Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.247.origin
- Android.Triada.248.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/app_workbench05322/apk.zip
- <Package Folder>/app_workbench16454/apk.zip
- <Package Folder>/app_workbench38784/apk.zip
- <Package Folder>/app_workbench71940/apk.zip
- <Package Folder>/app_workbench72246/apk.zip
- <Package Folder>/code-440845/####/ZppS1PlK2ao=.jar
- <Package Folder>/code-440845/pmwri67NLCjONcsa
- <Package Folder>/databases/Data_sync.db-journal
- <Package Folder>/databases/nS83pxv9NjDaqgLEcLEgi-merZPIT29L1iLI...BxKtUf
- <Package Folder>/databases/nS83pxv9NjDaqgLEcLEgi-merZPIT29L1iLI...S3GQ==
- <Package Folder>/databases/nS83pxv9NjDaqgLEcLEgi-merZPIT29L1iLI...eocA==
- <Package Folder>/databases/nS83pxv9NjDaqgLEcLEgi-merZPIT29L1iLI...ournal
- <Package Folder>/databases/nS83pxv9NjDaqgLEcLEgi-merZPIT29L1iLI...pdEzI=
- <Package Folder>/files/####/3h3KvqkPxJlRbPsNC7dnEpCxB8w=.new
- <Package Folder>/files/####/4fZ7Etany38XgXOCneRg1QKpdppyqKY1z99uBg==.new
- <Package Folder>/files/####/8I_97ymYrpl1ssKu1KDel7U9Ghs=.new
- <Package Folder>/files/####/BJDUCAJW58HdZOJIZKB46g==.new
- <Package Folder>/files/####/DVaREIs-cYm_CVeDP4LFQxWQAnU=
- <Package Folder>/files/####/EnWFetX8HDd-wjYovai18mTGougz9qHY.new
- <Package Folder>/files/####/FMhMYThmFITHMUFfupnCwbeue9az7QMk.new
- <Package Folder>/files/####/Hd9N4XoiIbX7AEUYJV9M6FiGpD-5FfsNweeO1Q==.new
- <Package Folder>/files/####/J5q-W0T-b4SbqKXw_OLulioOmTFwvnWyhAO...g=.new
- <Package Folder>/files/####/Kw0ib2xpiNV3-yCDUv_3pY3M1SYY4zVi.new
- <Package Folder>/files/####/N97pmjT-nJpGvKqbPLQfbA==.new
- <Package Folder>/files/####/NZkOGkuEloupTfDky1D7tw==
- <Package Folder>/files/####/WdhFU8KVeQdYxqSlfI41IyFEPZX1fRE83UaR8Q==.new
- <Package Folder>/files/####/XAytvhnpELf8zQR4.zip
- <Package Folder>/files/####/alxNLHqgTWN8ev_MeBJAUcYEszetanHG.new
- <Package Folder>/files/####/data.dat.tmp
- <Package Folder>/files/####/exchangeIdentity.json
- <Package Folder>/files/####/f5lunDZZbvp0T7npWqmN8xV3gx8=.new
- <Package Folder>/files/####/iREuieVGZl2AIeIMJSsBunqwaRngGJ0YlSH...M=.new
- <Package Folder>/files/####/iqdBhG8TCoZy8ijp5ttrGKT5x8tDtwQ65J-6AA==.new
- <Package Folder>/files/####/l2w-vOiSa92HalE3HoBRSoNnivG_wjS5.new
- <Package Folder>/files/####/m4U60qFySbCj-sS7gyt4Sa63EtuBtGtC.new
- <Package Folder>/files/####/ongZNzfn0-iFaT1iBP7p-FHD8-8=.new
- <Package Folder>/files/####/qrbcag_f.zip
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/tKTK7lpJ4j_GElBKThRckRN0U7c_zvOdpbq...0=.new
- <Package Folder>/files/####/tZQsAGl4H9U09N20
- <Package Folder>/files/####/u8JqNt6tDGR-S2NscGYtWw==.new
- <Package Folder>/files/####/wwHo0-r4xHB58VXwyWc_vZ-PiC795GIL.new
- <Package Folder>/files/####/xTGMsNVDYb0krWmoWgI5iQ==.new
- <Package Folder>/files/####/yaa8xpwoT0I_kLed5OT815VZ5gA=.new
- <Package Folder>/files/libabc
- <Package Folder>/files/libexec.so
- <Package Folder>/files/mobclick_agent_cached_<Package>303104
- <Package Folder>/files/rdata_comaaolnekmaugaka.new
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml.bak (deleted)
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.gr2y2AB561BCA6CF35097325486Cyn0/####/3br82ohu8c84a65...2iygn7
- <SD-Card>/.gr2y2AB561BCA6CF35097325486Cyn0/####/8963c1vdkq8j22l...z03usx
- <SD-Card>/.gr2y2AB561BCA6CF35097325486Cyn0/####/j6yad09d8556yi5...u7c019
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-440845/pmwri67NLCjONcsa -p <Package> -c com.aaolnek.maugaka.wgvdaw.a.a.d.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- getprop ro.product.cpu.abi
- sh <Package Folder>/code-440845/pmwri67NLCjONcsa -p <Package> -c com.aaolnek.maugaka.wgvdaw.a.a.d.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- cocos2dcpp
- libabc
- libexec
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации о входящих/исходящих звонках.
Осуществляет доступ к информации об отправленых/принятых смс.
