Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.248.origin
- Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) 2####.86.5.167:14840
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) int.d####.s####.####.cn:80
Запросы DNS:
- a####.u####.com
- and####.b####.qq.com
- int.d####.s####.####.cn
- l.ace####.com
Запросы HTTP POST:
- a####.u####.com/app_logs
- and####.b####.qq.com/rqd/async
- int.d####.s####.####.cn/iplookup/iplookup.php
- l.ace####.com/ando/v4/lv?app_id=####&r=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/4pDXotF8MZHFzBralfnsJFnSzzU=.new
- /data/data/####/4z-e2R28tqF9nsVX-24t-A==.new
- /data/data/####/50nrPUWrYqXbPTdBMEjzHA==.new
- /data/data/####/59NJAblDkeJAWgzRS_0dZKDMVMCsNvUJhTinbqjvydM=.new
- /data/data/####/5g2utvgM7P3jtPJtgd5Gw2I7gmOl47tr.new
- /data/data/####/77f2DrcVlJcQZRNY_UTk-w==
- /data/data/####/7LMV7r8k6KPy4hpTXVV3xVvKHYF8vnVc.new
- /data/data/####/CKunYcYkfPtvbTHc
- /data/data/####/CitiGame.ini.xml
- /data/data/####/D0mWXjy024YeI3btwWIwYchTdChnRjLkXdjRWA==.new
- /data/data/####/D8q3U6z3_uyNEjJNM5zzoQYRjXogXmEkcAQPwP2jjug=.new
- /data/data/####/FGkOUNc7cxe8Ezaz.zip
- /data/data/####/GmF6cciu8OFuS6GLs4o_S_x0-IKIsuMM.new
- /data/data/####/KW3g7BRQKZgAGLTz--ndULhSxfENQbj0.new
- /data/data/####/LD7Ge4xWJvP251quw5E8dhHMXnk=.new
- /data/data/####/NREZ5uHZSzB2frOrYGcha96WRLPaICivO656Aw==_9pxYAw...YAZXU=
- /data/data/####/NREZ5uHZSzB2frOrYGcha96WRLPaICivO656Aw==_9pxYAw...ournal
- /data/data/####/NREZ5uHZSzB2frOrYGcha96WRLPaICivO656Aw==_K61b9N...bvCw==
- /data/data/####/NREZ5uHZSzB2frOrYGcha96WRLPaICivO656Aw==_K61b9N...ournal
- /data/data/####/NREZ5uHZSzB2frOrYGcha96WRLPaICivO656Aw==_OKbXvU...ournal
- /data/data/####/NREZ5uHZSzB2frOrYGcha96WRLPaICivO656Aw==_OKbXvUf4O4eb4laf
- /data/data/####/NREZ5uHZSzB2frOrYGcha96WRLPaICivO656Aw==_WVN3Lt...ournal
- /data/data/####/NREZ5uHZSzB2frOrYGcha96WRLPaICivO656Aw==_Xs1m0I...f29g==
- /data/data/####/NREZ5uHZSzB2frOrYGcha96WRLPaICivO656Aw==_Xs1m0I...ournal
- /data/data/####/NnCS5zLqGtfnd3EdELcDDQ==
- /data/data/####/OoJwYs5Oekwix-avA8MedJWCbfklD5jJ.new
- /data/data/####/QKSG4O1k4yG8f9Wk.new
- /data/data/####/SUQrYwGGu5qpW6QSiH-_ADELHcZ4GDkDIjeyYcYBqlU=.new
- /data/data/####/UXNu65rQez8v06e5WWuHBEFseMSx3V8c8Dl6cA==.new
- /data/data/####/YNlaoeKqcUTvMtzgumjCf4FyNklouL-SuxHhOA==.new
- /data/data/####/_Uj-Nzr9OxKyZB83vo-4BeV6kHuQlSZM.new
- /data/data/####/bgX7DbIQYzJ_vBqNaP8ZYmDXlj4=.new
- /data/data/####/bugly_db_legu-journal
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/dXEUlGAyur7Y1PGpkVfa-ezomPyMORsF.new
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/fDHLSowYB9tgF7lpcspn_7a35Fc=.new
- /data/data/####/gamedata.xml
- /data/data/####/gamedata.xml.bak
- /data/data/####/henybq_f.zip
- /data/data/####/lKAo0BgeywzfeRDz
- /data/data/####/libnfix.so
- /data/data/####/libshella-2.8.so
- /data/data/####/libufix.so
- /data/data/####/local_crash_lock
- /data/data/####/mix.dex
- /data/data/####/myData.xml
- /data/data/####/native_record_lock
- /data/data/####/pIwoK8BQt6MGHDwUJTEQA7ns4X4=.new
- /data/data/####/pJKnJuP1qu_7YVsbUOGuO5wj925WFITHOPf5ab3CtZU=.new
- /data/data/####/rQzixuUiW2u_aHfRJtB8GUQgiZ8=.new
- /data/data/####/rdata_comzsfztqcgdzz.new
- /data/data/####/runner_info.prop.new
- /data/data/####/security_info
- /data/data/####/t1z9EjYHrzdGzkWNqSAAK4u4nyE=
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/vlxX8jiImJmdeAQDS_NMQQV7S5TX3cMZ.new
- /data/data/####/yYfpne-rxUmRRITsCQAPxg==.new
- /data/data/####/z9WHr6YufeeZtTK5eX3PrhVogSs=.new
- /data/media/####/.uunique.new
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/r_pkDgN4OhnkSa0D
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.build.rom.id
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- /system/bin/sh -c type su
- <Package Folder>/code-7679436/lKAo0BgeywzfeRDz -p <Package> -c com.zsfz.tqcgdzz.folder.DurianReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- chmod 700 <Package Folder>/tx_shell/libnfix.so
- chmod 700 <Package Folder>/tx_shell/libshella-2.8.so
- chmod 700 <Package Folder>/tx_shell/libufix.so
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.fingerprint
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lenovo.series
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.build.display.id
- getprop ro.vivo.os.version
- getprop ro.yunos.version
- logcat -d -v threadtime
- sh <Package Folder>/code-7679436/lKAo0BgeywzfeRDz -p <Package> -c com.zsfz.tqcgdzz.folder.DurianReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- Bugly
- cocos2dcpp
- libnfix
- libshella-2.8
- libufix
- nfix
- ufix
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
