Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.155.origin
- Android.Triada.178
- Android.Triada.248.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) www.huangda####.com:80
- TCP(HTTP/1.1) 1####.75.30.57:10001
- TCP(HTTP/1.1) 1####.59.40.34:19000
- TCP(HTTP/1.1) img.ace####.com:80
- TCP(HTTP/1.1) api.var####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
Запросы DNS:
- api.var####.com
- c.jinqia####.com
- h5.tt-hong####.com
- img.ace####.com
- l.ace####.com
- loc.map.b####.com
- www.huangda####.com
Запросы HTTP GET:
- l.ace####.com/ando/v2/mn?k=####&d=####&m=####
- www.huangda####.com/active!activeLog.action?provider=####&clickId=####&m...
- www.huangda####.com/resource!resource?resTypes=####&appid=####&channel=#...
Запросы HTTP POST:
- l.ace####.com/ando/v1/x/ap?app_id=####&r=####
- l.ace####.com/ando/v1/x/lv?app_id=####&r=####
- l.ace####.com/ando/v1/x/qa?app_id=####&r=####
- loc.map.b####.com/sdk.php
- www.huangda####.com/mobilepay/v2/getPayInfoListX2.do
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/EOZTzhVG.jar
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/index
- <Package Folder>/code-1214621/4rADvXnMguQ6OUys
- <Package Folder>/databases/####/cc.db
- <Package Folder>/databases/####/cc.db-journal
- <Package Folder>/databases/AVDH7ouzts-XxCYLERS53Z-8apcROqKY_HD8...-fcGvw
- <Package Folder>/databases/AVDH7ouzts-XxCYLERS53Z-8apcROqKY_HD8...ournal
- <Package Folder>/databases/AVDH7ouzts-XxCYLERS53Z-8apcROqKY_Ipz...12jg==
- <Package Folder>/databases/AVDH7ouzts-XxCYLERS53Z-8apcROqKY_Ipz...ournal
- <Package Folder>/databases/AVDH7ouzts-XxCYLERS53Z-8apcROqKY_XaO...ournal
- <Package Folder>/databases/AVDH7ouzts-XxCYLERS53Z-8apcROqKY_XaO...uDSw==
- <Package Folder>/databases/AVDH7ouzts-XxCYLERS53Z-8apcROqKY_djg...ournal
- <Package Folder>/databases/AVDH7ouzts-XxCYLERS53Z-8apcROqKY_yYJ...A5d2U=
- <Package Folder>/databases/AVDH7ouzts-XxCYLERS53Z-8apcROqKY_yYJ...ournal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/####/-TrjPE-vC1Z84NpkMz1DqyfrRxc_F7pz-ZEJFg==.new
- <Package Folder>/files/####/2eGvWwwcYPUPyB8ScZJ8Fg==.new
- <Package Folder>/files/####/7Wvw3tbn5Jbo3eo8VS_E-Q==
- <Package Folder>/files/####/7Wvw3tbn5Jbo3eo8VS_E-Q==.new
- <Package Folder>/files/####/7Wvw3tbn5Jbo3eo8VS_E-Q==.old (deleted)
- <Package Folder>/files/####/8c516901-e66b-4602-ae4f-e66167cf5d2c.pic.temp
- <Package Folder>/files/####/9HJYb_1oPL576japudwavmbrpQV1SVIt.new
- <Package Folder>/files/####/DzoZC2Z4QvqAbRfJAR6vwA==
- <Package Folder>/files/####/ECMHxe3fM5OLtkLq6cxdPnDdYUOFAT5b.new
- <Package Folder>/files/####/JdWc4zJL1kNB-VFh4XUBsj9gnFY=
- <Package Folder>/files/####/KXx9cpatc2Xy5Gxmsme2otliBGold7t-.new
- <Package Folder>/files/####/PQHklG22e78A7dle
- <Package Folder>/files/####/WOiEOzk5WfHY0z-GOlnkoArbylSN-dKg.new
- <Package Folder>/files/####/WWfV0PeH7iqk-Fkg6m0_6dUziOjEwbl7r8t...Q=.new
- <Package Folder>/files/####/Wzh7oqTTiFpEpei4.new
- <Package Folder>/files/####/XiXSgYgu3m5x0JMKgLpB7MzbYJLPDBh4.new
- <Package Folder>/files/####/ate6zCD8tMJgekRp8CRRGBV_tWWr_6-BGt6M6Q==.new
- <Package Folder>/files/####/d04YA_5GQi2nmRQ9_DeabU9OGhTfPTgaeq6...M=.new
- <Package Folder>/files/####/data.dat.tmp
- <Package Folder>/files/####/de0bf0af-23fd-4505-8a28-e18adb7c5fe7.pic.temp
- <Package Folder>/files/####/e9d8e9be-24ba-427a-aa80-9b5d465d911a.pic
- <Package Folder>/files/####/eE5HCBLQsKU2LLsevJ9jmloQkrs=
- <Package Folder>/files/####/eE5HCBLQsKU2LLsevJ9jmloQkrs=.new
- <Package Folder>/files/####/eGtmYS5Wf8cvTu0b33O-fMrok1Vznbj-coU...I=.new
- <Package Folder>/files/####/eINORfPw7SKfko2T1SW6Cg==
- <Package Folder>/files/####/eINORfPw7SKfko2T1SW6Cg==.new
- <Package Folder>/files/####/eLaHC5-fS-6D-5_4KuLaogkCp_Kgy8_C.new
- <Package Folder>/files/####/eSn00RNRK6coMa4a.zip
- <Package Folder>/files/####/f08d49c6-2798-4dfd-891e-0efab091c4fb.pic
- <Package Folder>/files/####/f5da140f-220d-4cd2-afee-645e894df23b.pic.temp
- <Package Folder>/files/####/jvD4d_4WVGrNqcZe6zzffrJ742QYXxwVzd2...s=.new
- <Package Folder>/files/####/kBIo4W8rV5aQlyqnnigN8tUmuIg=.new
- <Package Folder>/files/####/l1i6b6X4nS0jNwotWzfBQLnQPdk=.new
- <Package Folder>/files/####/libus.so
- <Package Folder>/files/####/mZqJPUApAkCTcY_DoPodGrkgF3Q=.new
- <Package Folder>/files/####/nSut_cAbfuaxz5nepMP99pyJpgPZczOgwqjJqA==.new
- <Package Folder>/files/####/p_x8z_GdB4B9WcfuqbTMqCiw1m0=
- <Package Folder>/files/####/qPvY8nBCjjHTxzf7bv3w0hKasjrFf4wW.new
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/sbcnua_f.zip
- <Package Folder>/files/####/zcTQkIoFBPV_FjlKGv5x5VKLat2XM3hJ.new
- <Package Folder>/shared_prefs/pretw.xml
- <Package Folder>/shared_prefs/twj.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/zzconfig.xml
- <SD-Card>/.armsd/####/26e84eef-b178-4abf-9b3b-7a6bc8070a74.res
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/98b0c02b-0720-43c2-9dfa-9f06208b489a.res
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/bfb208fe-637b-47a8-8b40-4c3101e27b6d.res
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique.new
- <SD-Card>/.twservice/####/tw
- <SD-Card>/.twservice/qshp_3002_2206.zip
- <SD-Card>/Download/channel_conf
- <SD-Card>/Download/channel_conf1
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-1214621/4rADvXnMguQ6OUys -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- sh <Package Folder>/code-1214621/4rADvXnMguQ6OUys -p <Package> -c com.hoxq.lpve.uwisuq.a.a.c.b -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- vjnyg
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
