Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Dowgin.3.origin
- Adware.Plague.1.origin
- Adware.Plague.3
- Android.DownLoader.234
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ads.w####.cn:80
- TCP(HTTP/1.1) im####.w####.cn.####.com:80
- TCP(HTTP/1.1) wap####.w####.cn.####.net:80
- TCP(HTTP/1.1) app.w####.cn:80
- TCP(HTTP/1.1) r####.uu.qq.com:80
- TCP(TLS/1.0) wap####.w####.cn.####.net:443
- TCP(TLS/1.0) jdbse####.b0.upa####.com:443
- TCP(TLS/1.0) hd.jieda####.com:443
Запросы DNS:
- ads.w####.cn
- app.w####.cn
- b.a####.com
- b1.a####.com
- b2.a####.com
- ev####.jieda####.com
- hd.jieda####.com
- ic.ie.0####.com
- im####.w####.cn
- jdb.jiuding####.com
- jdbse####.b0.upa####.com
- m.jieda####.com
- r####.uu.qq.com
- wap####.w####.cn
- www.jieda####.com
Запросы HTTP GET:
- ads.w####.cn/action/ad/show?app_id=####&udid=####&imsi=####&net=####&bas...
- ads.w####.cn/action/miniad/ad?app_id=####&udid=####&imsi=####&net=####&b...
- ads.w####.cn/action/pop_ad/ad?app_id=####&udid=####&imsi=####&net=####&b...
- app.w####.cn/action/connect/active?app_id=####&udid=####&imsi=####&net=#...
- im####.w####.cn.####.com/appfile/stuff/122b825a3c75dbef8a8599ab8651778c/...
- im####.w####.cn.####.com/appfile/stuff/17f86dcbfbb8524e3581cfb3d90d29f0/...
- im####.w####.cn.####.com/appfile/stuff/1d10224a038e5edf5712a9bc1e9f6232/...
- im####.w####.cn.####.com/appfile/stuff/3e5d97b60d7104037d0b99e6a00ad74a/...
- im####.w####.cn.####.com/appfile/stuff/45ce8e131cdf8c3af17b77ce9bd0e16f/...
- im####.w####.cn.####.com/appfile/stuff/480974b9981db89376952eb02502c9db/...
- im####.w####.cn.####.com/appfile/stuff/4f107bda894d5f390100c536bd5a50f6/...
- im####.w####.cn.####.com/appfile/stuff/56a0c8a2f42eb409ab464ee971f610d9/...
- im####.w####.cn.####.com/appfile/stuff/5a1ad8889e75a162b89a156158bcbc29/...
- im####.w####.cn.####.com/appfile/stuff/5d4146f964f9aae24652921480293d81/...
- im####.w####.cn.####.com/appfile/stuff/5ee3623197e100697973213dad187a08/...
- im####.w####.cn.####.com/appfile/stuff/78859789d1e159ead82f536bfeab08d0/...
- im####.w####.cn.####.com/appfile/stuff/7fe67c939d5fd7acb30f1e45ec0d6928/...
- im####.w####.cn.####.com/appfile/stuff/866107bce87e8d03244fe5fa3ddd3dff/...
- im####.w####.cn.####.com/appfile/stuff/88adb9de2934fce8705e3df43519141a/...
- im####.w####.cn.####.com/appfile/stuff/da92931c9f5ebb20d47e3973048509ce/...
- im####.w####.cn.####.com/appfile/stuff/e9ff9e5bd57e5b2e3454ddee63601db6/...
- im####.w####.cn.####.com/appfile/stuff/f96e545911d70bc089b411abf2273a18/...
