Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.248.origin
- Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) img####.v####.com.cn:80
- TCP(HTTP/1.1) i.t####.com:80
- TCP(HTTP/1.1) cdn.sl####.com.####.com:80
- TCP(HTTP/1.1) 1####.29.74.131:80
- TCP(HTTP/1.1) zvi####.v.qin####.com:80
- TCP(HTTP/1.1) www.go####.com:80
- TCP(HTTP/1.1) 1####.76.224.67:80
- TCP(TLS/1.0) ssl.gst####.com:443
- TCP(TLS/1.0) acco####.go####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) gv1.x####.com:443
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) c####.x####.com:443
- TCP(TLS/1.0) ssp.v####.com.####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) adser####.go####.com:443
- TCP(TLS/1.0) www.go####.nl:443
- TCP(TLS/1.0) pay.v####.com.cn:443
Запросы DNS:
- a####.v####.com.cn
- acco####.go####.com
- adser####.go####.com
- c####.x####.com
- cdn.sl####.com
- f####.gst####.com
- f.up.v####.####.cn
- gv1.x####.com
- i.t####.com
- img####.v####.com.cn
- l.ace####.com
- pay.v####.com.cn
- ssl.gst####.com
- ssp.v####.com.cn
- www.go####.com
- www.go####.nl
- www.gst####.com
Запросы HTTP GET:
- cdn.sl####.com.####.com/unitedpay_sdk/version
- i.t####.com/a/3c1e0985093cceca4f16f5f8da551f103
- img####.v####.com.cn/appstore/developer/icon/20180522/201805221531095466...
- www.go####.com/complete/search?hl=####&client=####&q=####
Запросы HTTP POST:
- l.ace####.com/ando/v2/lv?app_id=####&r=####
- zvi####.v.qin####.com/usrsys/reportUsrsys?version=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1143945219847306209
- /data/data/####/0348736c-f0c4-4e1a-a081-84c88fdb7407
- /data/data/####/0bca629e733fca94.jar
- /data/data/####/0d7ea00b-790d-4ae8-b967-14b59472c4c6
- /data/data/####/112bfc39-876f-42a3-b547-73c6eef2cfda.jar
- /data/data/####/14dca6cfe8434791449507b1668bc0fa|account_file.xml
- /data/data/####/1528551325989_2059
- /data/data/####/1528551326646_2059
- /data/data/####/1528551339893_2191
- /data/data/####/1528551340721_2191
- /data/data/####/1528551340949_2191
- /data/data/####/1528551353832_2268
- /data/data/####/1528551359048_2419
- /data/data/####/1528551376716_2538
- /data/data/####/1528551378641_2538
- /data/data/####/1528551378809_2538
- /data/data/####/1528551379040_2538
- /data/data/####/18cdeca8ea212545.jar
- /data/data/####/18f28993-694f-4a38-b742-da277208945f.jar
- /data/data/####/21ef42ba-a4d5-438c-a67d-098c5e4a6e52
- /data/data/####/23823ee83469efe2.jar
- /data/data/####/23cf5cf65863be93.jar
- /data/data/####/2a27329e-8161-46e1-a0a7-1d8ebc615397.jar
- /data/data/####/5Gfzum3JlhmOC_OpdVpZmAp3ksQ=.new
- /data/data/####/6836c280-f52c-437a-93c1-5deed34ec8b2
- /data/data/####/72fe7b40ae88f052.jar
- /data/data/####/84f2391f5ad8c139.jar
- /data/data/####/8bwjZi3BFEIQg50htET9js4BhP2yjyFtEbr0LHSkRJY=.new
- /data/data/####/9GQ1TPNk0NtSoUNzD1ElgPmiwb7_smlQoRslg6vA_aw=.new
- /data/data/####/9UZPZXV_PGAQipnN2nsxig==.new
- /data/data/####/Archimedes_p4
- /data/data/####/Archimedes_p5
- /data/data/####/D3woW1ormDuSNW-GGL8tSA==.new
- /data/data/####/ETDxSyw0QvWE8ggO3GzC6A==
- /data/data/####/Et2NJtqi6NAOwXpD
- /data/data/####/FAUEPVmwsjwkmmM2Nki_3yKKMps=.new
- /data/data/####/FrGEGeHGihzdGRwMXP_OE2lqwnsOLZ5qUrSz5A==.new
- /data/data/####/G-bc-OOcaVaxB9_diRJV5PHf6os=
- /data/data/####/LLZ5pj84IHmUEcsM6d6QtbGdsRsUu1jIBVotdrvckJ4=.new
- /data/data/####/Lyaakm7CWh7q3fbYPNFXKj9H5sE=.new
- /data/data/####/Pythagoras_phase.xml
- /data/data/####/Q1FKVPa_75p0BclNPQlLyObEBJ7NbJts.new
- /data/data/####/QfsFkipl4jjX688zrjoYSjz3KhH1ar9R.new
- /data/data/####/RIfCf15pELa4s-dZ_3sEYXMDS4RbdtbB.new
