Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.155.origin
- Android.Triada.178
- Android.Triada.248.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) www.huangda####.com:80
- TCP(HTTP/1.1) 1####.75.30.57:10001
- TCP(HTTP/1.1) 1####.59.40.34:19000
- TCP(HTTP/1.1) img.ace####.com:80
- TCP(HTTP/1.1) api.var####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
Запросы DNS:
- api.var####.com
- c.jinqia####.com
- h5.tt-hong####.com
- img.ace####.com
- l.ace####.com
- loc.map.b####.com
- www.huangda####.com
Запросы HTTP GET:
- l.ace####.com/ando/v2/mn?k=####&d=####&m=####
- www.huangda####.com/active!activeLog.action?provider=####&clickId=####&m...
- www.huangda####.com/resource!resource?resTypes=####&appid=####&channel=#...
Запросы HTTP POST:
- l.ace####.com/ando/v1/x/ap?app_id=####&r=####
- l.ace####.com/ando/v1/x/lv?app_id=####&r=####
- l.ace####.com/ando/v1/x/qa?app_id=####&r=####
- loc.map.b####.com/sdk.php
- www.huangda####.com/mobilepay/v2/getPayInfoListX2.do
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/EOZTzhVG.jar
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/index
- <Package Folder>/code-9033998/RC87-OzAoaWNSJrO
- <Package Folder>/databases/####/cc.db
- <Package Folder>/databases/####/cc.db-journal
- <Package Folder>/databases/33p47sRY70Ea_RVmXR4x2_KL-0DdTTSj_35w...ournal
- <Package Folder>/databases/33p47sRY70Ea_RVmXR4x2_KL-0DdTTSj_WAR...F62g==
- <Package Folder>/databases/33p47sRY70Ea_RVmXR4x2_KL-0DdTTSj_WAR...ournal
- <Package Folder>/databases/33p47sRY70Ea_RVmXR4x2_KL-0DdTTSj_g7J...SXv0M=
- <Package Folder>/databases/33p47sRY70Ea_RVmXR4x2_KL-0DdTTSj_g7J...ournal
- <Package Folder>/databases/33p47sRY70Ea_RVmXR4x2_KL-0DdTTSj_lpl...0kIA==
- <Package Folder>/databases/33p47sRY70Ea_RVmXR4x2_KL-0DdTTSj_lpl...ournal
- <Package Folder>/databases/33p47sRY70Ea_RVmXR4x2_KL-0DdTTSj_u-P..._lf1vz
- <Package Folder>/databases/33p47sRY70Ea_RVmXR4x2_KL-0DdTTSj_u-P...ournal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/####/07b03bb9-3b9b-4972-bfbd-77b7f8dc8fcb.pic.temp
- <Package Folder>/files/####/1B3ud8HLcycNPh1Ziqg8sA==.new
- <Package Folder>/files/####/30mr4qt7iSjG2npAaeeeC8aGScw=
- <Package Folder>/files/####/3_iDXMa6aKSrAcbOcQoKJU5dgxgY_klmH_7...Q=.new
- <Package Folder>/files/####/79724414-8d82-42ab-a931-e4f51c1bf12a.pic.temp
- <Package Folder>/files/####/9csVo2Cjz9KjFJcpG2CJapK-7-eU59Pi.new
- <Package Folder>/files/####/BGoFLDxbhZgU0AdY.zip
- <Package Folder>/files/####/EajC4kI3GReYAFRH-cUw19JGE5U=
- <Package Folder>/files/####/EajC4kI3GReYAFRH-cUw19JGE5U=.new
- <Package Folder>/files/####/H3e133GHfTQpJjemyoKwprwkcx8=.new
- <Package Folder>/files/####/JYN-t8uEqiKQ-QdfrG2qHgdnA4a_epOc.new
- <Package Folder>/files/####/KAlSdVDAhatFSRoa7NyDbRPm0FYf8q98.new
