Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Backdoor.613.origin
Предлагает установить сторонние приложения.
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 1####.55.16.91:8080
- TCP(HTTP/1.1) zxc####.wann####.com:8200
- TCP(HTTP/1.1) sdk.api.zhifa####.net:10201
- TCP(HTTP/1.1) gd.a.s####.com:80
- TCP(HTTP/1.1) www.tao####.cn:80
- TCP(HTTP/1.1) 1####.75.56.106:10201
- TCP(HTTP/1.1) www.p####.top:80
- TCP(HTTP/1.1) i####.api.zhifa####.net:10001
- TCP(HTTP/1.1) z####.wann####.com:9500
- TCP(HTTP/1.1) 1####.55.17.147:8080
- TCP(HTTP/1.1) hangzho####.oss-cn-####.aliy####.com:80
- TCP(HTTP/1.1) i####.api.zhifa####.net:10002
- TCP(HTTP/1.1) p####.nj####.com.####.com:8080
- TCP(HTTP/1.1) i####.api.zhifa####.net:10003
- TCP(HTTP/1.1) z####.wann####.com:9600
Запросы DNS:
- hangzho####.oss-cn-####.aliy####.com
- i####.api.zhifa####.net
- i####.api.zhifa####.net
- p####.nj####.com
- pv.s####.com
- re####.api.zhifa####.net
- sdk.api.zhifa####.net
- www.p####.top
- www.tao####.cn
- z####.wann####.com
- zxc####.wann####.com
Запросы HTTP GET:
- gd.a.s####.com/cityjson?ie=####
- hangzho####.oss-cn-####.aliy####.com/qiyi/client/sdk/so/libzxvps.so
- p####.nj####.com.####.com:8080/sdk/spaycoredex_so_2020.jar
- p####.nj####.com.####.com:8080/testsdks/CN_10_126.apk
- www.p####.top/1.txt
- www.tao####.cn/1.txt
Запросы HTTP POST:
- i####.api.zhifa####.net:10001/v2/bag/monitor?app_id=####&t=####
- i####.api.zhifa####.net:10001/v2/sdk/init?app_id=####&t=####
- i####.api.zhifa####.net:10001/v2/update/check?app_id=####&t=####
- i####.api.zhifa####.net:10002/v2/callback/message?app_id=####&t=####
- i####.api.zhifa####.net:10003/v2/chis
- sdk.api.zhifa####.net:10201/v2/sdk/report?app_id=####&t=####
- z####.wann####.com:9500/
- z####.wann####.com:9600/
- zxc####.wann####.com:8200/qy/acceptSdkFileReq
- zxc####.wann####.com:8200/qy/getOnlineLoginHttpReq
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/._logo_img_0.jpg
- /data/data/####/._mm_show_0_0.jpg
- /data/data/####/._mm_show_0_1.jpg
- /data/data/####/._mm_show_0_2.jpg
- /data/data/####/._mm_show_0_3.jpg
- /data/data/####/._mm_show_1_0.jpg
- /data/data/####/._mm_show_1_1.jpg
- /data/data/####/._mm_show_1_2.jpg
- /data/data/####/._mm_show_1_3.jpg
- /data/data/####/._mm_show_2_0.jpg
- /data/data/####/._mm_show_2_1.jpg
- /data/data/####/._mm_show_2_2.jpg
- /data/data/####/._mm_show_2_3.jpg
- /data/data/####/._mm_show_3_0.jpg
- /data/data/####/._mm_show_3_1.jpg
- /data/data/####/._mm_show_3_2.jpg
- /data/data/####/._mm_show_4_0.jpg
- /data/data/####/._mm_show_4_1.jpg
- /data/data/####/._mm_show_4_2.jpg
- /data/data/####/._mm_show_5_0.jpg
- /data/data/####/._mm_show_5_1.jpg
- /data/data/####/._mm_show_5_2.jpg
- /data/data/####/._mm_show_6_0.jpg
- /data/data/####/._mm_show_6_1.jpg
- /data/data/####/._mm_show_6_2.jpg
- /data/data/####/._pg_1.png
- /data/data/####/._pg_2.png
- /data/data/####/._pg_3.png
- /data/data/####/._pic_bg.png
- /data/data/####/._pic_mm_0.jpg
- /data/data/####/._pic_mm_1.jpg
- /data/data/####/._pic_mm_2.jpg
