Техническая информация
Вредоносные функции:
Загружает из Интернета следующие детектируемые угрозы:
- Android.Triada.328.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) mo####.ultrapr####.com:80
- TCP(HTTP/1.1) pac####.ultrapr####.com:80
- TCP(HTTP/1.1) r####.android####.info:80
- TCP(HTTP/1.1) a####.wallh####.cc:80
- TCP(HTTP/1.1) acc####.thefunn####.com:8100
- TCP(HTTP/1.1) hijo####.thefunn####.com:8100
- TCP(HTTP/1.1) hijo####.thefunn####.com:80
- TCP(HTTP/1.1) wallpa####.wallh####.cc:80
- TCP(HTTP/1.1) b####.android####.info:80
- TCP(TLS/1.0) wallpa####.wallh####.cc:443
- TCP(TLS/1.0) a####.wallh####.cc:443
Запросы DNS:
- a####.wallh####.cc
- acc####.thefunn####.com
- b####.android####.info
- hijo####.thefunn####.com
- mo####.ultrapr####.com
- pac####.ultrapr####.com
- r####.android####.info
- wallpa####.wallh####.cc
Запросы HTTP GET:
- hijo####.thefunn####.com/soft/59afd81755123.zip
- hijo####.thefunn####.com/soft/59b1ed77a2edd.zip
- pac####.ultrapr####.com/Uploads/sdk/204_fixservice-push_10000_2_2.0_smo_...
- r####.android####.info/api/timeInterval
- r####.android####.info/upload/Selfupdate/20170930162123.7z
Запросы HTTP POST:
- hijo####.thefunn####.com:8100/Update/packageUpdateResult
- mo####.ultrapr####.com/index.php?c=####&m=####
- r####.android####.info/api/getPhoneDeviceInfo
Изменения в файловой системе:
Создает следующие файлы:
- /data/local/####/getprop_c
- /data/local/####/libfilesystem_monitor.so
- /data/local/####/setprop_c
- /data/local/####/zlt
- /data/local/####/zlt.7z
- /data/local/####/zlt.7z_tmp
- /data/local/####/zlt_conf
- /system/app/bart.apk
- /system/bin/getprop_c
- /system/bin/setprop_c
- /system/pureSdk
- <Package Folder>/cache/####/30aff3aa0b94d9f18aa85ed0bd4de9031d6....0.tmp
- <Package Folder>/cache/####/31d5b66fe5ff2a9871bf2a04885d3c4b3c3....0.tmp
- <Package Folder>/cache/####/3a0a9817721642aeb689a3163761575442a....0.tmp
- <Package Folder>/cache/####/3d964e347fcc13ec605db90c51b7900efd6....0.tmp
- <Package Folder>/cache/####/4625c1887cdcefdce9c7cbed9a3ffb80db7....0.tmp
- <Package Folder>/cache/####/6f51fa26eec4f6ec8b6bf59bcea55635ef6....0.tmp
- <Package Folder>/cache/####/7af65f677675fd6f57bc5c08e10bb7e1af7....0.tmp
- <Package Folder>/cache/####/8527b926fffe533f60615f73b0fd0d8177f....0.tmp
- <Package Folder>/cache/####/880636ade7de2e65feb36c5cdd73ca274aa....0.tmp
- <Package Folder>/cache/####/89fcd4e1469fa4f7bf5b9d204e0b32b6c9b....0.tmp
- <Package Folder>/cache/####/933e5f496372099b9061ff1e6e07a8f56e7....0.tmp
- <Package Folder>/cache/####/93fa860a4bd9dd26a255e659e8284e7d5b2....0.tmp
- <Package Folder>/cache/####/af2f5a9d6c2c519c5ad575e003a21a061f9....0.tmp
- <Package Folder>/cache/####/af7cc16e486c03dc14c1a5a4b4c05f82ce8....0.tmp
- <Package Folder>/cache/####/b83e0428248ec4c70123d6ae2cdd5f079b2....0.tmp
- <Package Folder>/cache/####/bf58ce87821bf633f5a894900d024037292....0.tmp
- <Package Folder>/cache/####/bff303ced81c9518989110e77bcdbb21710....0.tmp
- <Package Folder>/cache/####/c07aa88b2ffe36caa9dd4071dd4f81925c6....0.tmp
- <Package Folder>/cache/####/c3dc6768685e8712126473831d84154a2d6....0.tmp
- <Package Folder>/cache/####/d89a5af7d7820398c0cf4e4bddd01755b15....0.tmp
- <Package Folder>/cache/####/dae0c233aebf231730e6d87fe6635f54df7....0.tmp
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/df5476a2bdd6a70f5abf88c658b54242ca1....0.tmp
- <Package Folder>/cache/####/e17534cc5cc0ffe1676b03d5047b2b127bd....0.tmp
- <Package Folder>/cache/####/fd33d2864979c706b7e21369237afde3461....0.tmp
- <Package Folder>/cache/####/feffe6b8229ace5847ff1d02d3e14ca6a8f....0.tmp
- <Package Folder>/cache/####/index
- <Package Folder>/cache/####/journal.tmp
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/files/####/59afd81755123.zip
- <Package Folder>/files/####/59b1ed77a2edd.zip
- <Package Folder>/files/####/bart.apk
- <Package Folder>/files/####/bart.apk_tmp
- <Package Folder>/files/####/classes.dex
- <Package Folder>/files/####/libkrsdk.so
- <Package Folder>/files/####/libso1.so
- <Package Folder>/files/####/libun7z.so
- <Package Folder>/files/####/runtime
- <Package Folder>/files/12c708bcdfa9cc5e03c1be6073378622
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/com.musenkishi.wally.sharedpreferences.xml
- <Package Folder>/shared_prefs/config.xml
- <Package Folder>/shared_prefs/log.xml
- <Package Folder>/shared_prefs/toor.xml
- <SD-Card>/.androidID
- <SD-Card>/.recordinterval
- <SD-Card>/.temp/pureSdk
Другие:
Запускает следующие shell-скрипты:
- cat /sys/class/net/wlan0/address
- chmod 755 getprop_c setprop_c getprop setprop
- chmod 777 /data/local/tmp/lt
- chmod 777 /data/local/tmp/lt/zlt_conf
- chmod 777 /system/app/bart.apk
- chmod 777 /system/pureSdk
- chmod 777 getprop_c libfilesystem_monitor.so setprop_c temps zlt zlt.7z
- chown root:shell getprop_c setprop_c getprop setprop
- cp -rf /data/local/tmp/lt/getprop_c /data/local/tmp/lt/setprop_c /system/bin
- cp -rf libfilesystem_monitor.so zlt getprop_c setprop_c /data/local/tmp/lt
- getprop ro.product.cpu.abi
- getprop ro.product.cpu.abi2
- grep zlt
- ln -s getprop_c getprop
- ln -s setprop_c setprop
- mkdir /data/local/tmp/lt
- mount -o remount,rw /data
- mount -o remount,rw /system
- ps
- reboot
- rm getprop setprop
- sh
- su
Загружает динамические библиотеки:
- libkrsdk
- libso1
- libun7z
- nativeUtil
Использует повышенные привилегии.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