- /data/data/####/SUBOXLOG_
- /data/data/####/T34WeREK8MKVVn_H1pR4UNyL9vOrQJ3I.new
- /data/data/####/T8w4cv8v6WjtsvmFluGdOYa3FGtLIKmbcanPB_jRt8c=.new
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/TDpref_cloudcontrol3.xml
- /data/data/####/TDpref_game.xml
- /data/data/####/TDpref_longtime.xml
- /data/data/####/TDpref_longtime3.xml
- /data/data/####/TDpref_shorttime.xml
- /data/data/####/VivoOpenAdSDK.xml
- /data/data/####/WecedGvOIoHTKAcXxnJ-DBpFgZ9Xdpra.new
- /data/data/####/_Sk91hJs55DytHxbEavedtpzxV4=.new
- /data/data/####/a2bfb189126db37b.jar
- /data/data/####/a3gX-kUhkvzbAYF8HDnUXgQcKTIfthXWDOmVHw==.new
- /data/data/####/a45c79e8a2174d30.jar
- /data/data/####/aC92k8SEJpm5lcPLQT5jIv8HQ14=.new
- /data/data/####/afvA6EvPyZVuojAl2wK1MVFUMzCqype-.new
- /data/data/####/bK5YqbMbI53i6p1PI_gy5Q==.new
- /data/data/####/bad54810-be16-4f84-a6c6-b2466439dc9d.jar
- /data/data/####/bdfcc931d66bdff0.jar
- /data/data/####/c1602308fa4aa7b2.jar
- /data/data/####/c244dfdeee8790b99e8249714aa9422a_41deba51eebe44...379792
- /data/data/####/c253fc262fe5efed.jar
- /data/data/####/cee4c0f8-ee12-4dfd-8c1f-29515d918b60
- /data/data/####/codex.so
- /data/data/####/codex_inner.so
- /data/data/####/com.cqwx.hcrss.vivo.v2.playerprefs.xml
- /data/data/####/com.cqwx.hcrss.vivo_preferences.xml
- /data/data/####/d2636ce4-bf14-4368-a635-59ca92bb0d74.jar
- /data/data/####/dHkUeVTaU2K36Pxjv6k-dQ==
- /data/data/####/dj4Zrz06loLpqb6ItwA-Uj-jbEhrcrLklN_PHQu1HBBSaem...NyNQ==
- /data/data/####/dj4Zrz06loLpqb6ItwA-Uj-jbEhrcrLklN_PHQu1HBBSaem...h5BqJs
- /data/data/####/dj4Zrz06loLpqb6ItwA-Uj-jbEhrcrLklN_PHQu1HBBSaem...ournal
- /data/data/####/dj4Zrz06loLpqb6ItwA-Uj-jbEhrcrLklN_PHQu1HBBSaem...qi4A==
- /data/data/####/dj4Zrz06loLpqb6ItwA-Uj-jbEhrcrLklN_PHQu1HBBSaem...xa1Ow=
- /data/data/####/eN-yK9CykldMi5C6cq3WjG1cirY=.new
- /data/data/####/ekfNpWKRd2JnikXx_feeGlPVtus=.new
- /data/data/####/g4PLLPRrNCU9SwKt47NvoYI6BC4bz4H_.new
- /data/data/####/igJxDuupfa4naZcy
- /data/data/####/j1q0jr4980zqkPhu.new
- /data/data/####/lemuel_security_inner.so
- /data/data/####/mAc1BvSky2ewFASLCxU2YSJ4yYCd_csy.new
- /data/data/####/mPBE.xml
- /data/data/####/prefs_vivounionsdk.xml
- /data/data/####/rdata_comcqwxhcrssnearmegamecenter.new
- /data/data/####/runner_info.prop.new
- /data/data/####/sbepva_f.zip
- /data/data/####/tdid.xml
- /data/data/####/trackevents.db-journal
- /data/data/####/uWQ2X_p7xxFbGw_x.zip
- /data/data/####/unionuserinfo.db-journal
- /data/data/####/vivoopenadsdk.db
- /data/data/####/vivoopenadsdk.db-journal
- /data/data/####/vivounionapk_v2.2.1_a1381cb_201704101737.vua
- /data/data/####/y7RGJlwrOvJicHlSX5oBsFNYlX-qoBloa47IQQ==.new
- /data/media/####/.nomedia
- /data/media/####/.tcookieid
- /data/media/####/.uunique
- /data/media/####/.uunique.new
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/r_pkDgN4OhnkSa0D
- /data/media/####/sdkaccountinfo.db
- /data/media/####/sdkaccountinfo.db-journal
- /data/media/####/vivounionapk_v2.2.1_a1381cb_201704101737.vua
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-8277467/igJxDuupfa4naZcy -p <Package> -c com.cqwx.hcrss.nearme.gamecenter.entity.HollyReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- getprop
- sh <Package Folder>/code-8277467/igJxDuupfa4naZcy -p <Package> -c com.cqwx.hcrss.nearme.gamecenter.entity.HollyReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- AudioPluginOculusSpatializer
- _lemuel_security
- codex
- codex_inner
- lemuel_security_inner
- main
- vivo_account_sdk
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
