Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.155.origin
- Android.Triada.178
- Android.Triada.248.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) www.huangda####.com:80
- TCP(HTTP/1.1) 1####.75.30.57:10001
- TCP(HTTP/1.1) 1####.59.40.34:19000
- TCP(HTTP/1.1) img.ace####.com:80
- TCP(HTTP/1.1) api.var####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
Запросы DNS:
- api.var####.com
- c.jinqia####.com
- h5.tt-hong####.com
- img.ace####.com
- l.ace####.com
- loc.map.b####.com
- www.huangda####.com
Запросы HTTP GET:
- l.ace####.com/ando/i/mon?k=####&d=####
- www.huangda####.com/active!activeLog.action?provider=####&clickId=####&m...
- www.huangda####.com/resource!resource?resTypes=####&appid=####&channel=#...
Запросы HTTP POST:
- l.ace####.com/ando/v1/x/ap?app_id=####&r=####
- l.ace####.com/ando/v1/x/lv?app_id=####&r=####
- l.ace####.com/ando/v1/x/qa?app_id=####&r=####
- loc.map.b####.com/sdk.php
- www.huangda####.com/mobilepay/v2/getPayInfoListX2.do
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/EOZTzhVG.jar
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/index
- <Package Folder>/code-2323068/SEBfatK5mF-hzIdt
- <Package Folder>/databases/####/cc.db
- <Package Folder>/databases/####/cc.db-journal
- <Package Folder>/databases/2VIlrUNBau3Jfi93Ya0JUCiwrmXbEO3g_g2s...GkMuQZ
- <Package Folder>/databases/2VIlrUNBau3Jfi93Ya0JUCiwrmXbEO3g_g2s...ournal
- <Package Folder>/databases/2VIlrUNBau3Jfi93Ya0JUCiwrmXbEO3g_itb...YEpM0=
- <Package Folder>/databases/2VIlrUNBau3Jfi93Ya0JUCiwrmXbEO3g_itb...ournal
- <Package Folder>/databases/2VIlrUNBau3Jfi93Ya0JUCiwrmXbEO3g_pqv...ournal
- <Package Folder>/databases/2VIlrUNBau3Jfi93Ya0JUCiwrmXbEO3g_tMb...ournal
- <Package Folder>/databases/2VIlrUNBau3Jfi93Ya0JUCiwrmXbEO3g_tMb...rQHQ==
- <Package Folder>/databases/2VIlrUNBau3Jfi93Ya0JUCiwrmXbEO3g_wv-...eR0Q==
- <Package Folder>/databases/2VIlrUNBau3Jfi93Ya0JUCiwrmXbEO3g_wv-...ournal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/####/0lmFlk4UmtfVT7sMT5i3c8BH2Nn3jVqwVRX...o=.new
- <Package Folder>/files/####/2yPbD6r_L0n3skDg2jSCo8KfxrfMLkC9.new
- <Package Folder>/files/####/3VH5lLxhzCZjGDE_QfHkpYZ1xDWjHtZk
- <Package Folder>/files/####/3VH5lLxhzCZjGDE_QfHkpYZ1xDWjHtZk.new
- <Package Folder>/files/####/3VH5lLxhzCZjGDE_QfHkpYZ1xDWjHtZk.old (deleted)
- <Package Folder>/files/####/4befb1d2-330a-45d9-bfed-d194b679c39d.pic
- <Package Folder>/files/####/4e1OD4NRznNRfunMZSKiKcTkl8Wsk_NL9tX...0=.new
- <Package Folder>/files/####/53c23100-2d32-47ef-a8b5-e8ec07671644.pic
- <Package Folder>/files/####/7b8fe118-5142-458d-b60c-50339f90c6b2.pic.temp
- <Package Folder>/files/####/7f9Yo1oEtVUOmIYN6bmv_qf8RpM=
- <Package Folder>/files/####/88593ec1-80d0-48b2-b0c5-26976f1ae764.pic.temp
- <Package Folder>/files/####/AhS6fP3Dbl0jZvzyxQX7hDNApcI=.new
- <Package Folder>/files/####/CoXzf7hJiKz6q3abtgxoEh9pLjk=.new
- <Package Folder>/files/####/D4tnBKDYqUqcPf7E7Oudzxmb_RDkSd-FkJw...M=.new
