Техническая информация
Вредоносные функции:
Отправляет СМС-сообщения:
- 10658000: SSDS
- 1065800830195200: 100#H9SXC01
- 10690400330213: myqxt<IMSI>
- 106904006189121: myqxt<IMSI>
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.441.origin
- Android.SmsSend.21305
- Android.SmsSend.23889
- Android.Spy.205.origin
- Android.Spy.398.origin
- Android.Triada.236.origin
- Android.Triada.243
- Android.Triada.248.origin
- Android.Triada.351.origin
- Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) pay.lik####.com:7820
- TCP(HTTP/1.1) wap####.b####.com:80
- TCP(HTTP/1.1) s####.tc.qq.com:80
- TCP(HTTP/1.1) dws.you####.com.####.com:8080
- TCP(HTTP/1.1) jx.ha####.com:80
- TCP(HTTP/1.1) hm.b####.com:80
- TCP(HTTP/1.1) tb1.bdst####.com:80
- TCP(HTTP/1.1) mbd.n.sh####.com:80
- TCP(HTTP/1.1) a####.xctr####.com:12580
- TCP(HTTP/1.1) i####.b####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) x####.ha####.com:80
- TCP(HTTP/1.1) 1####.27.154.102:1234
- TCP(HTTP/1.1) h5.b####.com:80
- TCP(HTTP/1.1) p1.i####.cc:80
- TCP(HTTP/1.1) pay.lik####.com:7830
- TCP(HTTP/1.1) j####.b####.com:80
- TCP(HTTP/1.1) s####.ha####.com:9999
- TCP(HTTP/1.1) www.huangda####.com:80
- TCP(HTTP/1.1) wap.n.sh####.com:80
- TCP(HTTP/1.1) jx####.ha####.com:9999
- TCP(TLS/1.0) b.bdst####.com:443
- TCP(TLS/1.0) box.jom####.com:443
- TCP(TLS/1.0) g####.bdst####.com:443
- TCP(TLS/1.0) ti####.jom####.com:443
- TCP(TLS/1.0) hpd.b####.com:443
- TCP(TLS/1.0) wx.h5-####.com:443
- TCP(TLS/1.0) ss0.b####.com:443
- TCP(TLS/1.0) hm.b####.com:443
- TCP(TLS/1.0) i####.b####.com:443
- TCP(TLS/1.0) wap.n.sh####.com:443
Запросы DNS:
- a####.u####.com
- a####.xctr####.com
- api.lik####.com
- b.bdst####.com
- do####.abc####.info
- dws.you####.com
- fex.bdst####.com
- g####.bdst####.com
- h5.b####.com
- hm.b####.com
- hpd.b####.com
- i####.b####.com
- j####.b####.com
- jx####.ha####.com
- jx.ha####.com
- m.b####.com
- mbd.b####.com
- p1.i####.cc
- pay.lik####.com
- r####.wx.qq.com
- s####.ha####.com
- s.bdst####.com
- ss0.b####.com
- ss1.b####.com
- ss2.b####.com
- tb1.bdst####.com
- timg####.b####.com
- up####.abc####.info
- wap####.b####.com
- www.huangda####.com
- wx.h5-####.com
- x####.ha####.com
Запросы HTTP GET:
- a####.xctr####.com:12580/log2?c=####
- dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.damai_p2018041...
- dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.miwan_p2018041...
- dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.myadv_p2017052...
- dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.mysdk_p2018032...
- dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.qipa_p20180419...
- dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.shangan_p20180...
- dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.taiku_p2017120...
- dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.utadv_p2017081...
- dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.yufeng_p201711...
- dws.you####.com.####.com:8080/upload/plugin/net.tt.plugin.zhongzhi_p2018...
- h5.b####.com/runtime/api/st?q=1524995916052&i=8c18f394-0183-e53c-9411-cd...
- hm.b####.com/hm.gif?cc=####&ck=####&cl=####&ds=####&vl=####&ep=####&et=#...
- hm.b####.com/hm.gif?cc=0&ck=1&cl=16-bit&ds=800x600&vl=681&et=0&ja=0&ln=e...
- hm.b####.com/hm.js?7ba0390####
- i####.b####.com/h5jscss/3de105a183436a4452e6cd6fca8f2dbd.main.css
- i####.b####.com/h5jscss/4d0224539977a28fba31e20279a7644d.help.js
- i####.b####.com/h5jscss/7724cc692e239d7be58b0c2a0bdfe3b9.main.js
- i####.b####.com/h5jscss/9871c8b3762cf49d090f31d5239d7212.data.js
- i####.b####.com/h5jscss/aio.js
- i####.b####.com/h5jscss/b83d7a78ba26c52504856e7a947371a6_zepto.min.js
- j####.b####.com/h5/bdprivilege.html?channel=####
- jx####.ha####.com:9999/page/getPageContent.do?IMSI=####&V=####&imei=####...
- jx.ha####.com/SdkNotity.aspx?i=####&v=####&c=####&av=####&dm=####&t=####...
- mbd.n.sh####.com/tcbox?action=####&_=####&data=####
- pay.lik####.com:7820/?igtcmd=####&iccid=####&imsi=####&imei=####&order=#...
- pay.lik####.com:7820/?igtcmd=####&nativePayCmd=####
- pay.lik####.com:7820/?igtcmd=####&nativePayCmd=####&iccid=####&price=###...