- /data/data/####/._pic_mm_3.jpg
- /data/data/####/._pic_mm_4.jpg
- /data/data/####/._pic_mm_5.jpg
- /data/data/####/._pic_mm_6.jpg
- /data/data/####/._pic_mm_7.jpg
- /data/data/####/._price1.jpg
- /data/data/####/._price3.png
- /data/data/####/1122144662618.76
- /data/data/####/1122144662618.76 (deleted)
- /data/data/####/2965443044414.04
- /data/data/####/2965443044414.04 (deleted)
- /data/data/####/config50268.xml
- /data/data/####/getprop
- /data/data/####/libhelper.so
- /data/data/####/libsmsmanager.so
- /data/data/####/libzxvps.so
- /data/data/####/logo_img_0.jpg
- /data/data/####/maan.so
- /data/data/####/mm_show_0_0.jpg
- /data/data/####/mm_show_0_1.jpg
- /data/data/####/mm_show_0_2.jpg
- /data/data/####/mm_show_0_3.jpg
- /data/data/####/mm_show_1_0.jpg
- /data/data/####/mm_show_1_1.jpg
- /data/data/####/mm_show_1_2.jpg
- /data/data/####/mm_show_1_3.jpg
- /data/data/####/mm_show_2_0.jpg
- /data/data/####/mm_show_2_1.jpg
- /data/data/####/mm_show_2_2.jpg
- /data/data/####/mm_show_2_3.jpg
- /data/data/####/mm_show_3_0.jpg
- /data/data/####/mm_show_3_1.jpg
- /data/data/####/mm_show_3_2.jpg
- /data/data/####/mm_show_4_0.jpg
- /data/data/####/mm_show_4_1.jpg
- /data/data/####/mm_show_4_2.jpg
- /data/data/####/mm_show_5_0.jpg
- /data/data/####/mm_show_5_1.jpg
- /data/data/####/mm_show_5_2.jpg
- /data/data/####/mm_show_6_0.jpg
- /data/data/####/mm_show_6_1.jpg
- /data/data/####/mm_show_6_2.jpg
- /data/data/####/new_md.jar
- /data/data/####/pg_1.png
- /data/data/####/pg_2.png
- /data/data/####/pg_3.png
- /data/data/####/pic_bg.png
- /data/data/####/pic_mm_0.jpg
- /data/data/####/pic_mm_1.jpg
- /data/data/####/pic_mm_2.jpg
- /data/data/####/pic_mm_3.jpg
- /data/data/####/pic_mm_4.jpg
- /data/data/####/pic_mm_5.jpg
- /data/data/####/pic_mm_6.jpg
- /data/data/####/pic_mm_7.jpg
- /data/data/####/price1.jpg
- /data/data/####/price3.png
- /data/data/####/qtcge.rqbwi.dakao.ffaww.jar
- /data/data/####/qy_db_pay-journal
- /data/data/####/story_btn_read.png
- /data/data/####/tab1_0.png
- /data/data/####/tab1_1.png
- /data/data/####/tab2_0.png
- /data/data/####/tab2_1.png
- /data/data/####/tmp_so
- /data/data/####/umeng_general_config.xml
- /data/data/####/unknown.xml
- /data/data/####/xUtils_http_cache.db
- /data/data/####/xUtils_http_cache.db-journal
- /data/data/####/xUtils_http_cookie.db
- /data/data/####/xUtils_http_cookie.db-journal
- <Package Folder>/databases/download.db
- <Package Folder>/databases/download.db-journal
- <Package Folder>/files/libexec.so
- <SD-Card>/.Systemp/.cfg
- <SD-Card>/.Systemp/device
- <SD-Card>/Android/####/0d103028c51df6c3237651804f8ca30e
- <SD-Card>/CN_10_126.apk
- <SD-Card>/updateApkDemo/FrameCore.jar
Другие:
Запускает следующие shell-скрипты:
- cat /sys/block/mmcblk0/device/cid
- getprop
- getprop ro.product.cpu.abi
- ls -l /system/bin/su
- ps | grep qtcge.rqbwi.dakao.ffaww
Загружает динамические библиотеки:
- libexec
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Отрисовывает собственные окна поверх других приложений.
