Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.RemoteCode.41.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) s####.i####.cn:80
Запросы DNS:
- map.i####.cn
- s####.i####.cn
Запросы HTTP GET:
- s####.i####.cn/t?r=####&p=####
Запросы HTTP POST:
- s####.i####.cn/g?r=####
- s####.i####.cn/w
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/app_icons/WebpageIcons.db-journal
- <Package Folder>/app_icons/WebpageIcons.db-journal (deleted)
- <Package Folder>/databases/ZIRCO
- <Package Folder>/databases/ZIRCO-journal
- <Package Folder>/databases/bookmarks.db-journal
- <Package Folder>/databases/n5N3bSJS-M8MfZZl_1HrnIYylXh8FSdko-journal
- <Package Folder>/databases/n5N3bSJS-M8MfZZl_1Q2zHaRG2xPyCTiqOyt...ournal
- <Package Folder>/databases/n5N3bSJS-M8MfZZl_1t-kSzZ_vcl7xdC3hjM...ournal
- <Package Folder>/databases/n5N3bSJS-M8MfZZl_MjT8ac9MxUeaR4IFVbW...ournal
- <Package Folder>/databases/n5N3bSJS-M8MfZZl_TZ723oRVqDTa6Toa-journal
- <Package Folder>/databases/n5N3bSJS-M8MfZZl_Vi5m3rXtJjLT0Rt1E1V...ournal
- <Package Folder>/databases/n5N3bSJS-M8MfZZl__kvJszhug06jsNTQ4wo...ournal
- <Package Folder>/databases/n5N3bSJS-M8MfZZl_lLZ1M137kUJntMxk-journal
- <Package Folder>/databases/weave.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/files/####/0UzJE0KJmwqqH_AiKRX_DNknfDE5vEXQzitJSQ==
- <Package Folder>/files/####/1N81jdSXPhi7cHWIDrYRm7EpsUc=
- <Package Folder>/files/####/ABB3NFjjJ_hDC8QyH9GbiY5aDQl6f932
- <Package Folder>/files/####/BLL3edp5SGPBVR0-SS35Eg307ZY=
- <Package Folder>/files/####/Pion9T4RAEU9Zoz_
- <Package Folder>/files/####/TqBMXsWLEa8bHvNUFzs6gg==
- <Package Folder>/files/####/UQ4dk9-mvRY7Slajq6UwGA==
- <Package Folder>/files/####/XJIyUQ2YXTAG9wgp0VfBWQ==
- <Package Folder>/files/####/cbefda.zip
- <Package Folder>/files/####/data.dat.tmp
- <Package Folder>/files/####/jl0M-sYbdXQmfr1p.zip
- <Package Folder>/files/####/ml5r8gFQ42oCEPZkHM_BWBAcsaGc59ez9asZWw==
- <Package Folder>/files/####/rvCFVnCnFSx75UI-
- <Package Folder>/files/####/zUCHWrM4WIeefYCdVJFJYw==
- <Package Folder>/files/libbdf.so
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/n5N3bSJS-M8MfZZl_2Lqamb8ecHgpWQSt...==.xml
- <Package Folder>/shared_prefs/n5N3bSJS-M8MfZZl_4FCQWIQxSSjf5pcq...yM.xml
- <Package Folder>/shared_prefs/n5N3bSJS-M8MfZZl_4vqE741VcAFuDVL8...I=.xml
- <Package Folder>/shared_prefs/n5N3bSJS-M8MfZZl_DUTapjylhh_DimZs...4=.xml
- <Package Folder>/shared_prefs/n5N3bSJS-M8MfZZl_IEqFhi6ZSWMU-ioT...I=.xml
- <Package Folder>/shared_prefs/n5N3bSJS-M8MfZZl_WXfX-75gNkGzFGOe...jo.xml
- <Package Folder>/shared_prefs/n5N3bSJS-M8MfZZl_ZdC8DygMWSzgdYh4...==.xml
- <Package Folder>/shared_prefs/n5N3bSJS-M8MfZZl_ad_smart_rc_rund...fs.xml
- <Package Folder>/shared_prefs/n5N3bSJS-M8MfZZl_ad_smart_sr_rund...fs.xml
- <Package Folder>/shared_prefs/n5N3bSJS-M8MfZZl_ad_smart_ssp_run...fs.xml
- <Package Folder>/shared_prefs/n5N3bSJS-M8MfZZl_ad_smart_strip_r...fs.xml
- <Package Folder>/shared_prefs/n5N3bSJS-M8MfZZl_b0iAfXVG1Rh7c1u9...==.xml
- <Package Folder>/shared_prefs/n5N3bSJS-M8MfZZl_l6AWXYov-ppirLkj.xml
- <Package Folder>/shared_prefs/n5N3bSJS-M8MfZZl_nrUWqxHj3qIiyto5...==.xml
- <Package Folder>/shared_prefs/n5N3bSJS-M8MfZZl_x6EO8lno4pZYtgdv...w=.xml
- <SD-Card>/.system/####/B_T7LWxUigqpuSU4D7h_Xw7lDRCpdrzs
- <SD-Card>/.system/####/FKSO-PTG-6bHG6iKfVdjtUdNFkk=
Другие:
Запускает следующие shell-скрипты:
- ./rvCFVnCnFSx75UI- com.nznc.hieq.ci
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- sh ./rvCFVnCnFSx75UI- com.nznc.hieq.ci
Загружает динамические библиотеки:
- libbdf
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CFB-NoPadding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
