Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.SmsSpy.677.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) p####.nj####.com.####.com:8080
- TCP(HTTP/1.1) q####.qi1####.com:14302
- TCP(HTTP/1.1) 1####.55.17.147:8080
Запросы DNS:
- a####.u####.com
- p####.nj####.com
- q####.qi1####.com
- qyc####.qi1####.com
- z####.wann####.com
- zxc####.wann####.com
Запросы HTTP GET:
- p####.nj####.com.####.com:8080/sdk/spaycoredex_so_2020.jar
Запросы HTTP POST:
- q####.qi1####.com:14302/sdk_login?t=####
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/app_payload_odex/<Package>.dex
- <Package Folder>/app_payload_odex/<Package>.jar
- <Package Folder>/app_payload_res/hreader_more_wonderful.png
- <Package Folder>/app_payload_res/hreader_vip_top.png
- <Package Folder>/app_payload_res/hreaer_pic_vip_book.png
- <Package Folder>/app_payload_res/maan.so
- <Package Folder>/app_payload_res/splash.jpg
- <Package Folder>/app_process_lock/1122151773445.73
- <Package Folder>/app_process_lock/1122151773445.73 (deleted)
- <Package Folder>/app_process_lock/1122151773790.77
- <Package Folder>/app_process_lock/1122151773790.77 (deleted)
- <Package Folder>/app_process_lock/2965461835888.16
- <Package Folder>/app_process_lock/2965461835888.16 (deleted)
- <Package Folder>/app_process_lock/2965461836799.97
- <Package Folder>/app_process_lock/2965461836799.97 (deleted)
- <Package Folder>/databases/a.db-journal
- <Package Folder>/databases/cc.db
- <Package Folder>/databases/cc.db-journal
- <Package Folder>/databases/qy_db_pay
- <Package Folder>/databases/qy_db_pay-journal
- <Package Folder>/databases/ua.db
- <Package Folder>/databases/ua.db-journal
- <Package Folder>/databases/xUtils_http_cache.db
- <Package Folder>/databases/xUtils_http_cache.db-journal
- <Package Folder>/databases/xUtils_http_cookie.db
- <Package Folder>/databases/xUtils_http_cookie.db-journal
- <Package Folder>/files/####/exchangeIdentity.json
- <Package Folder>/files/exid.dat
- <Package Folder>/files/getprop
- <Package Folder>/files/pid
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/shared_prefs/<Package>_preference.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/unknown.xml
- <SD-Card>/.Systemp/device
- <SD-Card>/Android/####/2a9afef3ed5b18095bb31859a56b2c6c
- <SD-Card>/Android/####/ce2edb21f5bc26fed544748688683bd3
- <SD-Card>/updateApkDemo/FrameCore.jar
Другие:
Запускает следующие shell-скрипты:
- app_process /system/bin com.android.commands.am.Am startservice --user 0 -n <Package>/com.google.android.gms.analytics.CampaignTrackingService
- cat /sys/block/mmcblk0/device/cid
- chmod 777 <Package Folder>/lib/helper
- dd if=<Package Folder>/lib/libhelper.so of=<Package Folder>/lib/helper
- getprop
- ls -l /system/bin/su
- ps | grep <Package>
- sh
Загружает динамические библиотеки:
- libhelper
- libsmsmanager
- libzxvps
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
