Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.392.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) m####.me####.com:80
- TCP(HTTP/1.1) apk-ope####.u####.pp.####.cn:80
- TCP(HTTP/1.1) r####.m####.t####.####.com:80
- TCP(HTTP/1.1) sqs####.3g.qq.com:80
- TCP(HTTP/1.1) a####.goal####.com:80
- TCP(HTTP/1.1) p####.tc.qq.com:80
- TCP(HTTP/1.1) trac####.v.tf.####.cn:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) s####.e.qq.com:80
- TCP(HTTP/1.1) 1####.161.253.16:80
- TCP(HTTP/1.1) android####.2####.com:80
- TCP(HTTP/1.1) mi.g####.qq.com:80
- TCP(HTTP/1.1) oai.wando####.com:80
- TCP(HTTP/1.1) gdv.a.s####.com:80
- TCP(HTTP/1.1) s####.tc.qq.com:80
- TCP(TLS/1.0) wn.pos.goal####.com:443
Запросы DNS:
- a####.goal####.com
- and####.b####.qq.com
- android####.2####.com
- apk-ope####.u####.pp.####.cn
- f####.19####.com
- imgc####.qq.com
- m####.me####.com
- m####.wcd.qq.com
- mi.g####.qq.com
- oai.wando####.com
- p####.ugd####.com
- pv.s####.com
- r####.m####.com
- s####.e.qq.com
- trac####.v.tf.####.cn
- wn.pos.goal####.com
Запросы HTTP GET:
- android####.2####.com/fs08/2018/05/28/11/110_07005d250f0f5bfe3efd0c39212...
- apk-ope####.u####.pp.####.cn/fs08/2018/05/28/7/110_76032dedf976075877fd3...
- gdv.a.s####.com/cityjson?ie=####
- m####.me####.com/rtb?type=####&d=####&b=####&p=####&l=####&s=####&m=####...
- mi.g####.qq.com/gdt_mview.fcg?datatype=####&posid=####&count=####&r=####...
- oai.wando####.com/fb/hc/df?dlType=####&ast=####
- oai.wando####.com/fb/hc/s?dlType=####&ast=####
- oai.wando####.com/redirect?signature=####&url=####&dlType=####&ast=####&...
- p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
- r####.m####.t####.####.com/myapp/rcps/d/93009/com.tencent.qqpimsecure_69...
- s####.tc.qq.com/gdt/0/DAARNTlAUAALQAAXBa8UVLCXKt6OH8.jpg/0?ck=####
- s####.tc.qq.com/gdt/0/DAAdWyMAUAALQABjBbCNuFDr2Pv2nC.jpg/0?ck=####
- sqs####.3g.qq.com/app?packageName=####&channelId=####
- trac####.v.tf.####.cn/s?type=####&r=####&tid=####&finfo=####&enup=####&m...
Запросы HTTP POST:
- a####.goal####.com/Bid/XianGuoJson.ashx
- and####.b####.qq.com/rqd/async
- s####.e.qq.com/activate
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/18ubqjg9fk4k7a978loxp8wm7
- /data/data/####/18ubqjg9fk4k7a978loxp8wm7.tmp
- /data/data/####/3yr7lsdszjxs8c0rvdx32tsts
- /data/data/####/3yr7lsdszjxs8c0rvdx32tsts.tmp
- /data/data/####/9c92in8aiq3ev7xvr1pqd3py
- /data/data/####/9c92in8aiq3ev7xvr1pqd3py.tmp
- /data/data/####/GDTSDK.db
- /data/data/####/GDTSDK.db-journal
- /data/data/####/bugly_db_legu-journal
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.corner123.universalandroot.root123_preferen...leted)
- /data/data/####/com.corner123.universalandroot.root123_preferences.xml
- /data/data/####/devCloudSetting.cfg
- /data/data/####/devCloudSetting.sig
- /data/data/####/gdt_plugin.jar
- /data/data/####/gdt_plugin.jar.sig
- /data/data/####/gdt_plugin.tmp
- /data/data/####/gdt_plugin.tmp.sig
- /data/data/####/gdt_suid
- /data/data/####/keeplist.db
- /data/data/####/keeplist.db-journal
- /data/data/####/libnfix.so
- /data/data/####/libshella-2.10.7.1.so
- /data/data/####/local_crash_lock
- /data/data/####/mix.dex
- /data/data/####/mobclick_agent_cached_com.corner123.universalan...234301
- /data/data/####/native_record_lock
- /data/data/####/sdkCloudSetting.cfg
- /data/data/####/sdkCloudSetting.sig
- /data/data/####/security_info
- /data/data/####/umeng_general_config.xml
- /data/data/####/update_lc
- /data/data/####/webview.db-journal
- /data/media/####/.nomedia
- /data/media/####/3b1461d2174c97ce1955c0db1062981a.cfg
- /data/media/####/3b1461d2174c97ce1955c0db1062981a.tmp
- /data/media/####/ApplicationsProvider.apk
- /data/media/####/ApplicationsProvider.odex
- /data/media/####/PicoTts.apk
- /data/media/####/PicoTts.odex
- /data/media/####/SpeechRecorder.apk
- /data/media/####/SpeechRecorder.odex
- /data/media/####/dc4a1f54ee6c809cde1068348e13e1ba.cfg
- /data/media/####/dc4a1f54ee6c809cde1068348e13e1ba.tmp
- /data/media/####/response.txt
- /system/xbin/1527500192775
- /system/xbin/1527500193338
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.build.rom.id
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- /system/bin/sh -c type su
- chmod 700 <Package Folder>/tx_shell/libnfix.so
- chmod 700 <Package Folder>/tx_shell/libshella-2.10.7.1.so
- chmod 700 <Package Folder>/tx_shell/libufix.so
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.fingerprint
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lenovo.series
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.build.display.id
- getprop ro.yunos.version
- logcat -d -v threadtime
- sh
- su
Загружает динамические библиотеки:
- Bugly
- libnfix
- libshella-2.10.7.1
- libufix
- nfix
- ufix
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует повышенные привилегии.
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
