Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.683.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) img.xin####.net:80
- TCP(HTTP/1.1) l####.tbs.qq.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) 47.92.1####.96:80
- TCP(HTTP/1.1) api.map.b####.com:80
- TCP(HTTP/1.1) 1####.76.224.67:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) cdn.app.e####.top:80
- TCP(HTTP/1.1) cdn.game####.org:80
- TCP(TLS/1.0) y####.e####.top:443
- TCP(TLS/1.0) c3####.xin####.com:443
- TCP(TLS/1.0) img.xin####.com:443
Запросы DNS:
- api.map.b####.com
- c3####.xin####.com
- cdn.app.e####.top
- cdn.game####.org
- i####.xin####.net
- img.xin####.com
- img.xin####.net
- l####.tbs.qq.com
- loc.map.b####.com
- r####.xin####.com
- y####.e####.top
Запросы HTTP GET:
- api.map.b####.com/geocoder/v2/?ak=####&coordtype=####&output=####&locati...
- cdn.app.e####.top/sfile/201805/16/all/cp_V3.0.2.txt
- cdn.game####.org/strategy/base
- cdn.game####.org/strategy/dev_root
- cdn.game####.org/strategy/dev_root2
- cdn.game####.org/strategy/larger4.3
- cdn.game####.org/strategy/loss_4.3
- cdn.game####.org/strategy/sul18
- cdn.game####.org/strategy/symlink-adbd
- img.xin####.net/Uploads/3950/Navigation/0/58bd2af42a379.png
- img.xin####.net/Uploads/3950/Navigation/0/59194e426cc30.png
- img.xin####.net/Uploads/3950/Navigation/0/59194e59ca035.png
- img.xin####.net/Uploads/3950/Navigation/0/59194e709b2a5.png
- img.xin####.net/Uploads/3950/Navigation/0/59194e86e3a4a.png
- img.xin####.net/Uploads/3950/Navigation/149_142/58bd325106282.png
- img.xin####.net/Uploads/3950/Navigation/149_142/58bd32674884e.png
- img.xin####.net/Uploads/3950/Navigation/299_142/58bd2ff729f3f.png
- img.xin####.net/Uploads/3950/Navigation/300_283/58bd2fe588e2e.png
- img.xin####.net/Uploads/3950/Navigation/600_80/58bd2b1a74606.png
- img.xin####.net/Uploads/3950/Navigation/75_75/58bd2d5b8ef17.png
- img.xin####.net/Uploads/3950/Navigation/75_75/58bd2d69195e7.png
- img.xin####.net/Uploads/3950/Navigation/75_75/58bd2d7b92b2d.png
- img.xin####.net/Uploads/3950/Navigation/75_75/58bd2d896d3bd.png
- img.xin####.net/Uploads/3950/Navigation/75_75/58bd2efcca6a8.png
- img.xin####.net/Uploads/3950/Navigation/75_75/58bd2f300276a.png
- img.xin####.net/Uploads/3950/Navigation/75_75/58bd2f511cb4a.png
- img.xin####.net/Uploads/3950/Navigation/75_75/58bd2f72eebe8.png
- t####.c####.q####.####.com/Uploads/3950/Navigation/0/58bd2b1a74606.png?i...
- t####.c####.q####.####.com/Uploads/3950/Navigation/0/58bd2d5b8ef17.png?i...
- t####.c####.q####.####.com/Uploads/3950/Navigation/0/58bd2d69195e7.png?i...
- t####.c####.q####.####.com/Uploads/3950/Navigation/0/58bd2d7b92b2d.png?i...
- t####.c####.q####.####.com/Uploads/3950/Navigation/0/58bd2d896d3bd.png?i...
- t####.c####.q####.####.com/Uploads/3950/Navigation/0/58bd2efcca6a8.png?i...
- t####.c####.q####.####.com/Uploads/3950/Navigation/0/58bd2f300276a.png?i...
