Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Mixi.33.origin
Скрывает свою иконку с экрана устройства.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) hg.hig####.today:80
- TCP(HTTP/1.1) b90c####.cdn.uc####.####.cn:80
- TCP(HTTP/1.1) api.h####.top:9000
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) www.goo####.software:80
- TCP(HTTP/1.1) hc.z####.today:8082
- TCP(TLS/1.0) api.bianxia####.com:443
- TCP(TLS/1.0) f####.bianxia####.com:443
- TCP(TLS/1.0) i####.bianxia####.com:443
- TCP(TLS/1.0) buy.bianxia####.com:443
Запросы DNS:
- a####.u####.com
- api.bianxia####.com
- api.h####.top
- buy.bianxia####.com
- f####.bianxia####.com
- hc.s####.top
- hc.z####.today
- hg.hig####.today
- i####.bianxia####.com
- www.goo####.software
Запросы HTTP GET:
- api.h####.top:9000/api/channel/cfg?ipv4=####&model=####&os_ver=####&vend...
- b90c####.cdn.uc####.####.cn/gpfile/pfiles/1500809497389.slz
- b90c####.cdn.uc####.####.cn/gpfile/pfiles/1500809763387.slz
- b90c####.cdn.uc####.####.cn/gpfile/pfiles/1500809811269.slz
- b90c####.cdn.uc####.####.cn/gpfile/pfiles/1500809824846.slz
- b90c####.cdn.uc####.####.cn/gpfile/pfiles/1500809904349.slz
- b90c####.cdn.uc####.####.cn/gpfile/pfiles/1500809930147.slz
- b90c####.cdn.uc####.####.cn/gpfile/pfiles/1500810016794.slz
- b90c####.cdn.uc####.####.cn/gpfile/pfiles/1500810035053.slz
- b90c####.cdn.uc####.####.cn/gpfile/pfiles/1500810168210.slz
- b90c####.cdn.uc####.####.cn/gpfile/pfiles/gofile/des_V17041702Aj1so32.zip
- b90c####.cdn.uc####.####.cn/gpfile/pfiles/new/start_v180521003.dat
- hg.hig####.today/cr/sv/getRltNew?eid=####&estatus=####&appkey=####&pid=#...
- www.goo####.software/cr/sv/getGoFile?name=####
- www.goo####.software/cr/sv/getRecord?eids=####&appKey=####&flag=####
Запросы HTTP POST:
- a####.u####.com/app_logs
- hc.z####.today:8082/spdumread/service/rtLogRecord
- hg.hig####.today/cr/sv/getEPList
- hg.hig####.today/cr/sv/mList
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.md
- /data/data/####/1528279085532_V17041702Aj1so32.so
- /data/data/####/1805.jar
- /data/data/####/31667E4EA14FC6E142EF24D4CC4CDA51
- /data/data/####/408.jar
- /data/data/####/421.jar
- /data/data/####/430.jar
- /data/data/####/4D2E41F120655C59C1C0864FCB064428
- /data/data/####/52E400662627DAFDFAD664AA50EF0EE9
- /data/data/####/5iiu2DB8520H46
- /data/data/####/610.jar
- /data/data/####/611.jar
- /data/data/####/617.jar
- /data/data/####/640.jar
- /data/data/####/65DE93F0C998A1428DFA2EB11BA820D0
- /data/data/####/806.jar
- /data/data/####/8EE6EA479BCD8D9A5BBE7D665BB20E72
- /data/data/####/93A10EA7D0305CC432A05415DB0A7CFD
- /data/data/####/E16D96253F4E47467E89FC784AAEA7DE
- /data/data/####/E3C9E9B38B3BB8F0FD80F281D7EE32BF
- /data/data/####/E86A0C095CB8A1466011C70119D537B7
- /data/data/####/android_system.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.app.thui.iiu12golden2
- /data/data/####/com.app.thui.iiu_preferences.xml
- /data/data/####/com.app.thui.iiu_preferences.xml.bak
- /data/data/####/d007f261858ccbc979e5749d772cb22b.0.tmp
- /data/data/####/d007f261858ccbc979e5749d772cb22b.1.tmp
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/gpdu
- /data/data/####/hftJcw46N.jar
- /data/data/####/index
- /data/data/####/journal.tmp
- /data/data/####/ngjup
- /data/data/####/samsung112.jar
- /data/data/####/test
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/us.908GhK3z1XIE6J7u3B4nRKlfEI88s
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/android_fm.id
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/.play/test <Package Folder>/files/.play/ c98c128196ed8896696abc9d8896b837
- <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s -h c98c128196ed8896696abc9d8896b837 <Package Folder>/.syslib-
- chmod 0771 <Package Folder>/.syslib-
- chmod 770 <Package Folder>/files/.play/test
- getenforce
- rm -f <Package Folder>/files/hftJcw46N.dex
- rm -f <Package Folder>/files/hftJcw46N.jar
- rm -f <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s
- rm <Package Folder>/files/hftJcw46N.dex
- rm <Package Folder>/files/hftJcw46N.jar
- rm <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s
- sh -c /system/usr/toolbox rm -f <Package Folder>/files/hftJcw46N.dex > /dev/null 2>&1
- sh -c /system/usr/toolbox rm -f <Package Folder>/files/hftJcw46N.jar > /dev/null 2>&1
- sh -c /system/usr/toolbox rm -f <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s > /dev/null 2>&1
- sh -c rm <Package Folder>/files/hftJcw46N.dex > /dev/null 2>&1
- sh -c rm <Package Folder>/files/hftJcw46N.jar > /dev/null 2>&1
- sh -c rm <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s > /dev/null 2>&1
- sh -c rm -f <Package Folder>/files/hftJcw46N.dex > /dev/null 2>&1
- sh -c rm -f <Package Folder>/files/hftJcw46N.jar > /dev/null 2>&1
- sh -c rm -f <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s > /dev/null 2>&1
- sh <Package Folder>/files/.play/test <Package Folder>/files/.play/ c98c128196ed8896696abc9d8896b837
- sh <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s -h c98c128196ed8896696abc9d8896b837 <Package Folder>/.syslib-
Загружает динамические библиотеки:
- 1528279085532_V17041702Aj1so32
- ngjup
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
