Техническая информация
Вредоносные функции:
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ads.w####.cn:80
- TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) im####.w####.cn.####.com:80
- TCP(HTTP/1.1) oss.aliy####.com:80
- TCP(HTTP/1.1) app.w####.cn:80
- TCP(HTTP/1.1) ap####.w####.cn.####.com:80
- TCP(HTTP/1.1) a####.m.ta####.com:80
- TCP(TLS/1.0) c####.im.ta####.com:443
- TCP(TLS/1.0) h####.b####.com:443
- TCP(TLS/1.0) i####.ww.ta####.com:443
Запросы DNS:
- a####.m.ta####.com
- ads.w####.cn
- aexcep####.b####.qq.com
- and####.b####.qq.com
- ap####.w####.cn
- app.w####.cn
- c####.im.ta####.com
- h####.b####.com
- i####.ww.ta####.com
- im####.w####.cn
- oss.aliy####.com
Запросы HTTP GET:
- ads.w####.cn/action/miniad/ad?app_id=####&udid=####&imsi=####&net=####&b...
- ads.w####.cn/action/pop_ad/ad?app_id=####&udid=####&imsi=####&net=####&b...
- ap####.w####.cn.####.com/appfile/b_pkg3.0.5_1.png
- app.w####.cn/action/connect/active?app_id=####&udid=####&imsi=####&net=#...
- app.w####.cn/t.jsp?app_id=####&channel=####
- app.w####.cn/usb_check.jsp?app_id=####&udid=####&imsi=####&net=####&base...
- im####.w####.cn.####.com/appfile/stuff/1fa8a576c198ea79902b1d957c1f9378/...
- im####.w####.cn.####.com/appfile/stuff/22c6965a7f2e117eb8a97e21247244f8/...
- im####.w####.cn.####.com/appfile/stuff/33a498843f32e2b2d022d017201037c0/...
- im####.w####.cn.####.com/appfile/stuff/5a1ad8889e75a162b89a156158bcbc29/...
- im####.w####.cn.####.com/appfile/stuff/5d4146f964f9aae24652921480293d81/...
- im####.w####.cn.####.com/appfile/stuff/d4b09690d867a6c7fa62199a62fc6562/...
- im####.w####.cn.####.com/appfile/stuff/e2a39673f46a5f7357ecca402173c862/...
- im####.w####.cn.####.com/appfile/stuff/e9ff9e5bd57e5b2e3454ddee63601db6/...
- im####.w####.cn.####.com/appfile/stuff/efac29af7fb1edd9d51b3e2425adf136/...
- oss.aliy####.com/tdx-app/safe/app-version.xml
Запросы HTTP POST:
- a####.m.ta####.com/rest/gc?dd=####&nsgs=####&ak=####&av=####&c=####&v=##...
- a####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=####&...
- aexcep####.b####.qq.com:8012/rqd/async
- and####.b####.qq.com/rqd/async
- app.w####.cn/action/user_info
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/databases/bugly_db_legu-journal
- <Package Folder>/databases/commlockinfo-journal
- <Package Folder>/databases/faviterApps
- <Package Folder>/databases/faviterApps-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/files/CacheTime.dat
- <Package Folder>/files/__local_ap_info_cache.json
- <Package Folder>/files/__local_last_session.json
- <Package Folder>/files/__local_stat_cache.json
- <Package Folder>/files/__send_data_1510833291427
- <Package Folder>/files/libcuid.so
- <Package Folder>/files/local_crash_lock
- <Package Folder>/files/native_record_lock
- <Package Folder>/files/security_info
- <Package Folder>/files/sp.lock
- <Package Folder>/mix.dex
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/Alvin2.xml
- <Package Folder>/shared_prefs/AppSettings.xml
- <Package Folder>/shared_prefs/ContextData.xml
- <Package Folder>/shared_prefs/ShowAdFlag.xml
- <Package Folder>/shared_prefs/UTCommon.xml
- <Package Folder>/shared_prefs/UTMCConf-1142386816.xml
- <Package Folder>/shared_prefs/UTMCLog-1142386816.xml
- <Package Folder>/shared_prefs/__Baidu_Stat_SDK_SendRem.xml
- <Package Folder>/shared_prefs/appName.xml
- <Package Folder>/shared_prefs/appName.xml.bak
- <Package Folder>/shared_prefs/appName.xml.bak (deleted)
- <Package Folder>/shared_prefs/baidu_mtj_sdk_record.xml
- <Package Folder>/shared_prefs/drawwiz.xml
- <Package Folder>/shared_prefs/ywPrefsTools.xml
- <Package Folder>/tx_shell/libnfix.so
- <Package Folder>/tx_shell/libshella-2.10.7.1.so
- <Package Folder>/tx_shell/libufix.so
- <SD-Card>/.DataStorage/ContextData.xml
- <SD-Card>/.UTSystemConfig/####/Alvin2.xml
- <SD-Card>/.com.taobao.dp/6c709c11d2d46a7b
- <SD-Card>/.com.taobao.dp/dd7893586a493dc3
- <SD-Card>/Android/####/1fae5c14022873a3e85a1b6caa2f3c49
- <SD-Card>/Android/####/339cf3a32704d93aabf63cdc86444ee3
- <SD-Card>/Android/####/46438af8107a26f8f63e5964efb81612
- <SD-Card>/Android/####/884af11d9a54b21301804fba061262bc
- <SD-Card>/Android/####/8ca7ec2d919904f1f7dcb11a4fd480dc
- <SD-Card>/Android/####/98d231c26f375f4407e4a0209e6916b4
- <SD-Card>/Android/####/AppPackage.dat
- <SD-Card>/Android/####/CacheTime.dat
- <SD-Card>/Android/####/UnPackage.dat
- <SD-Card>/Android/####/android
- <SD-Card>/Android/####/b37a9b23739d280d37b8c8cb019a1ce1
- <SD-Card>/Android/####/b_pkg3.0.5_1.png
- <SD-Card>/Android/####/beeb38a8a7f290df57b2643f89a40ef6
- <SD-Card>/Android/####/f3dad95f07949752a36f4c2192c6ff2f
- <SD-Card>/backups/####/.confd
- <SD-Card>/backups/####/.confd-journal
- <SD-Card>/backups/####/.cuid
- <SD-Card>/backups/####/.cuid2
- <SD-Card>/backups/####/.timestamp
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.build.rom.id
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- /system/bin/sh -c type su
- cat /proc/cpuinfo | grep Serial
- chmod 700 <Package Folder>/tx_shell/libnfix.so
- chmod 700 <Package Folder>/tx_shell/libshella-2.10.7.1.so
- chmod 700 <Package Folder>/tx_shell/libufix.so
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.display.id
- getprop ro.build.fingerprint
- getprop ro.build.host
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.smartisan.version
- getprop ro.vivo.os.build.display.id
- getprop ro.vivo.os.version
- getprop ro.yunos.version
- id
- logcat -d -v threadtime
- ls -l /system/xbin/su
- sh
- su
Загружает динамические библиотеки:
- Bugly
- crash_analysis
- libnfix
- libshella-2.10.7.1
- libufix
- nfix
- securitysdk-3.1
- ufix
- zbar
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- AES-GCM-NoPadding
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-GCM-NoPadding
- DES-CBC-PKCS5Padding
Использует повышенные привилегии.
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к интерфейсу камеры.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
