Техническая информация
Вредоносные функции:
Отправляет СМС-сообщения:
- 106901332942: rg|652|AhB3j.S11wiZPLfC4voMlAPLf5l4OMLO8Og5z74T386A3bk6UX1ERRc4xAjFQK3vVZemPUPQbxF0W4EbPKpeJAE6i0ABZvKRlJBHgDDHDNU!
Загружает на исполнение код следующих детектируемых угроз:
- Android.BankBot.125
- Android.DownLoader.554.origin
- Android.DownLoader.683.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) xxa####.funu####.com:9116
- TCP(HTTP/1.1) cdn.img.h####.####.com:80
- TCP(HTTP/1.1) csk.mc####.com:9003
- TCP(HTTP/1.1) 1####.76.224.67:80
- TCP(HTTP/1.1) pss.al####.com:80
- TCP(HTTP/1.1) 1####.55.161.68:29092
- TCP(HTTP/1.1) si.mi.smxy####.com:80
- TCP(HTTP/1.1) cdn.app.ne####.####.com:80
- TCP(TLS/1.0) up####.weihu####.com:443
- TCP(TLS/1.0) ho####.h####.top:443
- TCP(TLS/1.0) pns.al####.com:443
Запросы DNS:
- cdn.app.ne####.top
- cdn.game####.org
- cdn.img.h####.top
- csk.mc####.com
- ho####.h####.top
- i.t####.com
- pns.al####.com
- pss.al####.com
- pus.al####.com
- si.mi.smxy####.com
- up####.weihu####.com
- xxa####.funu####.com
Запросы HTTP GET:
- cdn.app.ne####.####.com/swenjian/fiv
- cdn.img.h####.####.com/upload/201805/8/img/20180508175440871.png
- si.mi.smxy####.com/j?a=####
Запросы HTTP POST:
- csk.mc####.com:9003/csk/st_c/cn_i_sec.json
- csk.mc####.com:9003/csk/st_c/cn_sk_login.json
- csk.mc####.com:9003/csk/st_c/getst_tegy.json
- pss.al####.com/iku/log/acc
- xxa####.funu####.com:9116/hwsdk/ul/domain
- xxa####.funu####.com:9116/hwsdk/ul/preDownload
- xxa####.funu####.com:9116/hwsdk/ul/sales
- xxa####.funu####.com:9116/hwsdk/ul/task
- xxa####.funu####.com:9116/hwsdk/ul/update
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/3c1e0985093cceca4f16f5f8da551f103|account_file.xml
- /data/data/####/4fcdfc2f-24d7-4a80-8edd-680da235cbd0
- /data/data/####/Cocos2dxPrefsFile.xml
- /data/data/####/Cocos2dxPrefsFile.xml.bak (deleted)
- /data/data/####/JyService.dex
- /data/data/####/JyService.jar
- /data/data/####/TDpref_game.xml
- /data/data/####/UrlMes.xml
- /data/data/####/VgpActivity.xml
- /data/data/####/aa
- /data/data/####/ad_db
- /data/data/####/ad_db-journal
- /data/data/####/adrlt.db
- /data/data/####/adrlt.db-journal
- /data/data/####/alldown.xml
- /data/data/####/anlth.xml
- /data/data/####/app_test.apk
- /data/data/####/app_test.dex (deleted)
- /data/data/####/bc1d5fea-b07a-4f69-bc05-f5faa456a283.dex
- /data/data/####/bc1d5fea-b07a-4f69-bc05-f5faa456a283.jar
- /data/data/####/brushs.xml
- /data/data/####/bzwn.db
- /data/data/####/bzwn.db-journal
- /data/data/####/cds.xml
- /data/data/####/cjl.dex
- /data/data/####/cjl.dex (deleted)
- /data/data/####/cjl.jar
- /data/data/####/cnm.apk
- /data/data/####/cnm.dex
- /data/data/####/cnm.dex (deleted)
- /data/data/####/dcidwhdg.jar
- /data/data/####/dla.db
- /data/data/####/dla.db-journal
- /data/data/####/dom.db
- /data/data/####/dom.db-journal
- /data/data/####/down.db
- /data/data/####/down.db-journal
- /data/data/####/ebn.xml
- /data/data/####/ebn.xml.bak (deleted)
- /data/data/####/f5a623c6-4d9c-4b01-b236-4815b540f87e
- /data/data/####/fjlo
- /data/data/####/hoscfg.xml
- /data/data/####/isPower.xml
- /data/data/####/iyup.dex
- /data/data/####/iyup.dex (deleted)
- /data/data/####/iyup.jar
- /data/data/####/lamr
- /data/data/####/lkie
- /data/data/####/nhl.dex (deleted)
- /data/data/####/nhl.jar
- /data/data/####/pcdnconfigs.xml
- /data/data/####/qipa
- /data/data/####/qwcs
- /data/data/####/savedata.db
- /data/data/####/savedata.db-journal
- /data/data/####/tdid.xml
- /data/data/####/vcmhrmiliu.xml
- /data/data/####/vxxsotfm
- /data/data/####/wo.dex
- /data/data/####/wo.dex (deleted)
- /data/data/####/wo.jar
- /data/data/####/wula.xml
- /data/media/####/.tcookieid
- /data/media/####/030659155233879cd0e918cc8a943e00.apk
- /data/media/####/2a2f7a3feef67
- /data/media/####/ap316.tmp
- /data/media/####/ap316.tmp (deleted)
- /data/media/####/im316.tmp
- /data/media/####/log.txt
- /data/media/####/mwxrwyswA0EUiBtt9S5IvzR!@#33TM6C8+FaCwGT7M650o=
- /data/media/####/vcmhrmiliu.xml
Другие:
Запускает следующие shell-скрипты:
- chmod 777 /storage/emulated/0/instal/030659155233879cd0e918cc8a943e00.apk
Загружает динамические библиотеки:
- cocos2dcpp
- dove
- null
- pcdn_acc
Использует следующие алгоритмы для шифрования данных:
- AES
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- DES-CBC-PKCS5Padding
- DESede
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
