Техническая информация
Вредоносные функции:
Загружает из Интернета следующие детектируемые угрозы:
- Android.Triada.328.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) mo####.ultrapr####.com:80
- TCP(HTTP/1.1) pac####.ultrapr####.com:80
- TCP(HTTP/1.1) r####.android####.info:80
- TCP(HTTP/1.1) acc####.thefunn####.com:8100
- TCP(HTTP/1.1) hijo####.thefunn####.com:8100
- TCP(HTTP/1.1) hijo####.thefunn####.com:80
- TCP(HTTP/1.1) b####.android####.info:80
Запросы DNS:
- acc####.thefunn####.com
- b####.android####.info
- hijo####.thefunn####.com
- mo####.ultrapr####.com
- pac####.ultrapr####.com
- r####.android####.info
Запросы HTTP GET:
- hijo####.thefunn####.com/soft/59b1ed77a2edd.zip
- hijo####.thefunn####.com/soft/59c363a7e3b98.zip
- pac####.ultrapr####.com/Uploads/sdk/204_fixservice-push_10000_2_2.0_smo_...
- r####.android####.info/api/timeInterval
- r####.android####.info/upload/Selfupdate/20170927173708.7z
Запросы HTTP POST:
- hijo####.thefunn####.com:8100/Update/packageUpdateResult
- mo####.ultrapr####.com/index.php?c=####&m=####
- r####.android####.info/api/getPhoneDeviceInfo
- r####.android####.info/api/tempLogInfo
Изменения в файловой системе:
Создает следующие файлы:
- /data/local/####/getprop_c
- /data/local/####/libfilesystem_monitor.so
- /data/local/####/setprop_c
- /data/local/####/zlt
- /data/local/####/zlt.7z
- /data/local/####/zlt.7z_tmp
- /data/local/####/zlt_conf
- /system/app/bart.apk
- /system/bin/getprop_c
- /system/bin/setprop_c
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/index
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/####/59b1ed77a2edd.zip
- <Package Folder>/files/####/59c363a7e3b98.zip
- <Package Folder>/files/####/bart.apk
- <Package Folder>/files/####/bart.apk_tmp
- <Package Folder>/files/####/bart.apk_tmp (deleted)
- <Package Folder>/files/####/classes.dex
- <Package Folder>/files/####/libkrsdk.so
- <Package Folder>/files/####/libso1.so
- <Package Folder>/files/####/libun7z.so
- <Package Folder>/files/####/runtime
- <Package Folder>/files/6cbac09534bc4e9b9961c1064a5aad70
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml.bak
- <Package Folder>/shared_prefs/config.xml
- <Package Folder>/shared_prefs/log.xml
- <Package Folder>/shared_prefs/toor.xml
- <SD-Card>/.androidID
- <SD-Card>/.recordinterval
- <SD-Card>/.temp/pureSdk
Другие:
Запускает следующие shell-скрипты:
- cat /sys/class/net/wlan0/address
- chmod 755 getprop_c setprop_c getprop setprop
- chmod 777 /data/local/tmp/lt
- chmod 777 /data/local/tmp/lt/zlt_conf
- chmod 777 /system/app/bart.apk
- chmod 777 getprop_c libfilesystem_monitor.so setprop_c temps zlt zlt.7z
- chown root:shell getprop_c setprop_c getprop setprop
- cp -rf /data/local/tmp/lt/getprop_c /data/local/tmp/lt/setprop_c /system/bin
- cp -rf getprop_c setprop_c zlt libfilesystem_monitor.so /data/local/tmp/lt
- getprop ro.product.cpu.abi
- getprop ro.product.cpu.abi2
- grep zlt
- ln -s getprop_c getprop
- ln -s setprop_c setprop
- mkdir /data/local/tmp/lt
- mount -o remount,rw /data
- mount -o remount,rw /system
- ps
- rm getprop setprop
- sh
- su
Загружает динамические библиотеки:
- libkrsdk
- libso1
- libun7z
- nativeUtil
Использует следующие алгоритмы для шифрования данных:
- DES
Использует следующие алгоритмы для расшифровки данных:
- DES
Использует повышенные привилегии.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
