Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.155.origin
- Android.Triada.178
- Android.Triada.248.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) www.huangda####.com:80
- TCP(HTTP/1.1) 1####.75.30.57:10001
- TCP(HTTP/1.1) 1####.59.40.34:19000
- TCP(HTTP/1.1) img.ace####.com:80
- TCP(HTTP/1.1) api.var####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- UDP(NTP) 2.and####.p####.####.org:123
- TCP(TLS/1.0) and####.cli####.go####.com:443
Запросы DNS:
- 2.and####.p####.####.org
- and####.cli####.go####.com
- api.var####.com
- c.jinqia####.com
- h5.tt-hong####.com
- img.ace####.com
- l.ace####.com
- loc.map.b####.com
- mt####.go####.com
- www.huangda####.com
Запросы HTTP GET:
- l.ace####.com/ando/i/mon?k=####&d=####
- www.huangda####.com/active!activeLog.action?provider=####&clickId=####&m...
- www.huangda####.com/resource!resource?resTypes=####&appid=####&channel=#...
Запросы HTTP POST:
- l.ace####.com/ando/v1/x/ap?app_id=####&r=####
- l.ace####.com/ando/v1/x/lv?app_id=####&r=####
- l.ace####.com/ando/v1/x/qa?app_id=####&r=####
- loc.map.b####.com/sdk.php
- www.huangda####.com/mobilepay/v2/getPayInfoListX2.do
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/EOZTzhVG.dex (deleted)
- <Package Folder>/EOZTzhVG.jar
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/index
- <Package Folder>/code-4657692/pmu3lt13HiOR53Fi
- <Package Folder>/databases/####/cc.db
- <Package Folder>/databases/####/cc.db-journal
- <Package Folder>/databases/GF5f-MhJ2ojRvAyWcOPzLmW37N_afKeE_Cgo...45yg==
- <Package Folder>/databases/GF5f-MhJ2ojRvAyWcOPzLmW37N_afKeE_Cgo...ournal
- <Package Folder>/databases/GF5f-MhJ2ojRvAyWcOPzLmW37N_afKeE_HMV...3oew==
- <Package Folder>/databases/GF5f-MhJ2ojRvAyWcOPzLmW37N_afKeE_HMV...ournal
- <Package Folder>/databases/GF5f-MhJ2ojRvAyWcOPzLmW37N_afKeE_Syh...Bn4Fg=
- <Package Folder>/databases/GF5f-MhJ2ojRvAyWcOPzLmW37N_afKeE_Syh...ournal
- <Package Folder>/databases/GF5f-MhJ2ojRvAyWcOPzLmW37N_afKeE_pV3...ournal
- <Package Folder>/databases/GF5f-MhJ2ojRvAyWcOPzLmW37N_afKeE_pvs...ScdAO0
- <Package Folder>/databases/GF5f-MhJ2ojRvAyWcOPzLmW37N_afKeE_pvs...ournal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/####/1BZ3HpBpzoaWA2_oJ_Xbhcp_-TmxFASz.new
- <Package Folder>/files/####/1tLimWXVp_F4S_kTSv9X499bLCg=.new
- <Package Folder>/files/####/2f51b40d-a447-4ee9-80ed-b3bf034338c0.pic.temp
- <Package Folder>/files/####/2k4rhgATP1IzbrpFJziizQ==.new
- <Package Folder>/files/####/3c388a33-5095-4b6c-8b73-b985a7a45572.pic.temp
- <Package Folder>/files/####/633c7fb6-752b-4be1-aaec-61aad140d5da.pic
- <Package Folder>/files/####/6fc08615-be43-4f08-878c-a151a41b0979.pic.temp
- <Package Folder>/files/####/8fc0b717-d836-4e41-ac63-b286185d30dd.pic.temp
- <Package Folder>/files/####/93fd0603-5e8a-441c-80a2-6018ee632fb6.pic.temp
- <Package Folder>/files/####/9H75nkoxFgaLab54_B3puYJk6dA=.new
- <Package Folder>/files/####/BbIubOjrjcG221jLuX6WSg==.new
