Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.155.origin
- Android.Triada.178
- Android.Triada.248.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) www.huangda####.com:80
- TCP(HTTP/1.1) 1####.75.30.57:10001
- TCP(HTTP/1.1) 1####.59.40.34:19000
- TCP(HTTP/1.1) img.ace####.com:80
- TCP(HTTP/1.1) api.var####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
Запросы DNS:
- api.var####.com
- c.jinqia####.com
- h5.tt-hong####.com
- img.ace####.com
- l.ace####.com
- loc.map.b####.com
- www.huangda####.com
Запросы HTTP GET:
- l.ace####.com/ando/v2/mn?k=####&d=####&m=####
- www.huangda####.com/active!activeLog.action?provider=####&clickId=####&m...
- www.huangda####.com/resource!resource?resTypes=####&appid=####&channel=#...
Запросы HTTP POST:
- l.ace####.com/ando/v1/x/ap?app_id=####&r=####
- l.ace####.com/ando/v1/x/lv?app_id=####&r=####
- l.ace####.com/ando/v1/x/qa?app_id=####&r=####
- loc.map.b####.com/sdk.php
- www.huangda####.com/mobilepay/v2/getPayInfoListX2.do
- www.huangda####.com/shop/shop_upload_log
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/EOZTzhVG.jar
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/index
- <Package Folder>/code-8936565/VNmHjV5GR9lxsoyP
- <Package Folder>/databases/####/cc.db
- <Package Folder>/databases/####/cc.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/databases/zA9KQCZAgwyy8LxBqZjg0WBb6of55KY6_QS_...gD8Dvd
- <Package Folder>/databases/zA9KQCZAgwyy8LxBqZjg0WBb6of55KY6_QS_...ournal
- <Package Folder>/databases/zA9KQCZAgwyy8LxBqZjg0WBb6of55KY6_fxG...ournal
- <Package Folder>/databases/zA9KQCZAgwyy8LxBqZjg0WBb6of55KY6_iaN...XXwQ==
- <Package Folder>/databases/zA9KQCZAgwyy8LxBqZjg0WBb6of55KY6_iaN...ournal
- <Package Folder>/databases/zA9KQCZAgwyy8LxBqZjg0WBb6of55KY6_kX1...ournal
- <Package Folder>/databases/zA9KQCZAgwyy8LxBqZjg0WBb6of55KY6_kX1...ye9RM=
- <Package Folder>/databases/zA9KQCZAgwyy8LxBqZjg0WBb6of55KY6_o1y...ournal
- <Package Folder>/databases/zA9KQCZAgwyy8LxBqZjg0WBb6of55KY6_o1y...uL0g==
- <Package Folder>/files/####/08755cd1-f849-482d-a557-b2a5e621895d.pic
- <Package Folder>/files/####/1a4c41bf-eadd-4099-8091-072c4e365909.pic.temp
- <Package Folder>/files/####/2RAHpCVpOSG9ZpH7MMfWHjpkb4l_fqUh.new
- <Package Folder>/files/####/5yCPojbt8AzJEa1Jr0j5JR6JEUzpaOkr.new
- <Package Folder>/files/####/65AloGVUb3NMmbK3d2fecVAtWeszDD8d.new
- <Package Folder>/files/####/6749aa75-75d0-4951-925b-4f1fb0ba9f13.pic.temp
- <Package Folder>/files/####/6GLNBw93uSZRH2aoo7z1aK8DCM4K4kb7CHJ...A=.new
- <Package Folder>/files/####/7d103d9d-c187-4964-b7ae-1fe6fb88599b.pic.temp
- <Package Folder>/files/####/9XUrpTL2FBro9Rc3w62cwguH0NWVk-bxCAn...Q=.new
- <Package Folder>/files/####/9viIrFd9UxcfUBsuO19jTNzDaEY=
- <Package Folder>/files/####/CxC4fBXxw9K_8cSg.zip
- <Package Folder>/files/####/Jko6XO2t1dgUreRDDeh3ngp8cW_r2j4OZBVqwA==.new
