Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.SmsSend.1922.origin
- Android.Triada.226.origin
- Android.Triada.258.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) e####.c####.com:9002
- TCP(HTTP/1.1) gdv.a.s####.com:80
- TCP(HTTP/1.1) 1####.75.30.57:10001
- TCP(HTTP/1.1) 1####.59.40.34:19000
- TCP(HTTP/1.1) 1####.129.132.111:8001
- TCP(HTTP/1.1) dl.c####.com:8081
- TCP(HTTP/1.1) int.d####.s####.####.cn:80
- TCP(HTTP/1.1) and####.5####.com:8077
- TCP(HTTP/1.1) sm####.hej####.com:80
- TCP(HTTP/1.1) 1####.199.9.227:80
- TCP(HTTP/1.1) www.z####.com:20002
- TCP(HTTP/1.1) e####.c####.com:9698
Запросы DNS:
- and####.5####.com
- api.var####.com
- c.hn####.net
- c.jinqia####.com
- dl.c####.com
- e####.c####.com
- int.d####.s####.####.cn
- m####.hej####.com
- p.c####.com
- pv.s####.com
- s.jinqia####.com
- sm####.hej####.com
- www.huangda####.com
- www.z####.com
Запросы HTTP GET:
- gdv.a.s####.com/cityjson?ie=####
- int.d####.s####.####.cn/iplookup/iplookup.php?format=####&ip=####
- sm####.hej####.com/getSP135.php?appName=####&productName=####&mobile=###...
Запросы HTTP POST:
- and####.5####.com:8077/android/sms/commit.do
- and####.5####.com:8077/android/sms/netpay/prefetch.do
- and####.5####.com:8077/record-plat/msg/strategy/query.do
- and####.5####.com:8077/record-plat/record/upload.do
- and####.5####.com:8077/record-plat/seq/query.do
- dl.c####.com:8081/update/index.php/protocol/getupdate
- e####.c####.com:9002/protocol/v2_1/pushbasicdata.do
- e####.c####.com:9698/protocol/v5_16/getstrategy.do
- www.z####.com:20002/advert/app/list
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/BvOCi.TaAZ.xUeskvA91YKJ.xml
- /data/data/####/BvOCi.TaAZ.xUeskvA_preferences.xml
- /data/data/####/Data_sync.db-journal
- /data/data/####/H5sV0svoUubEw7qXcjX8bPEkOD8=
- /data/data/####/OtTZbpV.jar
- /data/data/####/S_1ijFCoZ3aPb6U7HdDSZA==
- /data/data/####/UNICOM_LOG_UA.xml
- /data/data/####/apk.zip
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/data.dat.tmp
- /data/data/####/ehooab-journal
- /data/data/####/ehooae.xml
- /data/data/####/ehooep
- /data/data/####/ehooep-journal
- /data/data/####/ehooep.xml
- /data/data/####/ehoopost.xml
- /data/data/####/ehoopostsv.xml
- /data/data/####/gWO9iuf9nULWd4yt6aRO_A==.new
- /data/data/####/getlei.info
- /data/data/####/hyiag_f.zip
- /data/data/####/libabc
- /data/data/####/pbS3invt0Xy9g4FWmrJUig==.new
- /data/data/####/plugin_record_app_info.xml
- /data/data/####/pref_recomm.xml
- /data/data/####/pretw.xml
- /data/data/####/pz_sharedpre_cmreaderlogininfo.xml
- /data/data/####/service
- /data/data/####/syndatabackup.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/webview.db-journal
- /data/data/####/xUtils_http_cookie.db-journal
- /data/data/####/zzconfig.xml
- /data/media/####/channel_conf
- /data/media/####/com.skymobi.pay.plugin.main.data
- /data/media/####/com.skymobi.pay.plugin.recordupload.data
- /data/media/####/com.skymobi.pay.plugin.smspay.data
- /data/media/####/qshp_3002_2230.zip
- /data/media/####/tw
Другие:
Запускает следующие shell-скрипты:
- cat /sys/class/net/wlan0/address
- chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.main.data
- chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.recordupload.data
- chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.smspay.data
- getprop apps.customerservice.device
Загружает динамические библиотеки:
- libabc
Использует следующие алгоритмы для шифрования данных:
- DES
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации о входящих/исходящих звонках.
Осуществляет доступ к информации об отправленых/принятых смс.
