Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.243
- Android.Triada.248.origin
- Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) 1####.23.136.190:8088
- TCP(HTTP/1.1) p####.tc.qq.com:80
- TCP(HTTP/1.1) img.ace####.com:80
- TCP(HTTP/1.1) s####.e.qq.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) mi.g####.qq.com:80
- TCP(HTTP/1.1) res####.a####.com:80
- TCP(HTTP/1.1) 1####.74.136.1:8088
Запросы DNS:
- a####.u####.com
- img.ace####.com
- imgc####.qq.com
- l.ace####.com
- loc.map.b####.com
- mi.g####.qq.com
- res####.a####.com
- s####.e.qq.com
Запросы HTTP GET:
- img.ace####.com/ando-res/ads/23/15/274631f7-b216-46c6-8c49-e64bfc112438/...
- img.ace####.com/ando-res/ads/31/19/0031a27f-36c1-4947-87d6-ef825ea8a691/...
- mi.g####.qq.com/gdt_mview.fcg?posw=####&posh=####&count=####&r=####&data...
- p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
- res####.a####.com/v3/ip?key=####
Запросы HTTP POST:
- a####.u####.com/app_logs
- l.ace####.com/ando/v1/x/ap?app_id=####&r=####
- l.ace####.com/ando/v1/x/lv?app_id=####&r=####
- l.ace####.com/ando/v1/x/qa?app_id=####&r=####
- loc.map.b####.com/sdk.php
- s####.e.qq.com/activate
- s####.e.qq.com/msg
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-ZXnOs0M45IbyuhZ4-a0w-ohzlmHp064itVSQL_LZUs=.new
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/0J-SY3benu8k49XQADK7mg==.new
- /data/data/####/0Zt1HO8xJiapaMAhWTUR1w==
- /data/data/####/0avvpGiTFfNa0ZEjVY_1EnZN2F8JkJFjOyvPt8fZeIc=.new
- /data/data/####/9188fb45-9d6e-4bec-8630-eae1083b3df4.pic.temp
- /data/data/####/9XAZYTpzJULtPWxRNF1EqwaJ54DuMV6p.new
- /data/data/####/9c2oGGd22LSDrk7eACIX6e_xXv5bc1Ry_5aOdZ55yT6Zk_a...ournal
- /data/data/####/9c2oGGd22LSDrk7eACIX6e_xXv5bc1Ry_5aOdZ55yT6Zk_aPVSKOydA==
- /data/data/####/9c2oGGd22LSDrk7eACIX6e_xXv5bc1Ry_obBDnh0iHzxDoa...-VtgQ=
- /data/data/####/9c2oGGd22LSDrk7eACIX6e_xXv5bc1Ry_obBDnh0iHzxDoa...ournal
- /data/data/####/9c2oGGd22LSDrk7eACIX6e_xXv5bc1Ry_qauK2lMAu_7nPxXV
- /data/data/####/9c2oGGd22LSDrk7eACIX6e_xXv5bc1Ry_qauK2lMAu_7nPxXV-journal
- /data/data/####/9c2oGGd22LSDrk7eACIX6e_xXv5bc1Ry_u7oT7OcJsTCbql-kIXMNiw==
- /data/data/####/9c2oGGd22LSDrk7eACIX6e_xXv5bc1Ry_u7oT7OcJsTCbql...ournal
- /data/data/####/9c2oGGd22LSDrk7eACIX6e_xXv5bc1Ry_xDWv0IuIVac=-journal
- /data/data/####/9ea9cbf7-ad48-48f1-a850-a863fb293614.pic.temp
- /data/data/####/Alvin2.xml
- /data/data/####/BuglySdkInfos.xml
- /data/data/####/ContextData.xml
- /data/data/####/FvYMozgiIt3NCJgvIK4juHaGIi6roHnUQqKdOA==.new
- /data/data/####/GDTSDK.db
- /data/data/####/GDTSDK.db-journal
- /data/data/####/GsQUzF0MMUx9xtxgAWq-0f3fXs4=.new
- /data/data/####/JoPR9lvO-2g-FuJ2HGCCqTSPeag=.new
- /data/data/####/KT3p4nSBO_klI_VxbSBFA4vUge8uiRk5.new
- /data/data/####/KxgXS_uTc3viMsVGNBeHUieq0o23UM4o.new
- /data/data/####/QkbItIIc1-qQa235NbEXepR02WchqeRN.new
- /data/data/####/SXve3GYxeZlmpWx5.zip
- /data/data/####/Tc0lnfpxsQ8zqo8WxYB-zK1JINYqqVTY.new
- /data/data/####/XcuFtSW8JdC0TYRUO7X8uGlaR8E=
- /data/data/####/Xql68Z6BxihUMJ9BEZjGVPxAeVo=.new
- /data/data/####/Z_oPcb79S7GJvF-sqdYBA5hEXsw=.new
- /data/data/####/af0f664b-ba6e-4930-bc91-abd122839d1b.pic
- /data/data/####/bcf5a9fe-17a6-47e2-ad3f-6eb4ddae59ea.pic
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/db_r-GmICz-BCJCzRyR7VA==
- /data/data/####/devCloudSetting.cfg
- /data/data/####/devCloudSetting.sig
- /data/data/####/download.db-journal
- /data/data/####/e2WJy-hd4FJFhfT9uIit1pMJ8835pEUhtUvd5Q==.new
- /data/data/####/eaZN-Jo8fmf76SG7
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/gdt_plugin.jar
- /data/data/####/gdt_plugin.jar.sig
- /data/data/####/gdt_plugin.tmp
- /data/data/####/gdt_plugin.tmp.sig
- /data/data/####/gdt_suid
- /data/data/####/hrinaa_f.zip
- /data/data/####/ihEYo-Li25NkHEhedZhQ3g==.new
- /data/data/####/jxCTpQJYG6LeoBIkdO1O9uKk2ffodcqD.new
- /data/data/####/libjiagu.so
- /data/data/####/mawlRkoO_I2IlhBLRHtStzzo0koDfPxfmWaQXh-gZpI=.new
- /data/data/####/patch.jar
- /data/data/####/rdata_comorinsofq.new
- /data/data/####/rkcYvwPtpfiKZ2QbVqB7AHEqAt9ud7YvIhxGu2FXQfg=.new
- /data/data/####/runner_info.prop.new
- /data/data/####/s5D1zXyvHw_Q5TS8
- /data/data/####/sVLgHAMwHNkeO0RjhCENhwxzOlX9s_dH.new
- /data/data/####/sdkCloudSetting.cfg
- /data/data/####/sdkCloudSetting.sig
- /data/data/####/share_data.xml
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/ub2IcQCVquFDE_nr.new
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/update_lc
- /data/data/####/wroZczq92d6i5h9jHm8AYoTc91c=.new
- /data/data/####/yG7u6H5vVcQY6KbqHDmFCAPC4DQ2Hkf2AdroUg==.new
- /data/data/####/zN81XA7eakUhScITmyJbkYokeuy9YwDJ.new
- /data/data/####/zZi9XJUbIYP8QTXJkdr9bA==.new
- /data/media/####/.uunique.new
- /data/media/####/1a087e83-e0e1-48e4-9e32-af8a2fcc1ca7.res
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/7974ad76-f1d4-4a89-869b-4780cf48c547.res
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/r_pkDgN4OhnkSa0D
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-9836069/eaZN-Jo8fmf76SG7 -p <Package> -c com.orin.sofq.bgcsaq.hi.hi.pw.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
