Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.155.origin
- Android.Triada.178
- Android.Triada.248.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) www.huangda####.com:80
- TCP(HTTP/1.1) 1####.75.30.57:10001
- TCP(HTTP/1.1) 1####.59.40.34:19000
- TCP(HTTP/1.1) img.ace####.com:80
- TCP(HTTP/1.1) api.var####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
Запросы DNS:
- api.var####.com
- c.jinqia####.com
- h5.tt-hong####.com
- img.ace####.com
- l.ace####.com
- loc.map.b####.com
- www.huangda####.com
Запросы HTTP GET:
- l.ace####.com/ando/i/mon?k=####&d=####
- www.huangda####.com/active!activeLog.action?provider=####&clickId=####&m...
- www.huangda####.com/resource!resource?resTypes=####&appid=####&channel=#...
Запросы HTTP POST:
- l.ace####.com/ando/v1/x/ap?app_id=####&r=####
- l.ace####.com/ando/v1/x/lv?app_id=####&r=####
- l.ace####.com/ando/v1/x/qa?app_id=####&r=####
- loc.map.b####.com/sdk.php
- www.huangda####.com/mobilepay/v2/getPayInfoListX2.do
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/EOZTzhVG.jar
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/index
- <Package Folder>/code-4475442/w2yEXMfSF-8fSWjC
- <Package Folder>/databases/####/cc.db
- <Package Folder>/databases/####/cc.db-journal
- <Package Folder>/databases/Qny_aQyEYmvRDzYd8JwmTBEqGGkidYTk_-1U...9rNA==
- <Package Folder>/databases/Qny_aQyEYmvRDzYd8JwmTBEqGGkidYTk_-1U...ournal
- <Package Folder>/databases/Qny_aQyEYmvRDzYd8JwmTBEqGGkidYTk_EPe...DkUVQ=
- <Package Folder>/databases/Qny_aQyEYmvRDzYd8JwmTBEqGGkidYTk_EPe...ournal
- <Package Folder>/databases/Qny_aQyEYmvRDzYd8JwmTBEqGGkidYTk_JEt...ckyOvx
- <Package Folder>/databases/Qny_aQyEYmvRDzYd8JwmTBEqGGkidYTk_JEt...ournal
- <Package Folder>/databases/Qny_aQyEYmvRDzYd8JwmTBEqGGkidYTk_So8...K_Zg==
- <Package Folder>/databases/Qny_aQyEYmvRDzYd8JwmTBEqGGkidYTk_So8...ournal
- <Package Folder>/databases/Qny_aQyEYmvRDzYd8JwmTBEqGGkidYTk_ndz...ournal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/####/-052UGxfhcwHNhxhfGcUlOBpQB09zM7qXA4Klw==.new
- <Package Folder>/files/####/0MZrR1Hf-J_kB1s3J1xYvsY5s-0=
- <Package Folder>/files/####/1c144828-2215-42ab-9b5a-4179393bba68.pic.temp
- <Package Folder>/files/####/25208923-c538-4bd4-adc5-76a37f2f366b.pic.temp
- <Package Folder>/files/####/2WpbgrgmoE51ZAyZ.new
- <Package Folder>/files/####/5In1_a8oT_WsIXK-iWkw_zQm5B5QvQSU.new
- <Package Folder>/files/####/5e-jfdk1TikieV_jyP9RzcPToTY=
- <Package Folder>/files/####/5e-jfdk1TikieV_jyP9RzcPToTY=.new
- <Package Folder>/files/####/71Bw9wUTlH753VzPt8MCjV_TYTFscCRa9u2...o=.new
- <Package Folder>/files/####/97571a0f-d3b4-47c1-880d-5d3202db5b64.pic.temp
- <Package Folder>/files/####/AVwAdsSTRkVxTiA3Mq4cTzIboldDWF_7.new
- <Package Folder>/files/####/IINFpsJqgAxFP--bm9b9oOIlhU2wFSVU.new
- <Package Folder>/files/####/Id0jdrBWGaUXwfYLBkHs45qcbR5QcIQIiO1...Q=.new
