Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.155.origin
- Android.Triada.178
- Android.Triada.248.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) 1####.75.30.57:10001
- TCP(HTTP/1.1) img.ace####.com:80
- TCP(HTTP/1.1) api.var####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
Запросы DNS:
- api.var####.com
- c.jinqia####.com
- h5.tt-hong####.com
- img.ace####.com
- l.ace####.com
- loc.map.b####.com
Запросы HTTP GET:
- l.ace####.com/ando/i/mon?k=####&d=####
Запросы HTTP POST:
- l.ace####.com/ando/v1/x/ap?app_id=####&r=####
- l.ace####.com/ando/v1/x/lv?app_id=####&r=####
- l.ace####.com/ando/v1/x/qa?app_id=####&r=####
- loc.map.b####.com/sdk.php
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/EOZTzhVG.jar
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/index
- <Package Folder>/code-3327822/_1tkj-xeIOVsVvgM
- <Package Folder>/databases/####/cc.db
- <Package Folder>/databases/####/cc.db-journal
- <Package Folder>/databases/ITGnQF_KUaoVTMUi2ADGhGIMjikIuHcR_5nL...mStjw=
- <Package Folder>/databases/ITGnQF_KUaoVTMUi2ADGhGIMjikIuHcR_5nL...ournal
- <Package Folder>/databases/ITGnQF_KUaoVTMUi2ADGhGIMjikIuHcR_O36...4wsvfD
- <Package Folder>/databases/ITGnQF_KUaoVTMUi2ADGhGIMjikIuHcR_O36...ournal
- <Package Folder>/databases/ITGnQF_KUaoVTMUi2ADGhGIMjikIuHcR_QBv...e0qg==
- <Package Folder>/databases/ITGnQF_KUaoVTMUi2ADGhGIMjikIuHcR_QBv...ournal
- <Package Folder>/databases/ITGnQF_KUaoVTMUi2ADGhGIMjikIuHcR_hY2...ournal
- <Package Folder>/databases/ITGnQF_KUaoVTMUi2ADGhGIMjikIuHcR_mBa...LAlA==
- <Package Folder>/databases/ITGnQF_KUaoVTMUi2ADGhGIMjikIuHcR_mBa...ournal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/####/0xUNnfzE11cn9Rqm63-X3OEAsU8K0Br7
- <Package Folder>/files/####/0xUNnfzE11cn9Rqm63-X3OEAsU8K0Br7.new
- <Package Folder>/files/####/0xUNnfzE11cn9Rqm63-X3OEAsU8K0Br7.old (deleted)
- <Package Folder>/files/####/200d8rvQaM4Sh9NqBek5WrOsude-_oqI.new
- <Package Folder>/files/####/3M1fUln1Vt6eLUUTIOPQcCXBGCoxWKO9.new
- <Package Folder>/files/####/3otFQW6owBTBs5GCFci84QmWeCg=
- <Package Folder>/files/####/41QMfZ1FF-5A47E-tbL6i4UOGI-rJS0A.new
- <Package Folder>/files/####/50f59eb7-40d8-4f26-bd99-2d4389e5a929.pic.temp
- <Package Folder>/files/####/79900270-66d3-4921-9151-6079f2d9e439.pic
- <Package Folder>/files/####/97dc9e90-087c-44da-9e86-281a58bd69b9.pic.temp
- <Package Folder>/files/####/AZxItKVmqbEtcpVZNovOKxOwV2iz5fQUuD1Z8A==.new
- <Package Folder>/files/####/G7HTXKmvaNF6Ym4tIMoIHznGF_I=.new
- <Package Folder>/files/####/Gw_sBaGSwgad59QPwoJ1HBHeMFnhV9u8Rmv...s=.new
- <Package Folder>/files/####/Hna7k24gp28Xchw0
- <Package Folder>/files/####/MA24eYeKN6O1dt4w8V0-vw==.new
- <Package Folder>/files/####/MxUIcD7nsdpn50bxxQQOGAys-0X2yGgl.new
- <Package Folder>/files/####/OqWWNbm7-LhNIrvEMQzisL8YYjA=
- <Package Folder>/files/####/Rhja6DWPvvGAuYcaEUhuGXuDBo1u4Obc3Rg...M=.new
- <Package Folder>/files/####/TDcXDv5WC3x0hTcAJm5SUjFDLAGDHozI.new
- <Package Folder>/files/####/VCUJi1nNU6C8vw8OMkA8oQ==.new
- <Package Folder>/files/####/ad5218bb-434d-484a-a9d5-37b317c61534.pic
- <Package Folder>/files/####/b0a9b074-1503-4aa1-8d2e-97b8a8bb7c72.pic.temp
- <Package Folder>/files/####/bVA5F7aRsXBmcFyXM2Mf1VdjtoqQ9wqlebbdMA==.new
- <Package Folder>/files/####/c5b119dc-81e4-4fc6-be01-10533c45dbcd.pic.temp
- <Package Folder>/files/####/d0YEHDoodSd2-oJGZmF_Gkpn1bA=.new
- <Package Folder>/files/####/d1abe3e8-d13c-467b-a3c1-83093ac43eeb.pic.temp
- <Package Folder>/files/####/data.dat.tmp
- <Package Folder>/files/####/ePKxOgKlQarL96nSeZBN54gJBmY=.new
- <Package Folder>/files/####/fab70673-ea25-45d1-ba0c-eccb390d3f70.pic.temp
- <Package Folder>/files/####/gkkCAtLLEvu6ZnVw6gCs8jpCFDEH0u0lqNu...I=.new
- <Package Folder>/files/####/k3RXDHZ60EINZ858bbfMo6RazXd_sZI8.new
- <Package Folder>/files/####/kd8zoDMVUE_d48MQbEWLahyg5tIiQpShl_PN_A==.new
- <Package Folder>/files/####/libus.so
- <Package Folder>/files/####/nVAJeFZL0-WtZCrW.zip
- <Package Folder>/files/####/niPtir_yDlxtcZSP.new
- <Package Folder>/files/####/qH5w1Z-H4uqB8Wk0WqBtek-XgUNA5xARpD7...M=.new
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/sbcnua_f.zip
- <Package Folder>/files/####/szFT2djqqNXN1W57Y-ka0w==
- <Package Folder>/files/####/szFT2djqqNXN1W57Y-ka0w==.new
- <Package Folder>/files/####/t53W1FpIMjnjad6KbJkR67kS0pE=.new
- <Package Folder>/files/####/y70DNh3HTALx9xNoKECXlw==
- <Package Folder>/files/####/yPT68LapvYgPP_d0qQiH1GGL_IOvS-J0.new
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/zzconfig.xml
- <SD-Card>/.armsd/####/02cd1ab9-acb7-48f7-9d97-c9c59869112c.res
- <SD-Card>/.armsd/####/1b88c186-4f4f-49d2-a746-f625dc80f32c.res
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/99f0c9c2-aaa9-4613-b5ee-d2f6a27727d5.res
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/cc01979c-c946-402b-9b3a-a11d7fd45694.res
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique.new
- <SD-Card>/.twservice/qshp_3002_2206.zip
- <SD-Card>/Download/channel_conf
- <SD-Card>/Download/channel_conf1
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-3327822/_1tkj-xeIOVsVvgM -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- sh <Package Folder>/code-3327822/_1tkj-xeIOVsVvgM -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- okega
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