- <Package Folder>/files/####/KC6lh2nKl4azBcDZd9ukefpeaG2w1Lbz.new
- <Package Folder>/files/####/LVsgqO82MRf4lFS-pvogqDFi-L6g0h0-31BoyA==.new
- <Package Folder>/files/####/RBLrengNmKRQUdx0Raa71joSOe8DqA9YSWEL-Q==.new
- <Package Folder>/files/####/UN4OuFGMeG68uubu
- <Package Folder>/files/####/XfJiSmilkMqgDq83z76Nmi7O9eFo6bRw.new
- <Package Folder>/files/####/a2462b99-bd1b-4500-a72c-8a926e81b5d9.pic.temp
- <Package Folder>/files/####/akDJTaI-Gxut1mKh.new
- <Package Folder>/files/####/ayFqKuhe5TM7SjZuzaOwjw==.new
- <Package Folder>/files/####/d07df00b-a870-47b5-9293-4266fee5b1b6.pic.temp
- <Package Folder>/files/####/da5ca44a-3b2e-463c-8e7b-52e50b14dbf6.pic.temp
- <Package Folder>/files/####/data.dat.tmp
- <Package Folder>/files/####/eB_qAeeor-BruHgUlimTFLnYqCY=
- <Package Folder>/files/####/eB_qAeeor-BruHgUlimTFLnYqCY=.new
- <Package Folder>/files/####/ea6e3b7c-3422-4bed-8bee-e89eb94d11de.pic.temp
- <Package Folder>/files/####/eyMvEOsAQQ-0d7W3qUcJ9Q==.new
- <Package Folder>/files/####/ghSLDI5gapcvHtfHa9EqLA==
- <Package Folder>/files/####/hHxE-XpMJv-AF02ei9BzpN1cVEn3Zipc.new
- <Package Folder>/files/####/kKob_o3Ad547z22FXd6112IKD6c=
- <Package Folder>/files/####/l6P-HXW7mbd1td06Z3XTzlb9RyYOa-2R.new
- <Package Folder>/files/####/libus.so
- <Package Folder>/files/####/mEflZRRbKdYNMkl6ckfKXw==
- <Package Folder>/files/####/mEflZRRbKdYNMkl6ckfKXw==.new
- <Package Folder>/files/####/mcsWNju2tcDYN5yzGymXUtFfTdTKz09W.new
- <Package Folder>/files/####/nohamfFgqbmghL-ebYhy-yah0j0=.new
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/sTSClZN9Sn2f905Q.zip
- <Package Folder>/files/####/sbcnua_f.zip
- <Package Folder>/files/####/tJlAMpm9hDIebGflSNXKD47BM6_iWC8B.new
- <Package Folder>/files/####/wwG0BDytt81DbxxTcOHmFnUXxKXndoCcy-v...I=.new
- <Package Folder>/files/####/yg-u4ZqOx3bg5cMgImQ_v6q80ZpDBWcbRqNKWw==.new
- <Package Folder>/files/mobclick_agent_cached_<Package>305
- <Package Folder>/shared_prefs/pretw.xml
- <Package Folder>/shared_prefs/twj.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml.bak
- <Package Folder>/shared_prefs/zzconfig.xml
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/602ba9e2-6be3-4ca6-81c7-6df0f65be4b2.res
- <SD-Card>/.armsd/####/650a9171-03ec-4b13-81ad-0ed9cb92eb58.res
- <SD-Card>/.armsd/####/9b8134b1-1d9a-4ac7-af6e-728c156c3747.res
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/c0443a3e-0466-41f9-82d1-1aed22d6400a.res
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique.new
- <SD-Card>/.twservice/####/tw
- <SD-Card>/.twservice/qshp_3002_2206.zip
- <SD-Card>/Download/channel_conf
- <SD-Card>/Download/channel_conf1
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-2323068/SEBfatK5mF-hzIdt -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- sh <Package Folder>/code-2323068/SEBfatK5mF-hzIdt -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- recwu
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
