Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Loki.32.origin
- Android.Triada.308.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) nb1.wh####.com:10091
Запросы DNS:
- a####.man.aliy####.com
- a####.u####.co
- a####.u####.com
- and####.b####.qq.com
- api.ish####.com
- boo####.haoh####.cn
- fkserv####.adfan####.com
- httpdn####.aliy####.com
- log.ish####.com
- nb1.wh####.com
- q.tinkerp####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- wap.cm####.com
Запросы HTTP POST:
- nb1.wh####.com:10091/opaService/link
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.shell_ass/####/libopalink.so_32
- <Package Folder>/.shell_ass/####/libopalink.so_64
- <Package Folder>/.shell_ass/libopalink.so
- <Package Folder>/.shell_ass/opa_link.jar
- <Package Folder>/.shell_ass/stupid
- <Package Folder>/.shell_ass/stupid.zip
- <Package Folder>/app_crashrecord/1004
- <Package Folder>/databases/bugly_db_-journal
- <Package Folder>/databases/ishugui.db-journal
- <Package Folder>/databases/msp.db
- <Package Folder>/databases/msp.db-journal
- <Package Folder>/databases/pushsdk.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/fankingbox/####/fsdk80000.apk
- <Package Folder>/fankingbox/libassist.so
- <Package Folder>/files/####/um_cache_1509964467366.env
- <Package Folder>/files/init.pid
- <Package Folder>/files/init_c1.pid
- <Package Folder>/files/mobclick_agent_cached_<Package>1070200
- <Package Folder>/files/native_record_lock
- <Package Folder>/files/push.pid
- <Package Folder>/files/pxed.png
- <Package Folder>/files/run.pid
- <Package Folder>/files/security_info
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/Alvin2.xml
- <Package Folder>/shared_prefs/ContextData.xml
- <Package Folder>/shared_prefs/conf_sp_name.xml
- <Package Folder>/shared_prefs/crashrecord.xml
- <Package Folder>/shared_prefs/cuf_config.xml
- <Package Folder>/shared_prefs/fanking.sdk.xml
- <Package Folder>/shared_prefs/fanking.strategy.sdk.xml
- <Package Folder>/shared_prefs/fksdk_pid_config.xml
- <Package Folder>/shared_prefs/httpdns_config_cache.xml
- <Package Folder>/shared_prefs/ishugui.shareInfo.xml
- <Package Folder>/shared_prefs/multidex.version.xml
- <Package Folder>/shared_prefs/patch_server_config.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/tinker_server/72c6d4bf524bed92_version.info
- <Package Folder>/tinker_server/version.lock
- <SD-Card>/.DataStorage/ContextData.xml
- <SD-Card>/.UTSystemConfig/####/Alvin2.xml
- <SD-Card>/.fankv7/.fankcoas
- <SD-Card>/.ishugui/payerr.txt
- <SD-Card>/.system/####/factory.dzt
- <SD-Card>/.system/####/visen.conf.out.temp
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop
- /system/bin/sh -c type su
- cat /proc/version
- cat /sys/class/net/wlan0/address
- getprop
- getprop ro.board.platform
- getprop ro.product.cpu.abi
Загружает динамические библиотеки:
- Bugly
- getuiext2
- libassist
- libopalink
Может автоматически отправлять СМС-сообщения.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
