Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.243
- Android.Triada.248.origin
- Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(TLS/1.0) wild####.moa####.com.####.net:443
- TCP(TLS/1.0) v####.ad####.com:443
- TCP(TLS/1.0) in####.vu####.ak####.net:443
- TCP(TLS/1.0) cdn.vu####.com.####.net:443
- TCP(TLS/1.0) api.vu####.com.####.net:443
- TCP(TLS/1.0) co####.ad####.cn:443
- TCP(TLS/1.0) h####.b####.com:443
- TCP(TLS/1.0) app.ad####.com:443
Запросы DNS:
- ads.api.vu####.com
- and####.b####.qq.com
- api.vu####.com
- app.ad####.com
- cd####.vu####.com
- co####.ad####.cn
- h####.b####.com
- in####.vu####.com
- mt####.go####.com
- v####.ad####.com
- z.moa####.com
Запросы HTTP POST:
- and####.b####.qq.com/rqd/async
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/code_cache/####/MultiDex.lock
- <Package Folder>/databases/1I0tKtfS0l8ODR3Y2oAY_an1ivvUyAhB_86y...NV-g==
- <Package Folder>/databases/1I0tKtfS0l8ODR3Y2oAY_an1ivvUyAhB_86y...ournal
- <Package Folder>/databases/1I0tKtfS0l8ODR3Y2oAY_an1ivvUyAhB_Cr8...ournal
- <Package Folder>/databases/1I0tKtfS0l8ODR3Y2oAY_an1ivvUyAhB_Ej7...aMp-8=
- <Package Folder>/databases/1I0tKtfS0l8ODR3Y2oAY_an1ivvUyAhB_Ej7...ournal
- <Package Folder>/databases/1I0tKtfS0l8ODR3Y2oAY_an1ivvUyAhB_FMF...OLpAlB
- <Package Folder>/databases/1I0tKtfS0l8ODR3Y2oAY_an1ivvUyAhB_FMF...ournal
- <Package Folder>/databases/1I0tKtfS0l8ODR3Y2oAY_an1ivvUyAhB_sMW...IyTA==
- <Package Folder>/databases/1I0tKtfS0l8ODR3Y2oAY_an1ivvUyAhB_sMW...ournal
- <Package Folder>/databases/bugly_db_legu-journal
- <Package Folder>/databases/vungle-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/files/####/-wcFdlY-TZFx_wQavZwn69qEZSErf-Ns.new
- <Package Folder>/files/####/54JZH1rl_S8dD71gn2M1TTWKlWQ=
- <Package Folder>/files/####/9g2pyngDYHkQBWVhBwxfrvC3Ahs=.new
- <Package Folder>/files/####/P6t0ecixn77aYH41DpxP6A==.new
- <Package Folder>/files/####/VipbsvRQ_do5ZzQV.zip
- <Package Folder>/files/####/Y1snv7Dp3DuPexHGciD19ugD12nh2rDc-g-Lww==.new
- <Package Folder>/files/####/YdSx38UTVhOo4Jie
- <Package Folder>/files/####/fdKcZe_nDi7J5daofzxXn1IJA70=.new
- <Package Folder>/files/####/h-8PilR3zdKz-61ymM9iOw==.new
- <Package Folder>/files/####/iUmO_LyUrqphpSbFbm3XAi5spDM=.new
- <Package Folder>/files/####/ql1kBkm-tctiqoIKXsZqtw==
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/swjaq_f.zip
- <Package Folder>/files/####/vTWyoTeIhTxw0ld707mHpA==
- <Package Folder>/files/####/xIk8JTXXszDelB0Aw4AqiQ==.new
- <Package Folder>/files/####/yW7FKEDcVdDkCqwB5Uhfwgi8A2cbexNC.new
- <Package Folder>/files/account_hMG3zbtbnkmocvtfYQBalRPUP47GaGXN...248bfe
- <Package Folder>/files/hMG3zbtbnkmocvtfYQBalRPUP47GaGXN__local_...n.json
- <Package Folder>/files/libcuid.so
- <Package Folder>/files/local_crash_lock
- <Package Folder>/files/native_record_lock
- <Package Folder>/files/rdata_comrpyztnow.new
- <Package Folder>/files/security_info
- <Package Folder>/mix.dex
- <Package Folder>/shared_prefs/VUNGLE_PUB_APP_INFO.xml
- <Package Folder>/shared_prefs/__Baidu_Stat_SDK_SendRem.xml
- <Package Folder>/shared_prefs/multidex.version.xml
- <Package Folder>/tx_shell/libnfix.so
- <Package Folder>/tx_shell/libshella-2.10.7.1.so
- <Package Folder>/tx_shell/libufix.so
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/Android/####/.nomedia
- <SD-Card>/Android/####/360.png
- <SD-Card>/Android/####/CSS3DRenderer.js
- <SD-Card>/Android/####/DeviceOrientationController.js
- <SD-Card>/Android/####/button_1.png
- <SD-Card>/Android/####/button_2.png
- <SD-Card>/Android/####/candy1.png
- <SD-Card>/Android/####/candy2.png
- <SD-Card>/Android/####/candy4.png
- <SD-Card>/Android/####/candy5.png
- <SD-Card>/Android/####/candy6.png
- <SD-Card>/Android/####/ccsslogo.png
- <SD-Card>/Android/####/char1.png
- <SD-Card>/Android/####/download.webloc
- <SD-Card>/Android/####/finger.png
- <SD-Card>/Android/####/hashmap.js
- <SD-Card>/Android/####/icon.png
- <SD-Card>/Android/####/index.html
- <SD-Card>/Android/####/jquery.hammer-full.min.js
- <SD-Card>/Android/####/jquery.min.js
- <SD-Card>/Android/####/localVideo.mp4
- <SD-Card>/Android/####/postRoll.zip
- <SD-Card>/Android/####/q_back.jpg
- <SD-Card>/Android/####/q_bottom.jpg
- <SD-Card>/Android/####/q_left.jpg
- <SD-Card>/Android/####/q_top.jpg
- <SD-Card>/Android/####/screenshot.png
- <SD-Card>/Android/####/screenshot2.png
- <SD-Card>/Android/####/screenshot3.png
- <SD-Card>/Android/####/screenshot4.png
- <SD-Card>/Android/####/style.css
- <SD-Card>/Android/####/three.min.js
- <SD-Card>/Android/####/vungle-fonticon.eot
- <SD-Card>/Android/####/vungle-fonticon.svg
- <SD-Card>/Android/####/vungle-fonticon.ttf
- <SD-Card>/Android/####/vungle-fonticon.woff
- <SD-Card>/Android/####/vungle.css
- <SD-Card>/Android/####/yeti.png
- <SD-Card>/backups/####/.confd
- <SD-Card>/backups/####/.confd-journal
- <SD-Card>/backups/####/.cuid
- <SD-Card>/backups/####/.cuid2
- <SD-Card>/backups/####/.timestamp
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.build.rom.id
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- /system/bin/sh -c type su
- chmod 700 <Package Folder>/tx_shell/libnfix.so
- chmod 700 <Package Folder>/tx_shell/libshella-2.10.7.1.so
- chmod 700 <Package Folder>/tx_shell/libufix.so
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.fingerprint
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lenovo.series
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.build.display.id
- getprop ro.yunos.version
- logcat -d -v threadtime
Загружает динамические библиотеки:
- Bugly
- libnfix
- libshella-2.10.7.1
- libufix
- nfix
- ufix
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
