Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Xiny.164.origin
- Android.Xiny.166.origin
- Android.Xiny.202.origin
- Android.Xiny.73.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 4####.79.77.161:80
- TCP(HTTP/1.1) 45.79.1####.241:80
- TCP(HTTP/1.1) www.we####.com:8081
- TCP(HTTP/1.1) 45.79.1####.160:80
- TCP(HTTP/1.1) 45.79.1####.48:80
- TCP(HTTP/1.1) 4####.33.0.176:80
- TCP(HTTP/1.1) 4####.33.0.123:80
- TCP(HTTP/1.1) 45.33.1####.75:80
Запросы DNS:
- www.we####.com
Запросы HTTP POST:
- www.we####.com:8081/sm/sr/rt/ry
- www.we####.com:8081/sm/sr/run/hy
- www.we####.com:8081/sm/sr/sp/py
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/02096341.apk
- /data/data/####/02096341.dex
- /data/data/####/16938289.apk
- /data/data/####/16938289.dex
- /data/data/####/20160121.xml
- /data/data/####/20160121.xml.bak
- /data/data/####/201706102150.apk
- /data/data/####/24644027.apk
- /data/data/####/24644027.dex
- /data/data/####/35438833.apk
- /data/data/####/35438833.dex
- /data/data/####/39393279.apk
- /data/data/####/39393279.dex
- /data/data/####/52131720.apk
- /data/data/####/52131720.dex
- /data/data/####/54676713.apk
- /data/data/####/54676713.dex
- /data/data/####/72040068.apk
- /data/data/####/72040068.dex
- /data/data/####/73190949.apk
- /data/data/####/73190949.dex
- /data/data/####/78107915.apk
- /data/data/####/78107915.dex
- /data/data/####/88474383.apk
- /data/data/####/88474383.dex
- /data/data/####/90846357.apk
- /data/data/####/90846357.dex
- /data/data/####/N2026.data
- /data/data/####/N2031.data
- /data/data/####/N2040.data
- /data/data/####/N2043.data
- /data/data/####/N2044.data
- /data/data/####/N2046.data
- /data/data/####/N2051.data
- /data/data/####/N2061.data
- /data/data/####/Q2hhbm5lbElES2V5MjAxNjEyMjcxODU3.xml
- /data/data/####/QURfUk9PVF9TREtfMjAxNzAyMDgxMA.xml
- /data/data/####/Wlhod1gzbDFiVjh5
- /data/data/####/Wlhod1gzbDFiVjh51522598088775.zip
- /data/data/####/c201706102150.apk
- /data/data/####/cnVuc2hlbGwy
- /data/data/####/cnVuc2hlbGwy1522598023894.zip
- /data/data/####/debuggerd_hulu
- /data/data/####/duspf517.xml
- /data/data/####/ebtables_csyp_radish
- /data/data/####/elfm
- /data/data/####/elfm1522598023320.zip
- /data/data/####/env201707251650.data
- /data/data/####/forever.sh
- /data/data/####/install-recovery.sh
- /data/data/####/kcol_ysy
- /data/data/####/ps_pcys_hd
- /data/data/####/rl23.data
- /data/data/####/rs40.data
- /data/data/####/rtr.db
- /data/data/####/rtr.db-journal
- /data/data/####/supolicy
- /data/data/####/toolbox
- /data/data/####/toolbox1522598023434.zip
- /data/data/####/ym43.data
Другие:
Запускает следующие shell-скрипты:
- .hulu
- .hulu -c id
- c201706102150.apk -c <Package>
- chmod 0755 <Package Folder>/com.init.env
- chmod 0777 <Package Folder>/com.init.env/files/elfm
- chmod 0777 <Package Folder>/com.init.env/files/forever.sh
- chmod 0777 <Package Folder>/com.init.env/files/toolbox
- chmod 0777 <Package Folder>/p.rl23/files/cnVuc2hlbGwy
- chmod 0777 <Package Folder>/p.rl23/files/forever.sh
- chmod 0777 <Package Folder>/p.sr40/files/cnVuc2hlbGwy
- chmod 0777 <Package Folder>/p.sr40/files/forever.sh
- chmod 0777 <Package Folder>/p.ym43/files/Wlhod1gzbDFiVjh5
- chmod 0777 <Package Folder>/p.ym43/files/forever.sh
- chmod 6777 <Package Folder>/files/c201706102150.apk
- logcat -d -v time
- ls -l /system/bin/su
- ps
- ps_pcys_hd
- ps_pcys_hd -c id
- sh
Загружает динамические библиотеки:
- libjni-commentingwallp
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