- pay.lik####.com:7820/?igtcmd=####&nativePayCmd=####&imsi=####
- pay.lik####.com:7820/?igtcmd=####&order=####&state=####&paymsg=####&fing...
- pay.lik####.com:7830/cdsapi?appid=####&merchantid=####&imsi=####&imei=##...
- pay.lik####.com:7830/openplg?appid=####&channelid=####
- s####.ha####.com:9999/log/stat.do?i=####&v=####&c=####&av=####&dm=####&t...
- s####.tc.qq.com/open/js/jweixin-1.0.0.js
- tb1.bdst####.com/tb/zt/yinyong02/jtb-0.5.0.min.js
- wap####.b####.com/static/tj.gif?&_=####&cuid=####&pid=####&from=####&cha...
- wap.n.sh####.com/
- wap.n.sh####.com/static/searchbox/openjs/share.js?v=####
- x####.ha####.com/getconfig.aspx
- x####.ha####.com/getjar.aspx?pno=####
- x####.ha####.com/versioncheck.aspx
Запросы HTTP POST:
- a####.u####.com/app_logs
- p1.i####.cc/index.php/MC/HB
- pay.lik####.com:7820/
- pay.lik####.com:7820/newsetlog
- www.huangda####.com/doking/smsd!hiReect.action
Изменения в файловой системе:
Создает следующие файлы:
- /data/anr/traces.txt
- /data/data/####/.imprint
- /data/data/####/0fbe2c48.apk
- /data/data/####/3245C0D0r256c6j9y9i1o8p7g7r4u3.xml
- /data/data/####/57CSXG4AkRf8mBYZ.zip
- /data/data/####/5e996899-25e5-4740-827b-2b4024fae208.zip
- /data/data/####/67FrdcF4gl2hImERCnpAug==.new
- /data/data/####/CONFIG.xml
- /data/data/####/DATA_DB-journal
- /data/data/####/KooVrmclnZxDD3BodBEzDw==.new
- /data/data/####/LGXEUljdGWi27Y-ctaxaHg==
- /data/data/####/Signature_0.key
- /data/data/####/aea56a9d18b3bc436e129e93e6e69f53.apk
- /data/data/####/appStatus.xml
- /data/data/####/base-1.apk
- /data/data/####/base-1.dex
- /data/data/####/base-1.dex (deleted)
- /data/data/####/bbf7b44b-248b-4eba-828e-49d8cc82692b.zip
- /data/data/####/config.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/dbinfo.xml
- /data/data/####/done
- /data/data/####/dp.apk
- /data/data/####/eOaNAKS7ZFL-EL5m7K1DVQ==
- /data/data/####/exchangeIdentity.json
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/f_00000c
- /data/data/####/f_00000d
- /data/data/####/f_00000e
- /data/data/####/f_00000f
- /data/data/####/heajva_f.zip
- /data/data/####/index
- /data/data/####/j6c652r0D0C5423-journal
- /data/data/####/n2-lXTPq9At8Dxrw
- /data/data/####/net.tt.plugin.damai (deleted)
- /data/data/####/net.tt.plugin.damai.apk
- /data/data/####/net.tt.plugin.miwan (deleted)
- /data/data/####/net.tt.plugin.miwan.apk
- /data/data/####/net.tt.plugin.myadv (deleted)
- /data/data/####/net.tt.plugin.myadv.apk
- /data/data/####/net.tt.plugin.mysdk (deleted)
- /data/data/####/net.tt.plugin.mysdk.apk
- /data/data/####/net.tt.plugin.qipa (deleted)
- /data/data/####/net.tt.plugin.qipa.apk
- /data/data/####/net.tt.plugin.shangan (deleted)
- /data/data/####/net.tt.plugin.shangan.apk
- /data/data/####/net.tt.plugin.taiku (deleted)
- /data/data/####/net.tt.plugin.taiku.apk
- /data/data/####/net.tt.plugin.utadv (deleted)
- /data/data/####/net.tt.plugin.utadv.apk
- /data/data/####/net.tt.plugin.yufeng (deleted)
- /data/data/####/net.tt.plugin.yufeng.apk
- /data/data/####/net.tt.plugin.zhongzhi (deleted)
- /data/data/####/net.tt.plugin.zhongzhi.apk
- /data/data/####/plugin.jar
- /data/data/####/pretw.xml
- /data/data/####/rdata_comwjkziukz.new
- /data/data/####/runtimeConfig.xml
- /data/data/####/tmp.NK2073
- /data/data/####/tmp.ed2073
- /data/data/####/twc.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/wochi_v4.db-journal
- /data/media/####/.config
- /data/media/####/WyyyCrashLog_20180429095849_2169.log
- /data/media/####/qsha_80001_5099.jar
- /data/media/####/qshp_3003_2298.zip
- /data/media/####/tw
- /data/media/####/tw.jar
- /data/media/####/u.apk
Другие:
Запускает следующие shell-скрипты:
- /system/bin/netcfg
- cat /sys/block/mmcblk0/device/cid
- chmod -R 755 <Package Folder>/Plugin
- ls -l /system/bin/su
Загружает динамические библиотеки:
- ghjazdfk
- nmardfwc
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES-ECB-NoPadding
- DES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Осуществляет доступ к информации об отправленых/принятых смс.