- <Package Folder>/files/####/FsJ4TiPWu2pl_ZXOeqRgFyKTY_0-u2h2Z4S...Y=.new
- <Package Folder>/files/####/H8kudDUWPbWyWkBU56pVe38rjEUn0lf1bXj...s=.new
- <Package Folder>/files/####/IeFfPH9obQUrhW2IzkxUdU_Kg-xa89BL
- <Package Folder>/files/####/IeFfPH9obQUrhW2IzkxUdU_Kg-xa89BL.new
- <Package Folder>/files/####/IoIXZxebgKKLJ5dwiyVVF6GthcE=
- <Package Folder>/files/####/O3tKEHhdD0PgsbPsrIZd1ADEZCm7E8TT7Xi...o=.new
- <Package Folder>/files/####/OZcU6UMQZWIpfFRStgQgg17_ZVw=
- <Package Folder>/files/####/PqUx5MzCn6yVkXxTqjKt-Zzfn44VmFu5.new
- <Package Folder>/files/####/Qg_O3gVeQlRzSYcAHEOvFeDfLGLrklPF4J9...o=.new
- <Package Folder>/files/####/Qnej1GE7-RGz8wzYHqNZGZL1Tdjuk9jc.new
- <Package Folder>/files/####/RLI7e3E_G-ApOEPDuOsxDPg4rI6ogjSN.new
- <Package Folder>/files/####/S8CXZ1Rmq1YdOM30vxetmS6Xiv0=.new
- <Package Folder>/files/####/SsGEVFfRSbCrRt3g_uQS6UNBSCibenl_.new
- <Package Folder>/files/####/XTLxBbbDzom1Kug2asGbpQ==
- <Package Folder>/files/####/YmR_Cid8Fh8pJP2SBH4RDZGo8ACWqQiyK4xnFQ==.new
- <Package Folder>/files/####/ZKk-3pDWB0r_ysZ2ag2FXNbv2v_cKQou.new
- <Package Folder>/files/####/anD0gmFWJpoO9qXYb-0rYDfIjtX33mAY.new
- <Package Folder>/files/####/cc577f6a-346c-4508-aef6-366de0cb72c1.pic
- <Package Folder>/files/####/data.dat.tmp
- <Package Folder>/files/####/f8727b57-4906-490e-981b-434c6ab030f6.pic.temp
- <Package Folder>/files/####/kKBUOvUublb0e01LqK2dzewd3g1f1TVxMjZpQQ==.new
- <Package Folder>/files/####/kSFyzygfQ275Clz-.new
- <Package Folder>/files/####/libus.so
- <Package Folder>/files/####/q7vvVykSmd7_ry7x-8sBCg==
- <Package Folder>/files/####/q7vvVykSmd7_ry7x-8sBCg==.new
- <Package Folder>/files/####/r69n6zV_SBiZJ2EaAJPV8DS1HXk=
- <Package Folder>/files/####/r69n6zV_SBiZJ2EaAJPV8DS1HXk=.new
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/sbcnua_f.zip
- <Package Folder>/files/####/sxzNGw7ufMfsOqtR
- <Package Folder>/files/####/wcRhKDMKF_5C38W9.zip
- <Package Folder>/files/####/x4MlbetKLCT8Y80fAJQDv8h1exqdmeLnv2cGow==.new
- <Package Folder>/shared_prefs/pretw.xml
- <Package Folder>/shared_prefs/twj.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/zzconfig.xml
- <SD-Card>/.armsd/####/1bc1874a-6cf4-4685-97fe-6fef26217137.res
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/643a577c-daea-476b-a2d1-266df45100dc.res
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/a1e82fa1-4121-4bde-bff0-04c6848a61ce.res
- <SD-Card>/.armsd/####/f970adc2-6e07-4b52-89a0-5bec2b2196a1.res
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique.new
- <SD-Card>/.twservice/####/tw
- <SD-Card>/.twservice/qshp_3002_2206.zip
- <SD-Card>/Download/channel_conf
- <SD-Card>/Download/channel_conf1
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-4657692/pmu3lt13HiOR53Fi -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- sh <Package Folder>/code-4657692/pmu3lt13HiOR53Fi -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- ucmyd
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
