Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.248.origin
- Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) sd####.cm####.com:80
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) dj.gat####.7####.com:80
- TCP(HTTP/1.1) 1####.75.79.16:80
- TCP(HTTP/1.1) wap.cm####.com:7758
- TCP(HTTP/1.1) app####.m####.cn:8080
- TCP(HTTP/1.1) 1####.159.18.80:8001
- TCP(HTTP/1.1) drm.cm####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) 2####.111.8.140:8080
- TCP(HTTP/1.1) 1####.159.18.80:8000
- TCP(TLS/1.0) and####.cli####.go####.com:443
- TCP 47.98.2####.83:19999
Запросы DNS:
- Aser####.1####.cn
- and####.cli####.go####.com
- api.miguv####.com
- app####.m####.cn
- dj.gat####.7####.com
- drm.cm####.com
- edu.1####.cn
- g####.g####.net
- l.ace####.com
- loc.map.b####.com
- s####.cmv####.cn
- sd####.cm####.com
- wap.cm####.com
Запросы HTTP GET:
- dj.gat####.7####.com/v3/tj/gps?sign=####
- drm.cm####.com/egsb/game/getclientProvince?tel=####&iccid=####&imsi=####
- drm.cm####.com/egsb/startup/queryConfiguration?channelId=####&contentId=...
- drm.cm####.com/egsb/verification/checkSDKModuleUpdate?sdkVersion=####&co...
Запросы HTTP POST:
- app####.m####.cn:8080/migusdk/tl/tcttl
- app####.m####.cn:8080/migusdk/verification/checkSdkUpdate
- drm.cm####.com/egsb/dataPlan/privateSwith
- drm.cm####.com/egsb/discount/getPreQueryResult
- drm.cm####.com/egsb/game/getPaymentCapability
- drm.cm####.com/egsb/gshare/switches
- drm.cm####.com/egsb/message/queryPushMessages
- drm.cm####.com/egsb/otherPay/querySMSInterceptorConf
- drm.cm####.com/egsb/thirdPay/queryThirdPayInfo
- l.ace####.com/ando/v2/ap?app_id=####&r=####
- l.ace####.com/ando/v2/lv?app_id=####&r=####
- loc.map.b####.com/sdk.php
- sd####.cm####.com/behaviorLogging/eventLogging/accept?
- wap.cm####.com:7758/normandie/QueryConfigPolicy
Изменения в файловой системе:
Создает следующие файлы:
- /data/anr/traces.txt
- /data/data/####/2105.dex
- /data/data/####/2105.dex (deleted)
- /data/data/####/2382.dex
- /data/data/####/31zk_ssU2t52bbYxigCDr2ArmUA=.new
- /data/data/####/4YPwabLkjSckfPFGMtR-YTsdEBKmk1mRu90a8KtyZts=.new
- /data/data/####/6WO55qv--0J58AJTyuvLZKDGaV4=.new
- /data/data/####/777.txt
- /data/data/####/8F2CHGskOWtzXmFyMxCwrIMJK_l9Mu2h.new
- /data/data/####/9gF3pBci7jh4nzPwuJ_NdIhOiHm4J8AG.new
- /data/data/####/ED.ini
- /data/data/####/GJCKwLIj73JGrxyl516wb7GEvg7bG2jaV7H3meOJ-sA=.new
- /data/data/####/GZA5nbDLsrzzaVUdUoWuxtgJ--2vv1Ab.new
- /data/data/####/IaH2P9Qv6O5UmLKk
- /data/data/####/IrZFyH9itgId9RH62hFf4vXUCmcuO7LC.new
- /data/data/####/JIeWfGcpQjcoggHfBei4AcehhDo=.new
- /data/data/####/KQMuV7UExhDL7DgiSRNC6g==
- /data/data/####/LOEdbCM5CBrBuiprlC2fNGYN38vUR2dlHq7VNdQvoyk=.new
- /data/data/####/MiguPay.Sdk30.Lib_12003049_2b7f4055276371c21c62...02.cod
- /data/data/####/MiguPay.Sdk30.Lib_12003049_2b7f4055276371c21c62...02.dat
- /data/data/####/SDK1205_dex.dex
- /data/data/####/SDK1205_dex.jar
- /data/data/####/TTjGWsrYXi1W-ZVc.dex
- /data/data/####/TTjGWsrYXi1W-ZVc.zip
- /data/data/####/X-2pGfEu7w3e3X2h1qILH_LeuEA=.new
- /data/data/####/XU2AqbWbsx_Y8cGSSH1f5iT9h_E=.new
- /data/data/####/YSq5c4zeTogNMXDWNlW2LzaM6As_C2jg3EWWy8i-P_s=.new
