Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.155.origin
- Android.Triada.178
- Android.Triada.248.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) www.huangda####.com:80
- TCP(HTTP/1.1) 1####.75.30.57:10001
- TCP(HTTP/1.1) 1####.59.40.34:19000
- TCP(HTTP/1.1) img.ace####.com:80
- TCP(HTTP/1.1) api.var####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
Запросы DNS:
- api.var####.com
- c.jinqia####.com
- h5.tt-hong####.com
- img.ace####.com
- l.ace####.com
- loc.map.b####.com
- mt####.go####.com
- www.huangda####.com
Запросы HTTP GET:
- l.ace####.com/ando/v2/mn?k=####&d=####&m=####
- www.huangda####.com/active!activeLog.action?provider=####&clickId=####&m...
- www.huangda####.com/resource!resource?resTypes=####&appid=####&channel=#...
Запросы HTTP POST:
- l.ace####.com/ando/v1/x/ap?app_id=####&r=####
- l.ace####.com/ando/v1/x/lv?app_id=####&r=####
- l.ace####.com/ando/v1/x/qa?app_id=####&r=####
- loc.map.b####.com/sdk.php
- www.huangda####.com/mobilepay/v2/getPayInfoListX2.do
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/EOZTzhVG.jar
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/index
- <Package Folder>/code-173278/fgALkGiPElluOyC8
- <Package Folder>/databases/####/cc.db
- <Package Folder>/databases/####/cc.db-journal
- <Package Folder>/databases/otYUEf2HKP97xM1S6gfjjd0-bO5Gm-2Y_-dI...n4kQ==
- <Package Folder>/databases/otYUEf2HKP97xM1S6gfjjd0-bO5Gm-2Y_-dI...ournal
- <Package Folder>/databases/otYUEf2HKP97xM1S6gfjjd0-bO5Gm-2Y_1nl...A43Q==
- <Package Folder>/databases/otYUEf2HKP97xM1S6gfjjd0-bO5Gm-2Y_1nl...ournal
- <Package Folder>/databases/otYUEf2HKP97xM1S6gfjjd0-bO5Gm-2Y_lqr...ournal
- <Package Folder>/databases/otYUEf2HKP97xM1S6gfjjd0-bO5Gm-2Y_re9...gJlR4=
- <Package Folder>/databases/otYUEf2HKP97xM1S6gfjjd0-bO5Gm-2Y_re9...ournal
- <Package Folder>/databases/otYUEf2HKP97xM1S6gfjjd0-bO5Gm-2Y_wdU...ournal
- <Package Folder>/databases/otYUEf2HKP97xM1S6gfjjd0-bO5Gm-2Y_wdU...zVlSdn
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/####/-uN7k7YflGglC-Z2_m-yeEwzCXe9bAVC
- <Package Folder>/files/####/-uN7k7YflGglC-Z2_m-yeEwzCXe9bAVC.new
- <Package Folder>/files/####/1FaXyMf6BXYGW7N8ov7BbOYajg8=.new
- <Package Folder>/files/####/25d71703-1d47-4645-9b1b-8b2f8cc6b209.pic.temp
- <Package Folder>/files/####/26c8e67c-0475-4661-b7e7-a8c48ff5ed55.pic.temp
- <Package Folder>/files/####/3USGU5ExMFdE-CuX.new
- <Package Folder>/files/####/4i0-61WGNsP-kX8LlOSo8GdnTGY1Juyu5iy...4=.new
- <Package Folder>/files/####/4rYvaJX6YYuU5O6uArG6JUooLso=.new
- <Package Folder>/files/####/4ybwUcSS607jT6QR5WJSOw==
- <Package Folder>/files/####/64ea70c7-8725-49ed-8384-b3a3b1746f70.pic.temp
- <Package Folder>/files/####/73b50b2b-fd34-4c58-84b3-1c83ffaef7fc.pic
- <Package Folder>/files/####/7BQasp81WmwYcvVwzuyFiw==
- <Package Folder>/files/####/7BQasp81WmwYcvVwzuyFiw==.new
- <Package Folder>/files/####/8bUcP42Row4qMzVcdSg01Jvo4oo=.new
- <Package Folder>/files/####/AQc5p6NLjHP_hAQZ_5btI3wte8AAnrLh.new
- <Package Folder>/files/####/EgBYpZ6vJ7Qx3sZ38Bisn8XDnI1btDKjHRb...U=.new
- <Package Folder>/files/####/I0j_9iY3OjbHihG18Zwbdw==.new
- <Package Folder>/files/####/IrSN9WGFUfSNG12TKjxqOtswH7M=
- <Package Folder>/files/####/NPYQ0gJ8oXIsTNVccPJ8NNsjGj7tUZmB.new
- <Package Folder>/files/####/OVnyinEngw-5-PZpQCYdsaMPs2FAwX5ZnyJ...E=.new
- <Package Folder>/files/####/UqmDrKZn-jYzu86icGzaOh3a7m9cU8vR.new
- <Package Folder>/files/####/Yon23VIuoQJkcAjDcWhnS2xaQqg=
- <Package Folder>/files/####/Z2cqZOU5kzo2BeEjuvdnJa9WT5SO_PmKJs1...w=.new
- <Package Folder>/files/####/aKDoaVaa-IEWEfpXCOZEmzwstp3foaS9DNR9uw==.new
- <Package Folder>/files/####/b03e66a2-f1a2-4e03-81fd-643713fc9757.pic
- <Package Folder>/files/####/data.dat.tmp
- <Package Folder>/files/####/epzX2w218y-4e6dG3D3mcRaRl6c=.new
- <Package Folder>/files/####/fnAbsnzGfQoaKZFTFiZcYQ==.new
- <Package Folder>/files/####/ijK99y6LQ5QOWfoR.zip
- <Package Folder>/files/####/l-FJfeog0E_2SofmennL9xtSK9iTB5PdiDQkbw==.new
- <Package Folder>/files/####/libus.so
- <Package Folder>/files/####/qAT2lfYKNlLr494s59qviqSrhPDe7AQV.new
- <Package Folder>/files/####/qlAWi4hSHDG76iYg6ApoQRrsLzu8vDjb.new
- <Package Folder>/files/####/rYnnfgJiYpE7ZXJ2k5S0Kr2gq_6_MIGPa_dk5A==.new
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/sbcnua_f.zip
- <Package Folder>/files/####/t3etdwXTnhGOBkTyCpn0-VqlByykTB-W.new
- <Package Folder>/files/####/tLJQm3wQFFzDiMgN
- <Package Folder>/files/####/vEfC9DrCIcJzlI0PWRlokuT0GLw8qrMQ.new
- <Package Folder>/shared_prefs/pretw.xml
- <Package Folder>/shared_prefs/twj.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/zzconfig.xml
- <SD-Card>/.armsd/####/48d2d995-a98c-4ece-a66e-50cf87e00016.res
- <SD-Card>/.armsd/####/5717de2b-7e03-4f24-931d-687c03c029e0.res
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique.new
- <SD-Card>/.twservice/####/tw
- <SD-Card>/.twservice/qshp_3002_2206.zip
- <SD-Card>/Download/channel_conf
- <SD-Card>/Download/channel_conf1
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-173278/fgALkGiPElluOyC8 -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- sh <Package Folder>/code-173278/fgALkGiPElluOyC8 -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- pvoja
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
