Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.222.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) pag####.googles####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) m.sosta####.com:80
- TCP(HTTP/1.1) i51####.com:80
- TCP(HTTP/1.1) svr.doti####.com:80
- TCP(HTTP/1.1) s####.sosta####.com:80
- TCP(HTTP/1.1) d####.c####.l####.####.com:80
- TCP(TLS/1.0) d.tou####.com:443
- TCP(TLS/1.0) owe.joy-r####.com:9050
- TCP(TLS/1.0) o####.sn####.com.####.net:443
- TCP(TLS/1.0) it####.a####.com.####.net:443
- TCP(TLS/1.0) tpc.googles####.com:443
- TCP(TLS/1.0) d####.c####.l####.####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) googl####.g.doublec####.net:443
- TCP(TLS/1.0) pag####.googles####.com:443
Запросы DNS:
- 7x####.c####.z0.####.com
- a####.u####.com
- apk.sosta####.com
- cdn.joy-r####.com
- d.tou####.com
- googl####.g.doublec####.net
- i51####.com
- it####.a####.com
- m.sosta####.com
- mt####.go####.com
- o####.sn####.com
- owe.joy-r####.com
- pag####.googles####.com
- s####.sosta####.com
- svr.doti####.com
- tpc.googles####.com
- www.gst####.com
Запросы HTTP GET:
- d####.c####.l####.####.com/love.css.bootstrap.min.css
- d####.c####.l####.####.com/love.css.main.css
- d####.c####.l####.####.com/love.js.bootstrap.min.js
- d####.c####.l####.####.com/love.js.imagesloaded.pkgd.min.js
- d####.c####.l####.####.com/love.js.jquery.min.js
- d####.c####.l####.####.com/love.js.main.js
- d####.c####.l####.####.com/love.js.masonry.pkgd.min.js
- d####.c####.l####.####.com/phone-show-1.png
- d####.c####.l####.####.com/phone-show-4.png
- d####.c####.l####.####.com/phone-show-6.png
- i51####.com/
- pag####.googles####.com/pagead/js/adsbygoogle.js
- pag####.googles####.com/pagead/js/r20170925/r20170110/show_ads_impl.js
- s####.sosta####.com/
- s####.sosta####.com/css/jquery.mobile-1.1.1.css
- s####.sosta####.com/css/my.css
- s####.sosta####.com/js/cordova-1.8.0.js
- s####.sosta####.com/js/jquery.min.js
- s####.sosta####.com/js/jquery.mobile-1.1.0.min.js
- s####.sosta####.com/js/my.js
- s####.sosta####.com/mycu.js
- s####.sosta####.com/mycubustsize.js
- s####.sosta####.com/mycushoes.js
- s####.sosta####.com/olconfig.php?channel=####&h=####&imei=####&imsi=####...
- svr.doti####.com/ics?sid=####&adid=####&idfa=####&clickid=####
Запросы HTTP HEAD:
- d####.c####.l####.####.com/5facf938-6ae3-4afd-a118-789a194c4ec3bdco_10027
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/app_C3g3qVLoPom3/####/list2.chche
- <Package Folder>/app_aqPVSg3/tMS866P3hcq
- <Package Folder>/app_localdata/ApplicationCache.db-journal
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/f_000001
- <Package Folder>/cache/####/f_000002
- <Package Folder>/cache/####/f_000003
- <Package Folder>/cache/####/f_000004
- <Package Folder>/cache/####/f_000005
- <Package Folder>/cache/####/f_000006
- <Package Folder>/cache/####/f_000007
- <Package Folder>/cache/####/f_000008
- <Package Folder>/cache/####/f_000009
- <Package Folder>/cache/####/f_00000a
- <Package Folder>/cache/####/index
- <Package Folder>/cache/olconfig
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/2078793401
- <Package Folder>/files/3018798.dex (deleted)
- <Package Folder>/files/3018798.jar
- <Package Folder>/files/H4O783l.apk
- <Package Folder>/files/bdco.cf
- <Package Folder>/files/bdco.tmp.temp
- <Package Folder>/files/bdco.tmp0.temp
- <Package Folder>/shared_prefs/mb_device_id.xml.xml
- <Package Folder>/shared_prefs/mobclick_agent_header_<Package>.xml
- <Package Folder>/shared_prefs/mobclick_agent_state_<Package>.xm...leted)
- <Package Folder>/shared_prefs/mobclick_agent_state_<Package>.xml
- <Package Folder>/shared_prefs/sdfgh.xml
- <SD-Card>/BIRDDOWNLOAD/####/Badinfo.xml
- <SD-Card>/BIRDDOWNLOAD/####/YvscMPs.xml
- <SD-Card>/BIRDDOWNLOAD/####/rinsWPVPycqVPSq38.db
- <SD-Card>/BIRDDOWNLOAD/####/rinsWPVPycqVPSq38.db-journal
- <SD-Card>/BIRDDOWNLOAD/####/webinfo.xml
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/app_aqPVSg3/tMS866P3hcq -p <Package> -s com.baidu.BackgroundService -t 600
- chmod 0755 <Package Folder>/app_aqPVSg3/tMS866P3hcq
- sh <Package Folder>/app_aqPVSg3/tMS866P3hcq -p <Package> -s com.baidu.BackgroundService -t 600
Использует следующие алгоритмы для шифрования данных:
- DES-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- DES-ECB-NoPadding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
