Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Backdoor.547.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) cl.mo####.u####.com:80
- TCP(HTTP/1.1) pg.x####.com:80
- TCP(HTTP/1.1) i####.cn.com:80
- TCP(HTTP/1.1) 1####.196.40.71:9600
- TCP(HTTP/1.1) 1####.196.40.71:9500
- TCP 1####.207.140.190:8080
Запросы DNS:
- a####.u####.com
- cl.mo####.u####.com
- gv1.x####.com
- i####.cn.com
- pg.x####.com
Запросы HTTP GET:
- i####.cn.com/a/3521668acb8d3a1a04964513d0f7eb368
Запросы HTTP POST:
- cl.mo####.u####.com/show.aspx?Key=####
- pg.x####.com/api/q/a/3521668acb8d3a1a04964513d0f7eb368
- pg.x####.com/api/statis/3521668acb8d3a1a04964513d0f7eb368/game-8D1591FAF...
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/databases/MF_CFG-journal
- <Package Folder>/databases/cc.db
- <Package Folder>/databases/cc.db-journal
- <Package Folder>/databases/talkingdata_app.db-journal
- <Package Folder>/databases/ua.db
- <Package Folder>/databases/ua.db-journal
- <Package Folder>/databases/vi_db_pay-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/files/####/1a3f4b97-01e5-43fa-8fb2-5e8eb2fc45b9.zip
- <Package Folder>/files/####/25ef50ea-eb53-4b54-a2a1-279ad2d8d6de.zip
- <Package Folder>/files/####/30f28b04-bbde-4f50-93c9-6bb75e32c770.zip
- <Package Folder>/files/####/40ad418b-86db-4f65-a385-e38820208d00.zip
- <Package Folder>/files/####/5fc4246e-c423-49c7-828e-aac4c7c2bfde.zip
- <Package Folder>/files/####/673c8a7c-f2b4-4221-9eef-a9ef17e314aa.zip
- <Package Folder>/files/####/79c42547-5479-416c-ad4a-a31ca8d143fd.zip
- <Package Folder>/files/####/7a060276-8d3e-4df0-a2fa-b42bf6cd06a8.zip
- <Package Folder>/files/####/7ecbb741-d0b3-4e30-bb5b-701a3b1a0f55.zip
- <Package Folder>/files/####/a809007c-84f1-4405-8c91-1ab1b60d3448.zip
- <Package Folder>/files/####/b75d53a1-6542-4011-8664-9b86caecaaec.zip
- <Package Folder>/files/####/c50f2685-080f-42b4-816b-006d16a56970.zip
- <Package Folder>/files/####/cc902841-5275-452a-9cc1-ffccbb435160.zip
- <Package Folder>/files/####/e492e049-db22-4b3c-bb08-bd27b7748b32.zip
- <Package Folder>/files/####/exchangeIdentity.json
- <Package Folder>/files/.imprint
- <Package Folder>/files/exid.dat
- <Package Folder>/files/libexec.so
- <Package Folder>/files/libexecmain.so
- <Package Folder>/files/myfvu.jar
- <Package Folder>/files/paylib.jar
- <Package Folder>/files/talkingdata_app_process_preferences_file
- <Package Folder>/files/talkingdata_app_version_preferences_file
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/shared_prefs/3521668acb8d3a1a04964513d0f7eb368...le.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/Alvin2.xml
- <Package Folder>/shared_prefs/ContextData.xml
- <Package Folder>/shared_prefs/TD_app_pefercen_profile.xml
- <Package Folder>/shared_prefs/TD_app_pefercen_profile.xml.bak
- <Package Folder>/shared_prefs/initdata.xml
- <Package Folder>/shared_prefs/pref_file.xml
- <Package Folder>/shared_prefs/pref_file.xml.bak
- <Package Folder>/shared_prefs/td_pefercen_profile.xml
- <Package Folder>/shared_prefs/td_pefercen_profile.xml.bak
- <Package Folder>/shared_prefs/tdid.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml.bak
- <Package Folder>/shared_prefs/unknown.xml
- <SD-Card>/.4d02db8e14/####/crash-2017-08-04-1501850082690.log
- <SD-Card>/.4d02db8e14/####/crash-2017-08-04-1501850090540.log
- <SD-Card>/.4d02db8e14/####/crash-2017-08-04-1501850097117.log
- <SD-Card>/.4d02db8e14/####/crash-2017-08-04-1501850103740.log
- <SD-Card>/.4d02db8e14/####/crash-2017-08-04-1501850113996.log
- <SD-Card>/.4d02db8e14/####/crash-2017-08-04-1501850120089.log
- <SD-Card>/.4d02db8e14/####/crash-2017-08-04-1501850127116.log
- <SD-Card>/.4d02db8e14/####/crash-2017-08-04-1501850133196.log
- <SD-Card>/.4d02db8e14/####/crash-2017-08-04-1501850139457.log
- <SD-Card>/.4d02db8e14/####/crash-2017-08-04-1501850146614.log
- <SD-Card>/.4d02db8e14/####/crash-2017-08-04-1501850153752.log
- <SD-Card>/.4d02db8e14/####/crash-2017-08-04-1501850161539.log
- <SD-Card>/.4d02db8e14/####/crash-2017-08-04-1501850168684.log
- <SD-Card>/.4d02db8e14/####/crash-2017-08-04-1501850176078.log
- <SD-Card>/.DataStorage/ContextData.xml
- <SD-Card>/.UTSystemConfig/####/Alvin2.xml
- <SD-Card>/.acterr
- <SD-Card>/.system_temp/.cfg
- <SD-Card>/.tcookieid
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh
- cat /sys/block/mmcblk0/device/cid
- getprop ro.product.cpu.abi
- ls -l /sbin/su
- ls -l /system/bin/su
- ls -l /system/sbin/su
- ls -l /system/xbin/su
- ls -l /vendor/bin/su
Загружает динамические библиотеки:
- cocos2dcpp
- libexec
- libexecmain
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES-ECB-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Осуществляет доступ к информации об отправленых/принятых смс.
