Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.576.origin
- Android.DownLoader.675.origin
Предлагает установить сторонние приложения.
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) c.m####.com.####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) dm.tou####.com:80
- TCP(HTTP/1.1) ib.sn####.com:80
- TCP(HTTP/1.1) icha####.sn####.com:80
- TCP(TLS/1.0) dm.tou####.com:443
- TCP s1.u####.com:7701
- TCP p3.i####.com:7803
- TCP s3.u####.com:7703
- TCP s1.u####.com:7702
- TCP s1.u####.com:7802
- TCP s1.u####.com:7801
Запросы DNS:
- a####.u####.com
- c.m####.com
- dm.byted####.com
- dm.tou####.com
- ib.sn####.com
- icha####.sn####.com
- lf.sn####.com
- log.sn####.com
- p1.i####.com
- p2.i####.com
- p3.i####.com
- s0z.ps####.com
- s1.u####.com
- s2.u####.com
- s3.u####.com
Запросы HTTP GET:
- c.m####.com.####.com/d/426p.png
- c.m####.com.####.com/d/427b.png
- c.m####.com.####.com/d/42bc.apk
- dm.tou####.com/get_domains/v4/?abi=####&iid=####&device_id=####&ac=####&...
- dm.tou####.com/search/suggest/weather/?ac=####&channel=####&aid=####&app...
- dm.tou####.com/site/download/app/pl/news_lite/128/ss_plugin_config.json?...
- icha####.sn####.com/service/2/app_alert/?has_market=####&lang=####&carri...
Запросы HTTP POST:
- a####.u####.com/app_logs
- dm.tou####.com/service/2/app_log/?ac=####&channel=####&aid=####&app_name...
- ib.sn####.com/category/get_light/1/?ac=####&channel=####&aid=####&app_na...
- ib.sn####.com/service/2/device_register/?ac=####&channel=####&aid=####&a...
- ib.sn####.com/service/2/log_settings/?iid=####&device_id=####&ac=####&ch...
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.DS_Store
- /data/data/####/.imprint
- /data/data/####/MessageStore.db-journal
- /data/data/####/MsgLogStore.db-journal
- /data/data/####/Play@2x.png
- /data/data/####/Play@3x.png
- /data/data/####/Play_night@2x.png
- /data/data/####/Play_night@3x.png
- /data/data/####/android-common.js
- /data/data/####/android.css
- /data/data/####/android.js
- /data/data/####/android.js.dat
- /data/data/####/app_log_encrypt_switch_count.xml
- /data/data/####/app_setting.xml
- /data/data/####/applog_stats.xml
- /data/data/####/bookmarkManager-journal
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.ss.spipe_setting.xml
- /data/data/####/cookieStore.xml
- /data/data/####/custom_channels.xml
- /data/data/####/download_file.db-journal
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/follow_guide.png
- /data/data/####/forum.css
- /data/data/####/gificon_textpage@2x.png
- /data/data/####/gificon_textpage_night@2x.png
- /data/data/####/historyManager-journal
- /data/data/####/host_monitor_config.xml
- /data/data/####/iconfont.ttf
- /data/data/####/image_bg_click.png
- /data/data/####/image_bg_click_night.png
- /data/data/####/image_bg_loading.png
- /data/data/####/image_bg_loading_night.png
- /data/data/####/journal.tmp
- /data/data/####/lib.js
- /data/data/####/lite_article.db-journal
- /data/data/####/lite_plugin_update_info.xml
- /data/data/####/main_app_settings.xml
- /data/data/####/picture_details@2x.png
- /data/data/####/picture_details_night@2x.png
- /data/data/####/push_multi_process_config.xml
- /data/data/####/snssdk_openudid.xml
- /data/data/####/spinner.png
- /data/data/####/spinner_night.png
- /data/data/####/ss_app_config.xml
- /data/data/####/ss_app_log.db-journal
- /data/data/####/ss_location.xml
- /data/data/####/ss_splash_ad.xml
- /data/data/####/toast_keywords_refresh_gray@2x.png
- /data/data/####/toast_keywords_refresh_gray@3x.png
- /data/data/####/toast_keywords_refresh_white@2x.png
- /data/data/####/toast_keywords_refresh_white@3x.png
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- <Package Folder>/databases/46644express.db
- <Package Folder>/databases/46644express.db-journal
- <Package Folder>/databases/po_download.db
- <Package Folder>/databases/po_download.db-journal
- <Package Folder>/databases/yop_download.db
- <Package Folder>/databases/yop_download.db-journal
- <Package Folder>/files/1510835487465si.jar
- <Package Folder>/files/1510835488486si.jar
- <Package Folder>/files/1510835488967p.jar
- <Package Folder>/files/__local_last_session.json
- <Package Folder>/shared_prefs/__Baidu_Stat_SDK_SendRem.xml
- <Package Folder>/shared_prefs/yo_fac_pre.xml
- <Package Folder>/shared_prefs/yo_fconf_pre.xml
- <Package Folder>/shared_prefs/yo_finfo_pre.xml
- <Package Folder>/shared_prefs/yoac_pre.xml
- <Package Folder>/shared_prefs/yoappInfo_pre.xml
- <Package Folder>/shared_prefs/yoconf_pre.xml
- <Package Folder>/shared_prefs/yoconf_pre.xml.bak
- <Package Folder>/shared_prefs/yoinfo_pre.xml
- <Package Folder>/shared_prefs/yotrategy_pre.xml
- <Package Folder>/shared_prefs/yotrategy_pre.xml.bak
- <SD-Card>/Android/####/clientudid.dat
- <SD-Card>/Android/####/device_parameters.dat
- <SD-Card>/Android/####/journal.tmp
- <SD-Card>/Download/####/426p.png.data
- <SD-Card>/Download/####/427b.png.data
- <SD-Card>/Download/####/poo_s_app_42bc.apk.tmp
- <SD-Card>/bytedance/device_parameters.dat
Другие:
Запускает следующие shell-скрипты:
- getprop ro.build.version.emui
- getprop ro.letv.release.version
- getprop ro.vivo.os.build.display.id
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
