Техническая информация
Вредоносные функции:
Скрывает свою иконку с экрана устройства.
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Перехватывает входящие смс и прекращает процесс их передачи обработчикам других приложений.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(TLS/1.0) e.crashly####.com:443
- TCP(TLS/1.0) pars####.back####.com:443
- TCP(TLS/1.0) sett####.crashly####.com:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
Запросы DNS:
- and####.cli####.go####.com
- e.crashly####.com
- pars####.back####.com
- sett####.crashly####.com
Изменения в файловой системе:
Создает следующие файлы:
- /system/app/test.txt
- <Package Folder>/app_Parse/currentInstallation
- <Package Folder>/app_Parse/installationId
- <Package Folder>/app_dex/15dad3d5ea2.apk
- <Package Folder>/app_dex/15dad3d6246.apk
- <Package Folder>/app_dex/15dad3d63ce.apk
- <Package Folder>/app_outdex/libdexprotector.so
- <Package Folder>/app_sslcache/parseapi.back4app.com.443
- <Package Folder>/cache/####/applicationId
- <Package Folder>/files/####/598469D40121-0001-0838-9CCABACB5DB0...s_temp
- <Package Folder>/files/####/598469D40121-0001-0838-9CCABACB5DB0user.meta
- <Package Folder>/files/####/com.crashlytics.settings.json
- <Package Folder>/files/####/initialization_marker
- <Package Folder>/files/####/sa_b69699f4-4506-4998-9acd-bbee96ac...71.tap
- <Package Folder>/files/####/sa_ec939bb6-6b7c-40b0-bb67-41ace211...62.tap
- <Package Folder>/files/####/sa_ecdfce3f-9593-417a-95b9-c2a119f8...96.tap
- <Package Folder>/files/####/session_analytics.tap
- <Package Folder>/files/####/session_analytics.tap.tmp
- <Package Folder>/shared_prefs/TwitterAdvertisingInfoPreferences.xml
- <Package Folder>/shared_prefs/com.crashlytics.prefs.xml
- <Package Folder>/shared_prefs/com.crashlytics.sdk.android;answe...gs.xml
- <Package Folder>/shared_prefs/io.fabric.sdk.android;fabric;io.f...ng.xml
- <Package Folder>/shared_prefs/settings.xml
- <SD-Card>/Android/####/09a2f1ebeaf4a995c57db46809acb22975481a7f...284abb
- <SD-Card>/Android/####/15018501044270d5b6ff6e2de87ccc252d0d9cc284abb
- <SD-Card>/Android/####/15018501295280d5b6ff6e2de87ccc252d0d9cc284abb
- <SD-Card>/Android/####/3a203d88e4bd83630974486710daa16813a6f1be...284abb
- <SD-Card>/Android/####/4481c4ae9bb5c7bad736e7da5583f3118bf8485c...284abb
- <SD-Card>/Android/####/49af21efbc6375f7fb78460e4675df253833cb38...595cc2
- <SD-Card>/Android/####/4fb2b5fb12ae1671410ecf31ee683e088bf8485c...284abb
- <SD-Card>/Android/####/5c14a3eb99db7181c797cc65f25eed4c8bf8485c...284abb
- <SD-Card>/Android/####/___UNKNOWN_<System Property>__1501850074244.xml
- <SD-Card>/Android/####/fa71c0da7c12917c14c8879c7a559b5852fb7925...284abb
- <SD-Card>/test.txt
Другие:
Запускает следующие shell-скрипты:
- /system/bin/screencap -p /storage/emulated/0/Android/data/com.google.android.apps.maps/.95afdebdd42cf96c53cb534d51a3bc34/592b4ad09a9f9d3abd4724debcc6158c/TestScreenshots.temp
- chmod 777 /storage/emulated/0
- chmod 777 /storage/emulated/0/test.txt
- chmod 777 /system/app
- chmod 777 /system/app/test.txt
- mount -o remount,ro /storage
- mount -o remount,ro /system
- mount -o remount,rw /storage
- mount -o remount,rw /system
- rm -r /system/app/test.txt
- sh
- su
Загружает динамические библиотеки:
- libdexprotector
Использует следующие алгоритмы для шифрования данных:
- AES
- AES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
Использует повышенные привилегии.
Использует права администратора.
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к интерфейсам записи аудио/видео данных.
Выполняет запись аудио/видео данных.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об активных администраторах устройства.
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