- <Package Folder>/files/####/LFiWC9BYbgifjIjqJkHYlweQZ3Nz5OnW1TTLOQ==.new
- <Package Folder>/files/####/Nux_pG47RH6LIYDNRik1Qg==
- <Package Folder>/files/####/Nux_pG47RH6LIYDNRik1Qg==.new
- <Package Folder>/files/####/OU0WzOcVLUZLOCIvCp4epQ==.new
- <Package Folder>/files/####/S-gjyDGVRaDk7e0-th3POQTDFaJu2Tb37o-...g=.new
- <Package Folder>/files/####/TRUSBC2r1EXwL4cR2lR5vPSnp6lnr6rlGEUxoQ==.new
- <Package Folder>/files/####/UuMPy84OUhpIKQuRAZ8OSQ==
- <Package Folder>/files/####/VtCJY27fbtTXgvwGVRECDYo_7np2Tm9Y.new
- <Package Folder>/files/####/W3hj4iLiJcnAYFRvVv3ZswkkMNsd8Rni.new
- <Package Folder>/files/####/a1cddef7-7afa-4c6f-8118-d31c84b7fb8c.pic
- <Package Folder>/files/####/b00529b5-69e3-4571-848a-2c1f40a89b40.pic.temp
- <Package Folder>/files/####/b6fa2e0e-a641-4433-a102-f19aae57cc0f.pic.temp
- <Package Folder>/files/####/ce1fc5b7-84ae-4c9d-80b4-a03903e62a21.pic
- <Package Folder>/files/####/cf6wBEtopLHIEyzA.zip
- <Package Folder>/files/####/data.dat.tmp
- <Package Folder>/files/####/f3321ec5-1283-41cc-8c5d-c4fa26d3aea5.pic.temp
- <Package Folder>/files/####/g0FWcTTS3RJorZQ1tHVTAus2SYKb6Azf6st...Y=.new
- <Package Folder>/files/####/g2KizEKWWail3KJoEt26bvNoLOM=.new
- <Package Folder>/files/####/iBHxSNSLaMUBuZZllsdfYtGoeg0e3_dH
- <Package Folder>/files/####/iBHxSNSLaMUBuZZllsdfYtGoeg0e3_dH.new
- <Package Folder>/files/####/j3ysytEP8t2hNcX0bE3ujihczjc=.new
- <Package Folder>/files/####/lVBMSftB9XiTi41ROFoK8ejZgms=
- <Package Folder>/files/####/lVBMSftB9XiTi41ROFoK8ejZgms=.new
- <Package Folder>/files/####/libus.so
- <Package Folder>/files/####/o_nmD5RQ2q6ORssXOpETlw==.new
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/sHEewmigR_69Fxz6Pqtt272rhkv11WZZ.new
- <Package Folder>/files/####/sbcnua_f.zip
- <Package Folder>/files/####/tIdWGf1AErDQ2GJI
- <Package Folder>/files/####/xRX4hzkQK1d3YpRxczCF14HPMKs=.new
- <Package Folder>/files/####/zIuHY6sRV6MCw1T3Vywjfeb1Rhc-1mZp.new
- <Package Folder>/shared_prefs/pretw.xml
- <Package Folder>/shared_prefs/twj.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/zzconfig.xml
- <SD-Card>/.armsd/####/3bf38daf-357f-4c52-ae51-3d6e04d51d35.res
- <SD-Card>/.armsd/####/3c4403fe-31c2-4795-8ace-cc091aa78a58.res
- <SD-Card>/.armsd/####/49eadf87-b89f-48ab-9829-d7f0c283e95f.res
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/60a20e5a-d1cd-44b3-8dbd-d1f0f8baba8d.res
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique.new
- <SD-Card>/.twservice/####/tw
- <SD-Card>/.twservice/qshp_3002_2206.zip
- <SD-Card>/Download/channel_conf
- <SD-Card>/Download/channel_conf1
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-4475442/w2yEXMfSF-8fSWjC -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- sh <Package Folder>/code-4475442/w2yEXMfSF-8fSWjC -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- zggzb
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
