Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.155.origin
- Android.Triada.178
- Android.Triada.248.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) www.huangda####.com:80
- TCP(HTTP/1.1) 1####.75.30.57:10001
- TCP(HTTP/1.1) 1####.59.40.34:19000
- TCP(HTTP/1.1) img.ace####.com:80
- TCP(HTTP/1.1) api.var####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
Запросы DNS:
- api.var####.com
- c.jinqia####.com
- h5.tt-hong####.com
- img.ace####.com
- l.ace####.com
- loc.map.b####.com
- www.huangda####.com
Запросы HTTP GET:
- l.ace####.com/ando/v2/mn?k=####&d=####&m=####
- www.huangda####.com/active!activeLog.action?provider=####&clickId=####&m...
- www.huangda####.com/resource!resource?resTypes=####&appid=####&channel=#...
Запросы HTTP POST:
- l.ace####.com/ando/v1/x/ap?app_id=####&r=####
- l.ace####.com/ando/v1/x/lv?app_id=####&r=####
- l.ace####.com/ando/v1/x/qa?app_id=####&r=####
- loc.map.b####.com/sdk.php
- www.huangda####.com/mobilepay/v2/getPayInfoListX2.do
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/EOZTzhVG.jar
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/index
- <Package Folder>/code-7444028/0ZAtVEc9H9WoyikU
- <Package Folder>/databases/####/cc.db
- <Package Folder>/databases/####/cc.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/databases/zltOZCYO_NSdCvs4SdiSy3MP22_EXkVY_E4O...OoKDk=
- <Package Folder>/databases/zltOZCYO_NSdCvs4SdiSy3MP22_EXkVY_E4O...ournal
- <Package Folder>/databases/zltOZCYO_NSdCvs4SdiSy3MP22_EXkVY_UQA...ournal
- <Package Folder>/databases/zltOZCYO_NSdCvs4SdiSy3MP22_EXkVY_bVo...RPRA==
- <Package Folder>/databases/zltOZCYO_NSdCvs4SdiSy3MP22_EXkVY_bVo...ournal
- <Package Folder>/databases/zltOZCYO_NSdCvs4SdiSy3MP22_EXkVY_ic2...gR2w==
- <Package Folder>/databases/zltOZCYO_NSdCvs4SdiSy3MP22_EXkVY_ic2...ournal
- <Package Folder>/databases/zltOZCYO_NSdCvs4SdiSy3MP22_EXkVY_yzD...UrF3zM
- <Package Folder>/databases/zltOZCYO_NSdCvs4SdiSy3MP22_EXkVY_yzD...ournal
- <Package Folder>/files/####/-D57ZjkyLew3CrQsDSzvqnPTLWuvG_cp8hDF0Q==.new
- <Package Folder>/files/####/0eL9_szJLydqwIuh1wj2nEDiffgHmzJv.new
- <Package Folder>/files/####/0nSID684lcF74FnNnNgWD-86SWyDBaZS
- <Package Folder>/files/####/0nSID684lcF74FnNnNgWD-86SWyDBaZS.new
- <Package Folder>/files/####/0nSID684lcF74FnNnNgWD-86SWyDBaZS.old (deleted)
- <Package Folder>/files/####/0tVyd-ZgLtr0fDNgJi-Moh893QT78gyw.new
- <Package Folder>/files/####/1FJIF2m5AyduIFS9yc_mUA==
- <Package Folder>/files/####/39Ge6EqErf3OCyO3jLJkNun9r7vNU3L-.new
- <Package Folder>/files/####/406a4461-efe5-47b8-b13b-21c6729cee0a.pic.temp
- <Package Folder>/files/####/47bd4be6-a52e-480f-a82d-aca0e9ede525.pic.temp
- <Package Folder>/files/####/4dCTBVAoSYdYbc7AbSG2OQkhDn7gINjJgrmAOw==.new
- <Package Folder>/files/####/64R2NfGfXhBR05vOA_G02T4_p5Q=.new
- <Package Folder>/files/####/6c469f61-7d7c-4ca3-afad-391e53947f0e.pic
- <Package Folder>/files/####/8UuKCopRzNyAZduwfpR9VA==.new
- <Package Folder>/files/####/D9ATTV4nEE2hiyn1mTlwfNfaHHo=
- <Package Folder>/files/####/D9ATTV4nEE2hiyn1mTlwfNfaHHo=.new
- <Package Folder>/files/####/Gd8j1CeCpaqwoacpowPAzg==
- <Package Folder>/files/####/Gd8j1CeCpaqwoacpowPAzg==.new
- <Package Folder>/files/####/Gd8j1CeCpaqwoacpowPAzg==.old (deleted)
- <Package Folder>/files/####/Obsx5MHi1OxsyaP0
- <Package Folder>/files/####/Q432WAeTd7IcIA795nRM0w==
- <Package Folder>/files/####/Q432WAeTd7IcIA795nRM0w==.new
- <Package Folder>/files/####/TJcQooe1Yb3nFMM7oLW9Andyb1Xiv8G4.new
- <Package Folder>/files/####/TfS83DqZF1Opfd5Zb0ue5jD5MXNsSrpN.new
- <Package Folder>/files/####/UIlm5S5ds9T9JIiLxcoh7Sq4XR0=
- <Package Folder>/files/####/VAvoqLRYjJGSWR8BwrZBD_cDWg_3KQiaXCf...I=.new
- <Package Folder>/files/####/data.dat.tmp
- <Package Folder>/files/####/fkKF_8NovSScsm3ifFcAtvcy6k4=.new
- <Package Folder>/files/####/fydPeHeKGk85eS6RfRgglx9splFB5JgAjbb...o=.new
- <Package Folder>/files/####/hCubs83gY49N3t-z8-b6BJbGm0GnlBqZf8T...U=.new
- <Package Folder>/files/####/hx7CdNBV0QdHXarF3UGRnBOWVNMZR2DA.new
- <Package Folder>/files/####/libus.so
- <Package Folder>/files/####/lkb38Ly_NRQT5Xq6ujPb7ftDr2OzlZSu.new
- <Package Folder>/files/####/oIxGwQTN9Z93m3gP.zip
- <Package Folder>/files/####/oWxYaiTb9mIwRXWLZyNt3sl48fZ_qwKLVsKMOw==.new
- <Package Folder>/files/####/qNGBj73H8Wl3AVotnJMGOHlHSU0=.new
- <Package Folder>/files/####/rYSwL_NF-slJ8-83.new
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/sbcnua_f.zip
- <Package Folder>/files/####/tm7tbt5qPh5KMvfDE6de3OyVDrdjOtSjd01...Y=.new
- <Package Folder>/files/####/ypyR8IL3rZ47Oc8hhWC0dY-KoG4=.new
- <Package Folder>/shared_prefs/pretw.xml
- <Package Folder>/shared_prefs/twj.xml
- <Package Folder>/shared_prefs/twj.xml.bak
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/zzconfig.xml
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/91ca8861-7d27-4e81-a2ba-c3d59c79a1c9.res
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/a55a5b60-8225-4bb5-b9b3-e966a713a846.res
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique.new
- <SD-Card>/.twservice/####/tw
- <SD-Card>/.twservice/qshp_3002_2206.zip
- <SD-Card>/Download/channel_conf
- <SD-Card>/Download/channel_conf1
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-7444028/0ZAtVEc9H9WoyikU -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- sh <Package Folder>/code-7444028/0ZAtVEc9H9WoyikU -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- fzxma
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
