Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.248.origin
- Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) zvi####.v.qin####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(TLS/1.0) h####.b####.com:443
- TCP(TLS/1.0) pay.v####.com.cn:443
Запросы DNS:
- f.up.v####.####.cn
- h####.b####.com
- l.ace####.com
- loc.map.b####.com
- pay.v####.com.cn
Запросы HTTP POST:
- loc.map.b####.com/sdk.php
- zvi####.v.qin####.com/usrsys/reportUsrsys?version=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1143945219847306209
- /data/data/####/-CHRjdwzv732lP5p3emPuHAlL8o=.new
- /data/data/####/05NtntBTWq-SpRaMTTF-OQ==.new
- /data/data/####/12lYTMB-WBpulto6YvgSfA==
- /data/data/####/5ZUWyyP-uQ_ljWTU4pabeTGICurmkJKI46LXralyk0E=.new
- /data/data/####/8X_3JENBIcHW0lXydC_MAi61gEpMDFls.new
- /data/data/####/9bEk52TTKi3J-SxPagf5xQqUJL7i9dWQZuENwIxzbv0=.new
- /data/data/####/A277RMD_L92fkU8WYOVDSVpBYqvLyASn.new
- /data/data/####/B_KGchUe7JagUm2HnmagYg==.new
- /data/data/####/DTYjshK4-38ug4tuiM3sx2-AP2aQjuzV.new
- /data/data/####/Da-QZUst26tQFWqi8Ld6LGQJ_gczq6ACaS2yBA==_3wSD8P...gvShw=
- /data/data/####/Da-QZUst26tQFWqi8Ld6LGQJ_gczq6ACaS2yBA==_3wSD8P...ournal
- /data/data/####/Da-QZUst26tQFWqi8Ld6LGQJ_gczq6ACaS2yBA==_JRhn8W...ournal
- /data/data/####/Da-QZUst26tQFWqi8Ld6LGQJ_gczq6ACaS2yBA==_OzJGTK...ournal
- /data/data/####/Da-QZUst26tQFWqi8Ld6LGQJ_gczq6ACaS2yBA==_OzJGTK...tuoQ==
- /data/data/####/Da-QZUst26tQFWqi8Ld6LGQJ_gczq6ACaS2yBA==_UXIwAE...clWw==
- /data/data/####/Da-QZUst26tQFWqi8Ld6LGQJ_gczq6ACaS2yBA==_UXIwAE...ournal
- /data/data/####/Da-QZUst26tQFWqi8Ld6LGQJ_gczq6ACaS2yBA==_X196Al...ournal
- /data/data/####/Da-QZUst26tQFWqi8Ld6LGQJ_gczq6ACaS2yBA==_X196AllTqQdZKJQy
- /data/data/####/EAelDzEWxARBmC9o.new
- /data/data/####/HGHJ-MbzUkAU2lMPiiqDRFD3o7A=.new
- /data/data/####/Hna6tGwtVS3RmxKVMdqY3FCFmikc7NCw.new
- /data/data/####/IPlmj1tJTide7iCDSIkcNy1a36lGmhzWHlpzGw==.new
- /data/data/####/Jdvb11kUQpkyBHOhcHWVCe0SzOI=.new
- /data/data/####/Lb_WkUBtobv-m3iF.zip
- /data/data/####/OfKgKs7yMTpgUDXcB5OgAS5Kja6HgqRx.new
- /data/data/####/QyiQ0y54mIH40ghlPcYFQLl1-z6JnEBL.new
- /data/data/####/ToCHAL7kkDj1uxMERfYErj2dkiE3OheldNGGc_0sZSQ=.new
- /data/data/####/UpSQE0Qx2plEWa3d03BregoPGERx9dnUX64yt3jSP_w=.new
- /data/data/####/W9orM4-47OQYOjpggktao9yIf8g=.new
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/account_eb789b3b44_6a23c3a03049360849d5989f5cf8aebe
- /data/data/####/account_eb789b3b44_7653cd671839a19cfcae50841a3fb6c6
- /data/data/####/com.Tzll.RenZXY.vivo.v2.playerprefs.xml
- /data/data/####/com.Tzll.RenZXY.vivo_preferences.xml
- /data/data/####/eb789b3b44__local_stat_cache.json
- /data/data/####/gjADGvQ5YjTXG265
- /data/data/####/libcuid.so
- /data/data/####/m9t6G5cpOvj9W09X2ZEsfPwvaip4qKgu.new
- /data/data/####/mkekjkqISX42t6R5FtV40WaQZjE=.new
- /data/data/####/nL13m7mVnW7kx8q-uIDyAA==.new
- /data/data/####/nf8HixImobDUIMECeIGTUwDAzR0=
- /data/data/####/olKTdThemLc4yE_wp9bLgsgxtyQ=.new
- /data/data/####/poEV5djABDFj8BVISHyt_Oeqk_k=.new
- /data/data/####/prefs_vivounionsdk.xml
- /data/data/####/qfxFKZi_qhkn2dhBKSfs-YhXB_be_Urvz3ZsXA==.new
- /data/data/####/qosPY6S28l4bTyBtHK_TFtDP94_bUNGAni5ZrQ==.new
- /data/data/####/rdata_comvikqnwimva.new
- /data/data/####/runner_info.prop.new
- /data/data/####/trackevents.db-journal
- /data/data/####/txipag_f.dex
- /data/data/####/txipag_f.zip
- /data/data/####/unionuserinfo.db-journal
- /data/data/####/vivounionapk_v2.2.41_a1e788e_201708101947.vua
- /data/data/####/w6AhC5fA57ukkoMPgGw7N2ZNOnrl6xtT.new
- /data/data/####/zetuuggqYlsffZIp5wWIFw==
- /data/data/####/znqIvR3n-n7rHAjf
- /data/media/####/.confd
- /data/media/####/.confd-journal
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/.timestamp
- /data/media/####/.uunique.new
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/r_pkDgN4OhnkSa0D
- /data/media/####/sdkaccountinfo.db
- /data/media/####/sdkaccountinfo.db-journal
- /data/media/####/vivounionapk_v2.2.41_a1e788e_201708101947.vua
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-8850696/gjADGvQ5YjTXG265 -p <Package> -c com.vikqn.wimva.entity.ChestnutReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.version
- getprop ro.yunos.version
- sh <Package Folder>/code-8850696/gjADGvQ5YjTXG265 -p <Package> -c com.vikqn.wimva.entity.ChestnutReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- AudioPluginOculusSpatializer
- main
- vivo_account_sdk
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
