Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.204.origin
- Android.DownLoader.205.origin
- Android.DownLoader.456.origin
Загружает из Интернета следующие детектируемые угрозы:
- Android.HiddenAds.239.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) l####.d####.cn:80
- TCP(HTTP/1.1) sdk.d####.cn:80
- TCP(HTTP/1.1) ad####.d####.cn.####.com:80
- TCP(HTTP/1.1) s####.d####.cn:80
- TCP(HTTP/1.1) cf.gdata####.net:80
- TCP(HTTP/1.1) g####.d####.cn:80
- TCP(HTTP/1.1) aps.vpwork####.com:80
- TCP(HTTP/1.1) ku.k####.cn:80
- TCP(TLS/1.0) api.b####.cn.####.com:443
Запросы DNS:
- ad####.d####.cn
- api.b####.cn
- aps.vpwork####.com
- cf.gdata####.net
- g####.d####.cn
- ku.d####.cn
- ku.k####.cn
- l####.d####.cn
- rd.gdata####.net
- s####.d####.cn
- sdk.d####.cn
Запросы HTTP GET:
- ad####.d####.cn.####.com/pangzi/2016/3/4/14570724148315350/01D51DEE6C55E...
- ad####.d####.cn.####.com/sdk/hlpt/lib_v1.0.36.zip
- aps.vpwork####.com/a1001013905.apk
- aps.vpwork####.com/dtt1128.zip
- aps.vpwork####.com/dttinsta1201.zip
- aps.vpwork####.com/panda_dex_139_3.zip
- aps.vpwork####.com/pinku0126.zip
Запросы HTTP POST:
- cf.gdata####.net/config/update
- cf.gdata####.net/dc/sync_adr
- g####.d####.cn/IssueEngine/getShieldEthereal.do?appId=####&channel=####
- ku.k####.cn/702619E220213D3BFE64AC4C86FBECF1
- ku.k####.cn/F6EA80A604B90C1AFFF602C719787160
- ku.k####.cn/FA193DF6DFDF511DCB16AEA4AA91E793
- l####.d####.cn/30ECC166BD4D761A98AADF5167E0E46E
- l####.d####.cn/3F5D2B81DADEA1179A7A2F1759D9CF62
- l####.d####.cn/70F5024058DC2E24DFD61302050EEED3
- l####.d####.cn/8018DAF55F3FB325C0EF07F6C62DC787
- l####.d####.cn/CD382781B46D648D05B8C219784B4DD1
- l####.d####.cn/F24303512B08C2D0918EAC8F8649AC2C
- s####.d####.cn/702619E220213D3BFE64AC4C86FBECF1
- s####.d####.cn/F6EA80A604B90C1AFFF602C719787160
- s####.d####.cn/FA193DF6DFDF511DCB16AEA4AA91E793
- sdk.d####.cn/70F5024058DC2E24DFD61302050EEED3
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/databases/ab_new.db
- <Package Folder>/databases/ab_new.db-journal
- <Package Folder>/databases/bb_new.db
- <Package Folder>/databases/bb_new.db-journal
- <Package Folder>/databases/dataeye_database_BBF1B3828A8106FDF6F...CB0.db
- <Package Folder>/databases/dataeye_database_BBF1B3828A8106FDF6F...ournal
- <Package Folder>/databases/dl_old.db
- <Package Folder>/databases/dl_old.db-journal
- <Package Folder>/databases/dtad_old.db
- <Package Folder>/databases/dtad_old.db-journal
- <Package Folder>/files/####/cqoktq
- <Package Folder>/files/####/dataapqsuly
- <Package Folder>/files/####/lyqhcs.so
- <Package Folder>/files/####/wuqbce
- <Package Folder>/files/JARD_-1898879569.zip
- <Package Folder>/files/JARD_-373569894.zip
- <Package Folder>/files/JARD_-628432307.zip
- <Package Folder>/files/JARD_-918307225.zip
- <Package Folder>/files/JARD_1074223302.zip
- <Package Folder>/files/JARD_1455700265.zip
- <Package Folder>/files/JARD_734943327.zip
- <Package Folder>/files/JNID_-1045479653.so
- <Package Folder>/files/JNID_-270518291.so
- <Package Folder>/shared_prefs/admainlib.xml
- <Package Folder>/shared_prefs/admainlib.xml.bak
- <Package Folder>/shared_prefs/admainlib_new.xml
- <Package Folder>/shared_prefs/dc.BBF1B3828A8106FDF6F83FFB7EA6FC...es.xml
- <Package Folder>/shared_prefs/inslib.xml
- <Package Folder>/shared_prefs/lib_names.xml
- <Package Folder>/shared_prefs/lib_names_new.xml
- <Package Folder>/shared_prefs/newim.xml
- <Package Folder>/shared_prefs/ota_panda_dex_139_3.xml
- <Package Folder>/shared_prefs/pinku_dex_0126.xml
- <Package Folder>/shared_prefs/shared_lib_info.xml
- <Package Folder>/shared_prefs/shared_lib_info_new.xml
- <Package Folder>/shared_prefs/unins.xml
- <Package Folder>/tx_shell/libshella-0.0.2.so
- <SD-Card>/.SystemService/####/2D7F07BB6125DEB407E92A22DC4AC550
- <SD-Card>/.SystemService/####/uid
- <SD-Card>/lysy/####/config.ini
- <SD-Card>/lysy/####/journal.tmp
- <SD-Card>/sys/a1001013905.apk
- <SD-Card>/sys16/01D51DEE6C55E580DBCF27DB4AF7F02C_26_38.jpg.tmp
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh
- app_process /system/bin com.android.commands.pm.Pm install -r /storage/emulated/0/sys/a1001013905.apk
- chmod 700 <Package Folder>/tx_shell/libshella-0.0.2.so
- getprop ro.build.version.release
- getprop ro.build.version.sdk
- ls -l /system/bin/su
- ls -l /system/sbin/su
- ls -l /vendor/bin/su
- pm install -r /storage/emulated/0/sys/a1001013905.apk
Загружает динамические библиотеки:
- JNID_-1045479653
- JNID_-270518291
- cqoktq
- libshella-0.0.2
- lyqhcs
Использует следующие алгоритмы для шифрования данных:
- DES
Использует следующие алгоритмы для расшифровки данных:
- DES
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
