####/FDeSO_ZqXXKUKNIvAkEQIzhGsYs=.new
- <Package Folder>/files/####/JXPJhDmXwgXuj44rIGZsgQDBgE-ru0V3.new
- <Package Folder>/files/####/NvLoHZ19sSdlxPQoeo0New==
- <Package Folder>/files/####/NvLoHZ19sSdlxPQoeo0New==.new
- <Package Folder>/files/####/P-lgQ_zswNC4rABsNCVnsShcThyc_ZmcYg-bwg==.new
- <Package Folder>/files/####/Pe4BBEsBvFzS24-AQ_A22_KyUQeo-eKOJkQ9VREZsq4=.new
- <Package Folder>/files/####/TyPTBOKCugS8ReKRMR4icA==.new
- <Package Folder>/files/####/V4DVSVbLzV9mBLlJ
- <Package Folder>/files/####/X80JiUNy3JSYJcJ_KdB1SJ_uigXELL_PvocKhLfbUyU=.new
- <Package Folder>/files/####/Y36SA2fKLdRVWMXN.new
- <Package Folder>/files/####/YZ233iU5d-clUKD819UtasoEOff6u3iUKlkNKQ==.new
- <Package Folder>/files/####/ZdQTTaM17rcunYadUVnl38fueXZAl08S.new
- <Package Folder>/files/####/b-thPlmh2JtvFeW3oZYws0mWNCY=
- <Package Folder>/files/####/cqs9xLOsCbD7kTsic7XVrywdr5ODPLFO.new
- <Package Folder>/files/####/cyah9d9Wr8NetJGIoJU7RQ==
- <Package Folder>/files/####/data.dat.tmp
- <Package Folder>/files/####/giGT1S8_9Oq1ZObfXvCuTTlEl19pgg8y.new
- <Package Folder>/files/####/kmwM9MsZafqdAT57Nku3JdWf2L3BWr7C.new
- <Package Folder>/files/####/libus.so
- <Package Folder>/files/####/lxLymarDJQSGfHY3QCtwUMRseWmb-jLS57RVug==.new
- <Package Folder>/files/####/mY3TRGVGI8p-6cW08WjRXOiEhbvqPCj_.new
- <Package Folder>/files/####/ooqFfDNHddEYwZ1D.zip
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/sbcnua_f.zip
- <Package Folder>/files/####/tuF8RRfvaHZFsrfLbLiLfS22meCZmEVc.new
- <Package Folder>/files/####/uKN12epclz44j54Mnb8tgCokTw8=
- <Package Folder>/files/####/ufAPR1g95thh1v96YYkCErGAs7o3eC75gPwK77p1BEA=.new
- <Package Folder>/files/####/v2URpD7v6LV-q6ac7FfQczVwk5eBAojk
- <Package Folder>/files/####/v2URpD7v6LV-q6ac7FfQczVwk5eBAojk.new
- <Package Folder>/files/####/v2URpD7v6LV-q6ac7FfQczVwk5eBAojk.old (deleted)
- <Package Folder>/shared_prefs/pretw.xml
- <Package Folder>/shared_prefs/twj.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/zzconfig.xml
- <SD-Card>/.armsd/####/565e9407-f6ec-4834-b08c-515e44e02721.res
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/a3cc6db5-7402-4376-999e-12d47d7dcf69.res
- <SD-Card>/.armsd/####/ccb787c9-d1b2-4dbf-aa46-31107d749636.res
- <SD-Card>/.armsd/####/ead8d5bb-ac5d-4161-99e3-1169901332a7.res
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique.new
- <SD-Card>/.twservice/####/tw
- <SD-Card>/.twservice/qshp_3002_2206.zip
- <SD-Card>/Download/channel_conf
- <SD-Card>/Download/channel_conf1
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-1591966/5m8KiYyZ68Wneqv9 -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- sh <Package Folder>/code-1591966/5m8KiYyZ68Wneqv9 -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- wcawd
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