- wap####.w####.cn.####.net/
- wap####.w####.cn.####.net/appfile/offer/js/jquery.min.js
- wap####.w####.cn.####.net/phone.html
- wap####.w####.cn.####.net/static/css/mobile.css
- wap####.w####.cn.####.net/static/img/downloadicon.png
- wap####.w####.cn.####.net/static/img/icon-leaf.png
- wap####.w####.cn.####.net/static/img/icon-leaf2.png
- wap####.w####.cn.####.net/static/img/logo-2-blue.png
- wap####.w####.cn.####.net/static/img/logo-2.png
- wap####.w####.cn.####.net/static/img/top-banner.png
- wap####.w####.cn.####.net/static/img/top-bg-1.png
- wap####.w####.cn.####.net/static/img/top-bg-2.png
- wap####.w####.cn.####.net/static/img/top-bg-3.png
- wap####.w####.cn.####.net/static/js/analysis.min.js
- wap####.w####.cn.####.net/static/js/libs/swiper.jquery.min.js
- wap####.w####.cn.####.net/static/js/libs/zepto.min.js
- wap####.w####.cn.####.net/static/js/menu.min.js
Запросы HTTP POST:
- app.w####.cn/action/user_info
- r####.uu.qq.com/rqd/sync
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/AppSettings.xml
- /data/data/####/CacheTime.dat
- /data/data/####/ShowAdFlag.xml
- /data/data/####/_csgpslocate_.xml
- /data/data/####/_msgpslocate_r.xml
- /data/data/####/_vsgpslocate_.xml
- /data/data/####/bugly_data.xml
- /data/data/####/bugly_db_lejiagu
- /data/data/####/bugly_db_lejiagu-journal
- /data/data/####/classes.jar
- /data/data/####/com.dcha.dex (deleted)
- /data/data/####/com.dcha.jar
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/dblll-journal
- /data/data/####/f_000001
- /data/data/####/gpslocate.jar
- /data/data/####/index
- /data/data/####/libshella-2.2.4.so
- /data/data/####/mix.dex
- /data/data/####/mobclick_agent_cached_com.GPSIII.gpslocate
- /data/data/####/mobclick_agent_header_com.GPSIII.gpslocate.xml
- /data/data/####/mobclick_agent_state_com.GPSIII.gpslocate.xml
- /data/data/####/mteeep.jar
- /data/data/####/pround.xml
- /data/data/####/reputation.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/wowow.jar
- /data/media/####/.nomedia
- /data/media/####/02b9313d25db38d27a98ab49cb131de2
- /data/media/####/0db174e566f0042df6d4e6a0bef7b194
- /data/media/####/13245f6d9d203cac520491a8aec6f84a
- /data/media/####/1fae5c14022873a3e85a1b6caa2f3c49
- /data/media/####/2af2faa4540afb9bdfa5d89164347313
- /data/media/####/46438af8107a26f8f63e5964efb81612
- /data/media/####/58d1760d15d7e7be6f869dc136eb6963
- /data/media/####/6119f79a1fdcb4fee304cb38a5d683d2
- /data/media/####/6e3c747518ef67456d6ce3f9ff018579
- /data/media/####/817baff03e6bb3559b9b3ef577c53b6e
- /data/media/####/82c1780bcc852cc1c8f5eaa427b698c3
- /data/media/####/9e33e6d071d6797bc024fc2a8fa171df
- /data/media/####/AppPackage.dat
- /data/media/####/CacheTime.dat
- /data/media/####/UnPackage.dat
- /data/media/####/android
- /data/media/####/beeb38a8a7f290df57b2643f89a40ef6
- /data/media/####/d8ec419691d0b780e9130ef03ce97223
- /data/media/####/de81494ac02e499dda0027c961a6976b
- /data/media/####/e6a840a07c0a997acd52574bdf714a46
- /data/media/####/ec985a17475a503a60627b1a0cac5b4b
- /data/media/####/f675427c698ba67678fc434a62624c49
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.build.rom.id
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- chmod 700 <Package Folder>/tx_shell/libshella-2.2.4.so
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.fingerprint
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lenovo.series
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.build.display.id
- getprop ro.yunos.version
- logcat -c
- logcat -d -v raw -s AndroidRuntime:E -p <Package>
- logcat -d -v threadtime
Загружает динамические библиотеки:
- Bugly
- curry
- libshella-2.2.4
Использует следующие алгоритмы для шифрования данных:
- DES
- DES-CBC-PKCS5Padding
- DES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
