Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.511.origin
- Android.Spy.127.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(H) kit.dongh####.cn:80
- TCP(HTTP/1.1) po.funs####.com:80
- TCP(HTTP/1.1) nsc####.b####.com:80
- TCP(HTTP/1.1) kit.dongh####.cn:80
- TCP(HTTP/1.1) m.i####.com:80
- TCP(HTTP/1.1) s####.funs####.net:80
- TCP(HTTP/1.1) c####.funs####.com:80
Запросы DNS:
- aa0.pub.funs####.com
- c####.funs####.com
- hey.dongh####.cn
- k####.dongh####.cn
- kit.dongh####.cn
- m.i####.com
- mie.dongh####.cn
- nsc####.b####.com
- pam.funs####.com
- po.funs####.com
- pub.funs####.com
- s####.funs####.net
- up####.funs####.com
Запросы HTTP GET:
- c####.funs####.com/interface/config?client=####&file=####&fmt=####&ver=#...
- c####.funs####.com/interface/deliver?ap=####&deliver_ver=####&uid=####&m...
- c####.funs####.com/interface/materials?ap=####&client=####&uid=####&mac=...
- c####.funs####.com/interface/materials?ap=####&uid=####&mac=####&client=...
- m.i####.com/cfg/appkey-684f15fa71301257
- nsc####.b####.com/v.gif?pid=####&pj=####&c_version=####&t=####&c_device_...
- po.funs####.com/fpupdate/INI/config_update_funplayer.txt
- po.funs####.com/v5/aggregate/init?cl=####&ve=####&mac=####&uc=####&fudid...
- po.funs####.com/v5/config/cache?cl=####&ve=####
- po.funs####.com/v5/config/general?cl=####&ve=####
- po.funs####.com/v5/config/init?cl=####&ve=####&mac=####&uc=####&fudid=####
- po.funs####.com/v5/config/log?cl=####&ve=####&mac=####&uc=####&fudid=####
- po.funs####.com/v5/config/switch?type=####&si=####&cl=####&ve=####&mac=#...
- s####.funs####.net/ecom-ad/appaderror?dev=####&ver=####&fudid=####&sid=#...
- s####.funs####.net/ecom-ad/iri?android_id=####&imei_id=####&mac_id=####&...
- s####.funs####.net/ecom_mobile/bootstrap?dev=####&ver=####&fudid=####&si...
- s####.funs####.net/ecom_mobile/servicehb?dev=####&ver=####&fudid=####&si...
Запросы HTTP POST:
- kit.dongh####.cn/ct/chkjf/mwme
- kit.dongh####.cn/ct/cnaqe/unnk
- kit.dongh####.cn/ct/fhl/wh/atzd
- kit.dongh####.cn/ct/iv/pcid
- kit.dongh####.cn/ct/jtmv/gfuks/hd
- kit.dongh####.cn/ct/lkhi/vfmj
- kit.dongh####.cn/ct/n/ou
- kit.dongh####.cn/ct/tlt/f
- kit.dongh####.cn/ct/tsr/mlyd
- kit.dongh####.cn/ct/u/nbelx
- kit.dongh####.cn/ct/vaixe/p
- kit.dongh####.cn/ct/vk/mgq/e
- kit.dongh####.cn/ct/zkfda/cpzbp
- kit.dongh####.cn/ct/zze/lg
- m.i####.com/rec/se?_iwt_t=####&sv=####
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/databases/_ire-journal
- <Package Folder>/databases/funshion.db-journal
- <Package Folder>/databases/t_u.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/libjiagu.so
- <Package Folder>/files/pg.jar
- <Package Folder>/files/ph.jar
- <Package Folder>/files/um.jar
- <Package Folder>/files/wb.jar
- <Package Folder>/files/wq.jar
- <Package Folder>/shared_prefs/MATSharedPreferences.xml
- <Package Folder>/shared_prefs/MATSharedPreferences.xml (deleted)
- <Package Folder>/shared_prefs/cn.com.mma.mobile.tracking.other.xml
- <Package Folder>/shared_prefs/fudid.xml
- <Package Folder>/shared_prefs/funshion.xml
- <Package Folder>/shared_prefs/peerid_config.xml
- <Package Folder>/shared_prefs/preference_aggregate.xml
- <Package Folder>/shared_prefs/qq.xml
- <SD-Card>/.fudid
- <SD-Card>/funshion/####/82d547496fb5e8267cd67894f50f4f3814dfe9c5.cache
- <SD-Card>/funshion/####/8f2d35b1249ad12f319b3d02f3d1f550e33efe21.cache
- <SD-Card>/funshion/####/cache.rules.tmp
- <SD-Card>/funshion/####/cc4fbd4bcf4be2942becd46952835ed75444250e.cache
- <SD-Card>/funshion/####/config.ini.tmp
- <SD-Card>/funshion/####/d66be54edaf90ee9bea2f25c049081ab21d24ce4.cache
- <SD-Card>/funshion/####/funshion_aphone_2.4_afafb53d3d43_20171116.log
- <SD-Card>/funshion/####/journal
- <SD-Card>/funshion/####/journal.tmp
- <SD-Card>/funshion/####/p2p_config.ini
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/files/libjiagu.so
Загружает динамические библиотеки:
- fsp2p
- libjiagu
- loginclient
- lsv
- mresearch
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
