Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Xiny.20
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) nav.cn.ron####.com:80
- TCP(HTTP/1.1) pi####.qq.com:80
- TCP(HTTP/1.1) t####.c####.l####.####.com:80
- TCP(HTTP/1.1) oc.u####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) s####.magicwi####.cn:80
- TCP(HTTP/1.1) yes.yuchan####.com.cn:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) r.eli####.cn:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) gd.a.s####.com:80
- TCP(HTTP/1.1) zh####.c####.com:80
- TCP(HTTP/1.1) d.xiongj####.com.####.com:80
- TCP(HTTP/1.1) cgi.con####.qq.com:80
- TCP(TLS/1.0) s####.cn.ron####.com:443
- TCP(TLS/1.0) fp.fraudme####.cn:443
- TCP c####.g####.ig####.com:5225
- TCP sdk.o####.t####.####.com:5224
- TCP 1####.92.34.95:8621
Запросы DNS:
- 7j####.c####.z0.####.com
- a####.u####.com
- c####.g####.ig####.com
- c-h####.g####.com
- cgi.con####.qq.com
- d.xiongj####.com.cn
- fp.fraudme####.cn
- nav.cn.ron####.com
- oc.u####.com
- pi####.qq.com
- pv.s####.com
- qn.c####.com
- r.eli####.cn
- s####.cn.ron####.com
- s####.magicwi####.cn
- sdk.c####.ig####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- yes.yuchan####.com.cn
- zh####.c####.com
Запросы HTTP GET:
- cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?sdkv=####&appid=###...
- d.xiongj####.com.####.com/jfile/gou.jar
- t####.c####.l####.####.com/config/hz-hzv3.conf
Запросы HTTP POST:
- nav.cn.ron####.com/navipush.json
- oc.u####.com/check_config_update
- pi####.qq.com/mstat/report
- s####.magicwi####.cn/dp/dpls/v2
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/app_push_lib/plugin-deploy.jar
- <Package Folder>/app_push_lib/plugin-deploy.key
- <Package Folder>/code_cache/####/<Package>-1.apk.classes-1271173322.zip
- <Package Folder>/code_cache/####/<Package>-1.apk.classes-1824211286.zip
- <Package Folder>/databases/downloadswc
- <Package Folder>/databases/downloadswc-journal
- <Package Folder>/databases/pushext.db-journal
- <Package Folder>/databases/pushg.db-journal
- <Package Folder>/databases/pushsdk.db-journal
- <Package Folder>/databases/tencent_analysis.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/zhiYue.db-journal
- <Package Folder>/files/com.tencent.open.config.json.1101163926
- <Package Folder>/files/gdaemon_20161017
- <Package Folder>/files/init.pid
- <Package Folder>/files/mobclick_agent_cached_<Package>
- <Package Folder>/files/push.pid
- <Package Folder>/files/run.pid
- <Package Folder>/files/tdata_eoG063.jar
- <Package Folder>/files/tdata_eoG063.tmp
- <Package Folder>/files/tdata_uDm993.jar
- <Package Folder>/files/tdata_uDm993.tmp
- <Package Folder>/shared_prefs/279422user.xml
- <Package Folder>/shared_prefs/279422user.xml.bak
- <Package Folder>/shared_prefs/<Package>.push_sync.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml.bak
- <Package Folder>/shared_prefs/COUNTLY_STORE.xml
- <Package Folder>/shared_prefs/RongPush.xml
- <Package Folder>/shared_prefs/RongPush.xml.bak
- <Package Folder>/shared_prefs/Statistics.xml
- <Package Folder>/shared_prefs/Statistics.xml.bak
- <Package Folder>/shared_prefs/W_Key.xml
- <Package Folder>/shared_prefs/a.xml
- <Package Folder>/shared_prefs/a.xml.bak
- <Package Folder>/shared_prefs/fm_shared.xml
- <Package Folder>/shared_prefs/gx_sp.xml
- <Package Folder>/shared_prefs/mobclick_agent_header_<Package>.xml
- <Package Folder>/shared_prefs/mobclick_agent_online_setting_<Package>.xml
- <Package Folder>/shared_prefs/mobclick_agent_state_<Package>.xml
- <Package Folder>/shared_prefs/mobclick_agent_state_<Package>.xml.bak
- <Package Folder>/shared_prefs/multidex.version.xml
- <Package Folder>/shared_prefs/persistent_data.xml
- <Package Folder>/shared_prefs/persistent_data.xml.bak
- <Package Folder>/shared_prefs/pst.xml
- <Package Folder>/shared_prefs/pst.xml.bak
- <Package Folder>/shared_prefs/st.xml
- <SD-Card>/.fraudmetrixid
- <SD-Card>/<Package>/####/journal
- <SD-Card>/Android/####/.nomedia
- <SD-Card>/Android/####/journal.tmp
- <SD-Card>/Download/####/4.8_gou.jar.tmp
- <SD-Card>/Tencent/####/.mid.txt
- <SD-Card>/cutt/####/app_version
- <SD-Card>/cutt/####/cutt_new.css
- <SD-Card>/cutt/####/feeds_new
- <SD-Card>/cutt/####/list
- <SD-Card>/cutt/####/score_rules
- <SD-Card>/dt/restime.dat
- <SD-Card>/libs/<Package>.db
- <SD-Card>/libs/app.db
- <SD-Card>/libs/com.getui.sdk.deviceId.db
- <SD-Card>/libs/com.igexin.sdk.deviceId.db
- <SD-Card>/libs/test.log
- <SD-Card>/system/####/tdata_eoG063
- <SD-Card>/system/####/tdata_uDm993
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24325 300 0
- chmod 444 /storage/emulated/0/.fraudmetrixid
- chmod 444 /storage<SD-Card>0/.fraudmetrixid
- chmod 700 <Package Folder>/files/gdaemon_20161017
- getprop net.dns1
- ls -l /system/bin/su
- ls -l /system/xbin/su
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24325 300 0
Загружает динамические библиотеки:
- MtaNativeCrash
- RongIMLib
- asulp
- pl_droidsonroids_gif
Использует следующие алгоритмы для шифрования данных:
- AES
Использует следующие алгоритмы для расшифровки данных:
- RSA-ECB-PKCS1Padding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
