Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Backdoor.616.origin
- Android.Triada.248.origin
- Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) d####.sdkbal####.com:9050
- TCP(HTTP/1.1) s####.sdkbal####.com:8060
- TCP(HTTP/1.1) 1####.75.79.16:80
- TCP(HTTP/1.1) f.up.v####.####.com:80
- TCP(HTTP/1.1) int.d####.s####.####.cn:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(TLS/1.0) pay.v####.com.cn:443
Запросы DNS:
- a####.u####.com
- d####.sdkbal####.com
- f.up.v####.####.cn
- int.d####.s####.####.cn
- l.ace####.com
- loc.map.b####.com
- pay.v####.com.cn
- s####.sdkbal####.com
Запросы HTTP GET:
- int.d####.s####.####.cn/iplookup/iplookup.php?qq-pf-to=####
Запросы HTTP POST:
- a####.u####.com/app_logs
- d####.sdkbal####.com:9050/
- f.up.v####.####.com/usrsys/reportUsrsys?version=####
- l.ace####.com/ando/v2/ap?app_id=####&r=####
- l.ace####.com/ando/v2/lv?app_id=####&r=####
- loc.map.b####.com/sdk.php
- s####.sdkbal####.com:8060/sdk/api/getclientsetup
- s####.sdkbal####.com:8060/sdk/api/log/insertLoginLog
- s####.sdkbal####.com:8060/sdk/api/log/upuserlog
- s####.sdkbal####.com:8060/sdk/login
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/cache/####/-1143945219847306209
- <Package Folder>/cache/####/777.txt
- <Package Folder>/cache/####/SDK1205_dex.jar
- <Package Folder>/cache/hbv0ww20.jar
- <Package Folder>/cache/qjmlc4vt.jar
- <Package Folder>/cache/top.zip
- <Package Folder>/code-88842/ofEINgr4HFLN7_6I
- <Package Folder>/databases/TSOCPt06GkA6kKTiCUPHtGpPhgznzlRTWkJk...2XNv8=
- <Package Folder>/databases/TSOCPt06GkA6kKTiCUPHtGpPhgznzlRTWkJk...AI2Q==
- <Package Folder>/databases/TSOCPt06GkA6kKTiCUPHtGpPhgznzlRTWkJk...BFJtsJ
- <Package Folder>/databases/TSOCPt06GkA6kKTiCUPHtGpPhgznzlRTWkJk...ournal
- <Package Folder>/databases/TSOCPt06GkA6kKTiCUPHtGpPhgznzlRTWkJk...xHXQ==
- <Package Folder>/databases/sdk.db
- <Package Folder>/databases/sdk.db-journal
- <Package Folder>/databases/trackevents.db-journal
- <Package Folder>/databases/unionuserinfo.db-journal
- <Package Folder>/files/####/3cJqoAu6fStiBG_0l93cpHAWVyvVTL9T3L6...A=.new
- <Package Folder>/files/####/51-Be6e41DKXdaDAUZ6toA==
- <Package Folder>/files/####/8NkeZ9XWHE6-VJteGAz7X4D3U3w=.new
- <Package Folder>/files/####/9Z5NFZKZJQd01DyHLq3RnZlLCAp910L9XUi...U=.new
- <Package Folder>/files/####/AJu1BfYbSj3KfFoWcseefmFURco=.new
- <Package Folder>/files/####/B9H7U9cDYTxIPYUxiOztyGq4UEVNr6B1.new
- <Package Folder>/files/####/CLG3XclMUDco6c9BduH19A==
- <Package Folder>/files/####/EmHkYpj3-_PDI2hogIGEKtts03fvk_aC-Xa9Iw==.new
- <Package Folder>/files/####/EpDmHmrT7mYUjzho66ejCqs-beo=.new
- <Package Folder>/files/####/FO1EudzqV-sDnvZuw9SG5X5lvfXsrBShE0N2BA==.new
- <Package Folder>/files/####/IZMsi4l9J34fyqcvgxGVpg==.new
- <Package Folder>/files/####/KRShp0I-8oZinRC7A6uM4jNImjpYQTNFaLbVgg==.new
- <Package Folder>/files/####/LCJn9AAZuOY4iWG21JNF8MFzgGMg-wqq.new
- <Package Folder>/files/####/O9GihwBDrtY1ZiHcFyB_myXsi0o=
- <Package Folder>/files/####/Q_1k9_DHrkuciIXtVd74Rh4FVeU=.new
- <Package Folder>/files/####/RaPaRVK89Z1FKcN10APzPg==.new
- <Package Folder>/files/####/VKii6ry_BvCD-X38
- <Package Folder>/files/####/XvofPd-SPzmQZpL8.zip
- <Package Folder>/files/####/ZWFXjzM1FF68rNqLsvn1cd-2F-Kzs5_J.new
- <Package Folder>/files/####/_K8XU28u2E-fgHQHKS1EsLMHHPM=.new
- <Package Folder>/files/####/bJ5V9ADVo7Xk0zDL9h8KSgMCpaASlkfJTql...o=.new
- <Package Folder>/files/####/cfIdemFHdSjbdt721EqPsA==.new
- <Package Folder>/files/####/dbNF-j9h0l8ts9Dr.new
- <Package Folder>/files/####/exchangeIdentity.json
- <Package Folder>/files/####/fJAuWUa_BX-Dnl5vmKYxF17OhCmCP-Vn.new
- <Package Folder>/files/####/g323ywQazAaxXHRD1574vhXEwg8=
- <Package Folder>/files/####/g323ywQazAaxXHRD1574vhXEwg8=.new
- <Package Folder>/files/####/nhmWreDvbaLyC9uQ0u2BUF72JbwfmrkR.new
- <Package Folder>/files/####/q8CaQstzvnrbcupxTdozkeJMQd9gAQuA.new
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/s6zq6s7RHLvynx7rMABJ1zPdSgvcWkl8.new
- <Package Folder>/files/####/surcvg_f.zip
- <Package Folder>/files/####/vYzHVkLQceslRkMDXo4LwPpHsH0=
- <Package Folder>/files/####/vYzHVkLQceslRkMDXo4LwPpHsH0=.new
- <Package Folder>/files/####/vivounionapk_v2.2.41_a1e788e_201708101947.vua
- <Package Folder>/files/####/wpQ1khorDK5-tN16iNBTMX2XeZX0JqRcnzm...M=.new
- <Package Folder>/files/####/wundYUWm8wcq_ZWC8NmgXjOGUZTusp2W.new
- <Package Folder>/files/####/yNylpRS94pVYu2J226gAe3M_g6KYykQb.new
- <Package Folder>/files/.imprint
- <Package Folder>/files/playerData
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/UM.xml
- <Package Folder>/shared_prefs/prefs_vivounionsdk.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique
- <SD-Card>/.env/.uunique.new
- <SD-Card>/.vivoAccountsdk/sdkaccountinfo.db-journal
- <SD-Card>/.vivounionapk/vivounionapk_v2.2.41_a1e788e_201708101947.vua
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-88842/ofEINgr4HFLN7_6I -p <Package> -a com.uu.action.client -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- ls -l /system/bin/su
- sh <Package Folder>/code-88842/ofEINgr4HFLN7_6I -p <Package> -a com.uu.action.client -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- KDDIJF5s
- vivo_account_sdk
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
