Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Backdoor.391.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) sd####.cm####.com:80
- TCP(HTTP/1.1) wap.cm####.com:7758
- TCP(HTTP/1.1) ab####.us:9009
- TCP(HTTP/1.1) drm.cm####.com:80
- TCP(HTTP/1.1) 2####.73.22.121:14840
Запросы DNS:
- ab####.us
- drm.cm####.com
- mt####.go####.com
- sd####.cm####.com
- wap.cm####.com
Запросы HTTP GET:
- ab####.us:9009/gamesdk/doroot.jsp?bWM9bnV####
- drm.cm####.com/egsb/otherPay/querySMSLimitMoney
- drm.cm####.com/egsb/recommendGame/gameList?ua=####&clientPlatform=####&c...
Запросы HTTP POST:
- drm.cm####.com/egsb/accountManage/SDKClientVoucher
- drm.cm####.com/egsb/gshare/switches
- drm.cm####.com/egsb/message/queryPushMessages
- drm.cm####.com/egsb/otherPay/querySMSInterceptorConf
- drm.cm####.com/egsb/thirdPay/queryConsumeInfo
- drm.cm####.com/egsb/verification/checkSdkUpdate
- sd####.cm####.com/behaviorLogging/eventLogging/accept?
- wap.cm####.com:7758/normandie/CheckLoginPolicy
- wap.cm####.com:7758/normandie/QueryConfigPolicy
- wap.cm####.com:7758/normandie/querySafechargeRule
Изменения в файловой системе:
Создает следующие файлы:
- /data/anr/traces.txt
- <Package Folder>/databases/myqqdb
- <Package Folder>/databases/myqqdb-journal
- <Package Folder>/files/####/AndGame.Sdk.Lib_20150_86098B59D437D...EA.dat
- <Package Folder>/files/####/c_data_store.dat
- <Package Folder>/files/####/d_data_store.dat
- <Package Folder>/files/AndGame.Sdk.Lib_20150_86098B59D437DE1449...EA.dat
- <Package Folder>/files/appsdk0_.dex
- <Package Folder>/files/appsdk0_.jar
- <Package Folder>/files/c_data_store.dat
- <Package Folder>/files/d_data_store.dat
- <Package Folder>/files/hbilling.dat
- <Package Folder>/files/iridver.dat
- <Package Folder>/files/ly.jar
- <Package Folder>/files/oko.dex (deleted)
- <Package Folder>/files/sdk_prefs
- <Package Folder>/oko.jar
- <Package Folder>/oko.jar.tmp
- <Package Folder>/shared_prefs/gamedata.xml
- <SD-Card>/Download/####/deviceId.txt
- <SD-Card>/Download/####/msgflag.txt
- <SD-Card>/Download/####/sdk_prefs.txt
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh
- ls -l /sbin/su
- ls -l /system/bin/su
- ls -l /system/sbin/su
- ls -l /system/xbin/su
- ls -l /vendor/bin/su
Загружает динамические библиотеки:
- Sxqlfwdwxo
- gdx
- libmegbpp_03.01.00_01
- megjb
Использует следующие алгоритмы для шифрования данных:
- DES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- DES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
