Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.589.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) log.mm####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) a####.wagbr####.t####.####.com:80
- TCP(HTTP/1.1) zhg.ali####.com:80
- TCP(HTTP/1.1) d####.opensp####.cn:80
- TCP(HTTP/1.1) p####.tc.qq.com:80
- TCP(HTTP/1.1) cdnappl####.b0.a####.com:80
- TCP(HTTP/1.1) h####.opensp####.cn:80
- TCP(HTTP/1.1) cdnimgl####.b0.a####.com:80
- TCP(HTTP/1.1) s####.e.qq.com:80
- TCP(HTTP/1.1) ad####.m.ta####.com:80
- TCP(HTTP/1.1) mi.g####.qq.com:80
- TCP(HTTP/1.1) p####.chengdu####.cn:80
- TCP(HTTP/1.1) ada####.m.ta####.com:80
- TCP(TLS/1.0) googl####.g.doublec####.net:443
- TCP(TLS/1.0) sh.wagbr####.ta####.com:443
Запросы DNS:
- a####.u####.com
- ad####.m.ta####.com
- ada####.m.ta####.com
- af####.ali####.com
- afpt####.ali####.com
- bcfeed####.ta####.com
- cdn.app.qqy####.cn
- cdn.img.qqy####.cn
- d####.opensp####.cn
- googl####.g.doublec####.net
- h####.opensp####.cn
- imgc####.qq.com
- log.mm####.com
- mi.g####.qq.com
- p####.chengdu####.cn
- qzones####.g####.cn
- s####.e.qq.com
- y####.al####.com
Запросы HTTP GET:
- ad####.m.ta####.com/rest/gc2?ak=####&av=####&c=####&d=####&sv=####&t=###...
- h####.opensp####.cn/launchconfig?t=####&p=ZWtqa####
- log.mm####.com/t.gif
- mi.g####.qq.com/gdt_mview.fcg?posw=####&posh=####&count=####&r=####&data...
Запросы HTTP POST:
- ada####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=###...
- d####.opensp####.cn/index.php/clientrequest/clientcollect/isCollect
- p####.chengdu####.cn/hadat/adlh/ffz
- p####.chengdu####.cn/hadat/ji/s
- p####.chengdu####.cn/hadat/y/kpgm
- p####.chengdu####.cn/jzbdt/jc/ltyd
- p####.chengdu####.cn/jzbdt/ot/faul/wbrxh
- p####.chengdu####.cn/jzbdt/yzeq/ivlpe
- s####.e.qq.com/activate
- s####.e.qq.com/err
- s####.e.qq.com/msg
- zhg.ali####.com/saveWb.json
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/app_SGLib/libsgmainso-5.1.81.so
- <Package Folder>/app_SGLib/lock.lock
- <Package Folder>/app_e_qq_com_plugin/gdt_plugin.jar
- <Package Folder>/app_e_qq_com_plugin/gdt_plugin.jar.sig
- <Package Folder>/app_e_qq_com_plugin/gdt_plugin.next.sig
- <Package Folder>/app_e_qq_com_plugin/gdt_plugin.tmp
- <Package Folder>/app_e_qq_com_plugin/update_lc
- <Package Folder>/app_e_qq_com_setting/devCloudSetting.cfg
- <Package Folder>/app_e_qq_com_setting/devCloudSetting.sig
- <Package Folder>/app_e_qq_com_setting/gdt_suid
- <Package Folder>/app_e_qq_com_setting/sdkCloudSetting.cfg
- <Package Folder>/app_e_qq_com_setting/sdkCloudSetting.sig
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/f_000001
- <Package Folder>/cache/####/f_000002
- <Package Folder>/cache/####/index
- <Package Folder>/cache/ads242607255.jar
- <Package Folder>/databases/GDTSDK.db
- <Package Folder>/databases/GDTSDK.db-journal
- <Package Folder>/databases/t_u.db-journal
- <Package Folder>/databases/ut.db
- <Package Folder>/databases/ut.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/databases/zuowen_db
- <Package Folder>/databases/zuowen_db-journal
- <Package Folder>/files/####/BannerPlugin-3.1.apk
- <Package Folder>/files/####/CommonPlugin-4.7.apk
- <Package Folder>/files/####/FrameworkPlugin-3.4.apk
- <Package Folder>/files/####/InsertPlugin-2.9.apk
- <Package Folder>/files/####/WelcomePlugin-3.3.apk
- <Package Folder>/files/####/wv_web_info.dat
- <Package Folder>/files/.imprint
- <Package Folder>/files/0a231bd8575dcf72.txt
- <Package Folder>/files/1d77ea041509fe06.lock
- <Package Folder>/files/21c22f492aba3de8.lock
- <Package Folder>/files/930a31b34bd52c08.lock
- <Package Folder>/files/SGMANAGER_DATA2
- <Package Folder>/files/SGMANAGER_DATA2.tmp
- <Package Folder>/files/ap.Lock
- <Package Folder>/files/lf.jar
- <Package Folder>/files/sp.lock
- <Package Folder>/files/sz.jar
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/Alvin2.xml
- <Package Folder>/shared_prefs/ContextData.xml
- <Package Folder>/shared_prefs/CookiePrefsFile.xml
- <Package Folder>/shared_prefs/MMUConfigManager_FILE_PREFER.xml
- <Package Folder>/shared_prefs/MMUConfigManager_FILE_PREFER.xml.bak
- <Package Folder>/shared_prefs/UTCommon.xml
- <Package Folder>/shared_prefs/com.iflytek.id.xml
- <Package Folder>/shared_prefs/com.iflytek.msc.xml
- <Package Folder>/shared_prefs/dsi.xml
- <Package Folder>/shared_prefs/ifly_launch_lib.xml
- <Package Folder>/shared_prefs/ifly_launch_lib.xml.bak
- <Package Folder>/shared_prefs/iflytek_state_<Package>.xml
- <Package Folder>/shared_prefs/kr.xml
- <Package Folder>/shared_prefs/kr.xml.bak
- <Package Folder>/shared_prefs/mmuwelcome_cache_file.xml
- <Package Folder>/shared_prefs/mobclick_agent_online_setting_<Package>.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml.bak
- <Package Folder>/shared_prefs/vl.xml
- <SD-Card>/.DataStorage/ContextData.xml
- <SD-Card>/.UTSystemConfig/####/Alvin2.xml
- <SD-Card>/.com.taobao.dp/6c709c11d2d46a7b
- <SD-Card>/.com.taobao.dp/dd7893586a493dc3
- <SD-Card>/.com.taobao.dp/hid.dat
- <SD-Card>/Android/####/.nomedia
- <SD-Card>/Android/####/1140710487ed2
- <SD-Card>/Android/####/9789476964ae8d48fcb8080608c06d72.apk
- <SD-Card>/Android/####/ApplicationCache.db-journal
- <SD-Card>/Android/####/ApplicationCache.db-journal (deleted)
- <SD-Card>/Android/####/b.tmp
- <SD-Card>/iflyworkdir_test
- <SD-Card>/msc/.2F6E2C5B63F0F83B
Другие:
Запускает следующие shell-скрипты:
- chmod 777 /storage/emulated/0/Android/data/<Package>/files/Download/Android/azb/9789476964ae8d48fcb8080608c06d72.apk
Загружает динамические библиотеки:
- _owskt635
- msc
- sgmainso-5.1
- ut_c_api
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS7Padding
- RSA-ECB-PKCS1Padding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