- <Package Folder>/files/####/K6mvi9pFJ5cDGogKAbBXPGjzJ0yPmtHE.new
- <Package Folder>/files/####/KqShD3Hh7dXiGv6uS_Zgbw==.new
- <Package Folder>/files/####/Pe8UavHzBNc2BGwSYsChMpIevSw=.new
- <Package Folder>/files/####/Rwdj-OsRNjF2We4sZ9OTaDSjgiBDAc6qF8P...U=.new
- <Package Folder>/files/####/T4joK1jxMBrt9LmX-B-J1hekvoU=.new
- <Package Folder>/files/####/Vl9IZj4P_UbtQEwAYgAXHg==
- <Package Folder>/files/####/Vl9IZj4P_UbtQEwAYgAXHg==.new
- <Package Folder>/files/####/Vl9IZj4P_UbtQEwAYgAXHg==.old (deleted)
- <Package Folder>/files/####/Z20EOYgtizxSZKvo5YkmqQ==.new
- <Package Folder>/files/####/ZhIzmgzg437SLPktmUmXkshSrlA=
- <Package Folder>/files/####/auaCJYZuqn5iWaiRzWH1bcAt8B4=.new
- <Package Folder>/files/####/b8a9a377-8fa4-43c1-bcfb-0f600fb2150c.pic
- <Package Folder>/files/####/c17rlMHOP5HMZAmFOw8zzznWFIxJtqUX.new
- <Package Folder>/files/####/data.dat.tmp
- <Package Folder>/files/####/g3iRkGRFRSzyhyhRohV-6Q==
- <Package Folder>/files/####/h5lIj3VHB0xh9Zng
- <Package Folder>/files/####/hSJYYkhmCogcRVXNHzYogR4w2G7faipXjR8...8=.new
- <Package Folder>/files/####/iARUbc9kA3EOJenO7hqqazXtZrRBUrni.new
- <Package Folder>/files/####/j8ZGlTSoEr8R9lrqEHodyo4RJxRt0QKu.new
- <Package Folder>/files/####/libus.so
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/sbcnua_f.zip
- <Package Folder>/files/####/tgeBFREBStoL5ccHYTkefKbVbXd4KD9ruI5skg==.new
- <Package Folder>/files/####/w0Or_PkAccONEn8s3642SS1YhkY=.new
- <Package Folder>/files/####/w5j_AONsNB2xB2n61C-shpGseZ7N_DnU
- <Package Folder>/files/####/w5j_AONsNB2xB2n61C-shpGseZ7N_DnU.new
- <Package Folder>/files/####/w5j_AONsNB2xB2n61C-shpGseZ7N_DnU.old (deleted)
- <Package Folder>/files/####/y1I9SYiqkaOXDtDlrQT16z0FpZrXoBa9FEBBWQ==.new
- <Package Folder>/files/####/z08duPz3kQgUUTXM
- <Package Folder>/files/####/z08duPz3kQgUUTXM.new
- <Package Folder>/shared_prefs/pretw.xml
- <Package Folder>/shared_prefs/twj.xml
- <Package Folder>/shared_prefs/twj.xml.bak
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/zzconfig.xml
- <SD-Card>/.armsd/####/0a68f2c6-ae11-43ce-b18f-3c61f57f3323.res
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/7aff5df5-f968-4f76-8bf5-326ad4239448.res
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/ea84000d-4074-4eb5-8c97-ce5aaf8e4586.res
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique
- <SD-Card>/.env/.uunique.new
- <SD-Card>/.twservice/####/tw
- <SD-Card>/.twservice/qshp_3002_2206.zip
- <SD-Card>/Download/channel_conf
- <SD-Card>/Download/channel_conf1
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-8936565/VNmHjV5GR9lxsoyP -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- sh <Package Folder>/code-8936565/VNmHjV5GR9lxsoyP -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- fgofl
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
