Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Backdoor.559.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) www.gst####.com:80
- TCP(HTTP/1.1) eij####.couewr####.com:80
- TCP(HTTP/1.1) www.go####.nl:80
- TCP(HTTP/1.1) www.cloudho####.mobi:80
- TCP(HTTP/1.1) www.go####.com:80
- TCP(TLS/1.0) m####.google####.com:443
- TCP(TLS/1.0) 503####.fls.doublec####.net:443
- TCP(TLS/1.0) smet####.t####.com:443
- TCP(TLS/1.0) l####.optimi####.com:443
- TCP(TLS/1.0) as####.api.t####.####.net:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) ssl.google-####.com:443
- TCP(TLS/1.0) wild####.cdn.optimi####.####.net:443
- TCP(TLS/1.0) www.t####.com.####.net:443
- TCP(TLS/1.0) cdn.optimi####.com:443
- TCP(TLS/1.0) san-as####.adob####.com.####.net:443
Запросы DNS:
- 503####.fls.doublec####.net
- a####.ymkj####.com
- a262701####.cdn.optimi####.com
- as####.adob####.com
- as####.api.t####.com
- cdn.optimi####.com
- eij####.couewr####.com
- l####.optimi####.com
- m####.google####.com
- smet####.t####.com
- ssl.google-####.com
- t0.gst####.com
- www.cloudho####.mobi
- www.go####.com
- www.go####.nl
- www.gst####.com
- www.t####.com
Запросы HTTP GET:
- eij####.couewr####.com/download/dex/h_jar_V050.dex
- www.go####.com/complete/search?hl=####&client=####&q=####
- www.go####.com/images?q=####
- www.go####.com/images?q=####&usqp=####
- www.go####.com/m?hl=####&source=####&q=####
- www.go####.nl/async/irc?vet=####&ved=####&dcr=####&hl=####&yv=####&q=###...
- www.go####.nl/blank.html
- www.go####.nl/client_204?&atyp=####&biw=####&bih=####&dpr=####&ei=####
- www.go####.nl/gen_204?atyp=####&ct=####&cad=####&ei=####&t=####&zx=####
- www.go####.nl/gen_204?atyp=####&ei=####&vet=####&zx=####
- www.go####.nl/gen_204?s=####&atyp=####&ei=####&rt=####
- www.go####.nl/gen_204?s=####&atyp=####&ei=####&rt=####&bb=####
- www.go####.nl/images/branding/product/ico/googleg_lodp.ico
- www.go####.nl/images/branding/searchlogo/1x/googlelogo_mobile_tier1_srp_...
- www.go####.nl/images/icons/material/system/1x/email_grey600_24dp.png
- www.go####.nl/images/nav_logo288_hr.webp
- www.go####.nl/search?hl=####&source=####&q=####&gws_rd=####&dcr=####&ei=...
- www.go####.nl/url?sa=####&source=####&cd=####&ved=####&url=####&usg=####
- www.go####.nl/xjs/_/js/k=xjs.qs.en.67KNPLhloBA.O/m=aa,abd,async,dvl,foot...
- www.go####.nl/xjs/_/js/k=xjs.qs.en.67KNPLhloBA.O/m=ish,ivw/am=AItkmQKQkA...
- www.go####.nl/xjs/_/js/k=xjs.qs.en.67KNPLhloBA.O/m=sx,elog,cdos,sb_mob,m...
- www.go####.nl/xjs/_/js/k=xjs.qs.en.aq4Y9sURLRg.O/m=quantum/am=AItkmQKQkA...
- www.gst####.com/ui/v2/activityindicator/mspin_googcolor_medium.svg
Запросы HTTP POST:
- eij####.couewr####.com/uefsoiegja/getJarOffline
- www.cloudho####.mobi/project/getbusiness
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/app_mobi_dex/gougiw.dex (deleted)
- <Package Folder>/databases/mymobi-journal
- <Package Folder>/file/####/b_50.dex
- <Package Folder>/files/####/gougiw.apk
- <Package Folder>/files/####/ku.dex
- <Package Folder>/shared_prefs/SearchSettings.xml
- <Package Folder>/shared_prefs/iquresdfojewf.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <SD-Card>/.android/####/mid.properties
- <SD-Card>/.android/####/package.properties
Другие:
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES-CBC-PKCS5Padding
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Отрисовывает собственные окна поверх других приложений.
