Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.HiddenAds.180.origin
- Android.Triada.222.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) api.ila####.com:80
- TCP(HTTP/1.1) dl.api.kxcon####.com:80
- TCP(HTTP/1.1) pig.moyum####.com:80
- TCP(HTTP/1.1) api.kxcon####.com:666
- TCP(HTTP/1.1) v####.5####.com:80
- TCP(HTTP/1.1) 1####.75.3.32:8881
- TCP(HTTP/1.1) cat.moyum####.com:80
- TCP(HTTP/1.1) sdk.91a####.com:80
- TCP(HTTP/1.1) d365####.cdn.uc####.####.cn:80
- TCP(HTTP/1.1) d####.c####.l####.####.com:80
- TCP(HTTP/1.1) 1####.190.7.224:8888
- TCP(HTTP/1.1) 1####.42.167.151:8888
- TCP(HTTP/1.1) rcv.ila####.com:80
- TCP(HTTP/1.1) x####.kap####.com:80
- TCP(TLS/1.0) owe.joy-r####.com:9050
Запросы DNS:
- api.ila####.com
- api.kxcon####.com
- cat.moyum####.com
- cdn.joy-r####.com
- dl.api.kxcon####.com
- kdyn####.u####.uc####.####.cn
- owe.joy-r####.com
- pig.moyum####.com
- rcv.ila####.com
- sdk.91a####.com
- v####.5####.com
- w####.5####.com
- x####.kap####.com
Запросы HTTP GET:
- api.ila####.com/c/_i_?_=####
- api.ila####.com/e/i.html
- api.ila####.com/e/i.js
- api.ila####.com/update_ch/libcore.jar
- api.ila####.com/update_ch/version.json?ch=####&v=####
- api.kxcon####.com:666/v1/config/funclist?cid=####¶m=####
- cat.moyum####.com/update/check?pkey=####&ts=####&data=yb####&secret=####...
- d####.c####.l####.####.com/0d8a533f-3430-452b-9632-37c6451db568bdco_20020
- d365####.cdn.uc####.####.cn/1520323382037_utils.ttf
- rcv.ila####.com/report2?t=####&h1=####&c=####&v=####&op1=####&op2=####&n...
- sdk.91a####.com/static/20180308172454mod.enc
Запросы HTTP POST:
- api.kxcon####.com:666/v1/config
- cat.moyum####.com/engine/installv2?d=####
- dl.api.kxcon####.com/v2/load/mobile
- pig.moyum####.com/balance/getats
- sdk.91a####.com/api/DeviceReport.ashx
- v####.5####.com/api/CheckModule.ashx
- v####.5####.com/api/GetModuleConfig.ashx
- x####.kap####.com/upload/longheartbeat.jsp
- x####.kap####.com/upload/sdklongheartbeat.jsp
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/app_/evtlog.dat
- <Package Folder>/app_/success
- <Package Folder>/app_cache/ApplicationCache.db-journal
- <Package Folder>/app_libs/libxutils.so
- <Package Folder>/app_tmp/EventDex.dex
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/f_000001
- <Package Folder>/cache/####/http_api.ilabtap.com_0.localstorage-journal
- <Package Folder>/cache/####/index
- <Package Folder>/cache/####/journal.tmp
- <Package Folder>/databases/file_multithreading_info.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/####/android-util.zip
- <Package Folder>/files/####/base.js
- <Package Folder>/files/####/common.js
- <Package Folder>/files/####/cpro.baidu.com.js
- <Package Folder>/files/####/m.baidu.com.js
- <Package Folder>/files/####/m.chinebuy.com.js
- <Package Folder>/files/####/start.js
- <Package Folder>/files/3018798.jar
- <Package Folder>/files/ads2017
- <Package Folder>/files/android-util.ttf
- <Package Folder>/files/bdco
- <Package Folder>/files/bdco.cf
- <Package Folder>/files/corelib.tmp.jar
- <Package Folder>/files/libcore.jar.tm
- <Package Folder>/files/libcore.tmp.jar
- <Package Folder>/files/mod.dec
- <Package Folder>/files/mod.dex
- <Package Folder>/files/mod.enc
- <Package Folder>/shared_prefs/AppStartAd.xml
- <Package Folder>/shared_prefs/COUNTLY_STORE.xml
- <Package Folder>/shared_prefs/COUNTLY_STORE_PL.xml
- <Package Folder>/shared_prefs/CPADSave.xml
- <Package Folder>/shared_prefs/InstallManager.xml
- <Package Folder>/shared_prefs/MEvtSave.xml
- <Package Folder>/shared_prefs/com.rvbx.adslib.business.ad.Api_file.xml
- <Package Folder>/shared_prefs/count_control.xml
- <Package Folder>/shared_prefs/default.xml
- <Package Folder>/shared_prefs/defaultpref1.xml
- <Package Folder>/shared_prefs/file_download.xml
- <Package Folder>/shared_prefs/kk_spf.xml
- <Package Folder>/shared_prefs/mainevent_main_evt_dex_info.xml
- <Package Folder>/shared_prefs/max_pref.xml
- <Package Folder>/shared_prefs/max_pref.xml (deleted)
- <Package Folder>/shared_prefs/phan.xml
- <Package Folder>/shared_prefs/pl_sp.xml
- <Package Folder>/shared_prefs/rws_sp.xml
- <Package Folder>/shared_prefs/share_data.xml
- <Package Folder>/shared_prefs/share_data.xml.bak
- <Package Folder>/shared_prefs/sp_rvp.xml
- <Package Folder>/shared_prefs/sp_rvp2.xml
- <Package Folder>/shared_prefs/xconfig.xml
- <SD-Card>/.UU_ID/id.tmp
- <SD-Card>/BIRDDOWNLOAD/####/YvscMPs.xml
- <SD-Card>/BIRDDOWNLOAD/####/webinfo.xml
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
Загружает динамические библиотеки:
- libxutils
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES-CBC-PKCS5Padding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