- <Package Folder>/files/####/KizHbrkZ0lY4DTh1A_Bk2v6yC5TXPbRt.new
- <Package Folder>/files/####/MuOjWqqS-6DmGe0lqPrwU3qt9kx6qUpfbPO...E=.new
- <Package Folder>/files/####/PCMHnMKs2i05UUSmRgy4XCmRO78=.new
- <Package Folder>/files/####/RkbBifCkFuGUpDRxfT3OpidJGNiTAhNV3CtqUQ==.new
- <Package Folder>/files/####/UQXwtvyGLBBlVmQ_
- <Package Folder>/files/####/VEEvYNj_zqElcqECYRo-OqqmBwhoJcR5
- <Package Folder>/files/####/VEEvYNj_zqElcqECYRo-OqqmBwhoJcR5.new
- <Package Folder>/files/####/VEEvYNj_zqElcqECYRo-OqqmBwhoJcR5.old (deleted)
- <Package Folder>/files/####/VjXbLBzE0wxzQLt31Uf9Q_ISP-ayDNle.new
- <Package Folder>/files/####/cbafa319-7406-4e48-9b79-4ddd013016bd.pic
- <Package Folder>/files/####/data.dat.tmp
- <Package Folder>/files/####/egT0D4vPOxSp4OY6fXScU7FD-ULX4A_DHEL9Rw==.new
- <Package Folder>/files/####/f3d5b5f8-64a5-49a0-ba30-40dc1863cedf.pic
- <Package Folder>/files/####/f7dd3287-050a-4a4d-90d2-1896287df903.pic.temp
- <Package Folder>/files/####/h51vM3EW6f6Q1hKA91L-hKWaMZEMXpWTEaCwzQ==.new
- <Package Folder>/files/####/jW4o34F4BEpI9tkP-1nJceR4hpw=.new
- <Package Folder>/files/####/kCqmr8q8mR-RYsQ1s5jJ9Q==
- <Package Folder>/files/####/kCqmr8q8mR-RYsQ1s5jJ9Q==.new
- <Package Folder>/files/####/kCqmr8q8mR-RYsQ1s5jJ9Q==.old (deleted)
- <Package Folder>/files/####/lbDruzi9yOlhaYYlneX1Tsx5JBSecpTN.new
- <Package Folder>/files/####/libus.so
- <Package Folder>/files/####/lqotFVEnFOYbaSrhXw-SUNGy9uLNHd2xYGr...4=.new
- <Package Folder>/files/####/n7UqEPNIfQvINq1N.new
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/sbcnua_f.zip
- <Package Folder>/files/####/sxSZf3rS0VWAz3lLoO3agA==
- <Package Folder>/files/####/vI-GIXZnMIh7IIUFA7KNR10JdVuEHTSLH_3...U=.new
- <Package Folder>/files/####/wLfHiyknM_WxpKiljVR2BCASM4bKty6d.new
- <Package Folder>/files/####/z-7m2RklSZi7jla35dk5Q9EKHGo=.new
- <Package Folder>/files/####/zFIk_VGIiGQC-ZNnLVVSEA==.new
- <Package Folder>/shared_prefs/pretw.xml
- <Package Folder>/shared_prefs/twj.xml
- <Package Folder>/shared_prefs/twj.xml.bak
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/zzconfig.xml
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/c09e5c66-a807-448e-9fc4-a2ea06c52b66.res
- <SD-Card>/.armsd/####/e564c00f-4c94-40a6-9f36-752181c6528d.res
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique.new
- <SD-Card>/.twservice/####/tw
- <SD-Card>/.twservice/qshp_3002_2206.zip
- <SD-Card>/Download/channel_conf
- <SD-Card>/Download/channel_conf1
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-9033998/RC87-OzAoaWNSJrO -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- sh <Package Folder>/code-9033998/RC87-OzAoaWNSJrO -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- abbie
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