- /data/data/####/ZZaAEGGlE7cqyOswUcghAw==.new
- /data/data/####/ZjW2NVSra-hWDbzH.new
- /data/data/####/ZsKFOEI3wv3BaqE9cUue4cheGBXLSFZt.new
- /data/data/####/abc.dex
- /data/data/####/abc.jar
- /data/data/####/abc.jar.temp
- /data/data/####/abc.jpg
- /data/data/####/abc.jpg.temp
- /data/data/####/abc.jpg.temp (deleted)
- /data/data/####/aw765uHlAwji7DXVMtmizIWjYLU=.new
- /data/data/####/b-c8wJl2O8cfoC0HwDnAhw==
- /data/data/####/bZ5FrobJYDEzA6YKSkocTyntOtE3pp8hbbZOsA==_A1Mfo-...ournal
- /data/data/####/bZ5FrobJYDEzA6YKSkocTyntOtE3pp8hbbZOsA==_A1Mfo-...y63Q==
- /data/data/####/bZ5FrobJYDEzA6YKSkocTyntOtE3pp8hbbZOsA==_B9MjyA...D1ogk=
- /data/data/####/bZ5FrobJYDEzA6YKSkocTyntOtE3pp8hbbZOsA==_B9MjyA...ournal
- /data/data/####/bZ5FrobJYDEzA6YKSkocTyntOtE3pp8hbbZOsA==_Hou0ml...ournal
- /data/data/####/bZ5FrobJYDEzA6YKSkocTyntOtE3pp8hbbZOsA==_Hou0mlUDhfHDaUhf
- /data/data/####/bZ5FrobJYDEzA6YKSkocTyntOtE3pp8hbbZOsA==__68zPU...ournal
- /data/data/####/bZ5FrobJYDEzA6YKSkocTyntOtE3pp8hbbZOsA==__68zPU...vQfA==
- /data/data/####/bZ5FrobJYDEzA6YKSkocTyntOtE3pp8hbbZOsA==_muNzoT...ournal
- /data/data/####/bZ5FrobJYDEzA6YKSkocTyntOtE3pp8hbbZOsA==_muNzoTMOFAJipt0I
- /data/data/####/chuangwei.db
- /data/data/####/chuangwei.db-journal
- /data/data/####/fA-GmQ7GPMxTIBA9ZZCngOMHTg1933bf.new
- /data/data/####/fpzY7ahuEcY_i0sgRhJWpjC5NqVlAZ6-cN2xyA==.new
- /data/data/####/gJAnLOqSpFkrF9UWGPxh_rdae6s=.new
- /data/data/####/heraaa_f.dex
- /data/data/####/heraaa_f.zip
- /data/data/####/i6P8nMrLXWLGRntniaCIfg==.new
- /data/data/####/iqdf
- /data/data/####/iqdf.dex
- /data/data/####/iqdf.jar
- /data/data/####/kCHsAjGdLe0UKa6Qohbxk6laI_w=
- /data/data/####/libmgRun_05.22.09_01.so
- /data/data/####/libmiguED.so
- /data/data/####/mgAS.dat
- /data/data/####/mgSS.dat
- /data/data/####/mgid.dat
- /data/data/####/miguGameBillingRequestMonitor.xml
- /data/data/####/pljQU7DoKN5yS7D0cjszEU_Xlj1Xdqcm.new
- /data/data/####/qquMQhYOnFFAmkoFfxsFKFyZTGpbiW54.new
- /data/data/####/rdata_comeyfzvauigd.new
- /data/data/####/runner_info.prop.new
- /data/data/####/sdk_prefs
- /data/data/####/top.zip
- /data/data/####/v0WaJovY4XWF2eAX
- /data/data/####/vLclRXt-iM5ZyucIs6Na7A==.new
- /data/data/####/xcngame.xml
- /data/data/####/yJoeCZorLy6NPKe361GmaUmDnTITvXS_r4Cedw==.new
- /data/data/####/zvOnkw9KHN4ztTEOzeDwBDAW3zWwe4OdHVgp9g==.new
- /data/media/####/.nomedia
- /data/media/####/.uunique.new
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/ShareData.txt
- /data/media/####/deviceId
- /data/media/####/pushDB.txt
- /data/media/####/pushTime.txt
- /data/media/####/pushTotal.txt
- /data/media/####/r_pkDgN4OhnkSa0D
- /data/media/####/sdk_prefs.txt
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-6413308/IaH2P9Qv6O5UmLKk -p <Package> -c com.eyfzv.auigd.entity.TangerineReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- chmod 777 <Package Folder>/files/abc.jar
- sh <Package Folder>/code-6413308/IaH2P9Qv6O5UmLKk -p <Package> -c com.eyfzv.auigd.entity.TangerineReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- libmiguED
- megjb
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
- DES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