- t####.c####.q####.####.com/Uploads/3950/Navigation/0/58bd2f511cb4a.png?i...
- t####.c####.q####.####.com/Uploads/3950/Navigation/0/58bd2f72eebe8.png?i...
- t####.c####.q####.####.com/Uploads/3950/Navigation/0/58bd2fe588e2e.png?i...
- t####.c####.q####.####.com/Uploads/3950/Navigation/0/58bd2ff729f3f.png?i...
- t####.c####.q####.####.com/Uploads/3950/Navigation/0/58bd325106282.png?i...
- t####.c####.q####.####.com/Uploads/3950/Navigation/0/58bd32674884e.png?i...
- t####.c####.q####.####.com/Uploads/3950/Navigation/0/59194e59ca035.png
- t####.c####.q####.####.com/Uploads/3950/Navigation/0/59194e86e3a4a.png
- t####.c####.q####.####.com/Uploads/3950/Product/0/58ba73f2ef92e.jpg?imag...
- t####.c####.q####.####.com/Uploads/3950/Product/0/58ba77b55a80b.jpg?imag...
- t####.c####.q####.####.com/Uploads/3950/Product/0/58ba783974dbe.jpg?imag...
- t####.c####.q####.####.com/Uploads/3950/Product/0/58ba79c80ff49.jpg?imag...
- t####.c####.q####.####.com/Uploads/3950/Product/0/58ba7b54af54f.jpg?imag...
- t####.c####.q####.####.com/Uploads/3950/Product/0/58ba7c89926d1.jpg?imag...
- t####.c####.q####.####.com/Uploads/3950/Product/0/58ba7d2f82123.jpg?imag...
- t####.c####.q####.####.com/Uploads/3950/Product/0/58ba834de2c73.jpg?imag...
- t####.c####.q####.####.com/Uploads/3950/Product/0/58ba843c328bd.jpg
- t####.c####.q####.####.com/Uploads/3950/Product/0/58ba843c328bd.jpg?imag...
- t####.c####.q####.####.com/Uploads/3950/Product/0/58ba84dfa5fb1.jpg?imag...
- t####.c####.q####.####.com/Uploads/3950/Product/0/58ba866b16f1f.jpg?imag...
- t####.c####.q####.####.com/Uploads/3950/Product/0/58ba874c9ce96.jpg?imag...
- t####.c####.q####.####.com/Uploads/3950/Product/0/58ba884d7de4c.jpg
- t####.c####.q####.####.com/Uploads/3950/Product/0/58ba884d7de4c.jpg?imag...
- t####.c####.q####.####.com/Uploads/3950/Product/0/58ba8965337bf.jpg?imag...
- t####.c####.q####.####.com/Uploads/3950/Product/0/58ba8b218f7b3.jpg?imag...
- t####.c####.q####.####.com/Uploads/3950/Product/0/58bcdb83c40c5.jpg?imag...
Запросы HTTP POST:
- l####.tbs.qq.com/ajax?c=####&k=####
- loc.map.b####.com/offline_loc
- loc.map.b####.com/sdk.php
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-fLEacg6xdA1cW7pT1WDDhZKfTI.-517424011.tmp
- /data/data/####/-uKbfd3Uih8A7Z4_91otN3hqZiw.570954966.tmp
- /data/data/####/0P_0U008h6H5tzM01v9DSxquSbU.1851176448.tmp
- /data/data/####/130673ea-61b9-4280-8c52-22fcfb7a0fa1
- /data/data/####/1740c449fc10be62df60ba0f18696c9f
- /data/data/####/1o3aqWDfmDwHUqXgrgaMEGgA8RI.-1797125594.tmp
- /data/data/####/32edd79a240b5f1e461d069caab1ec3e
- /data/data/####/3d5aba79-47d9-4519-b011-6df87ae2a79b
- /data/data/####/4au5pOjG73_twJMXEMVyHXfb-lU.-1276359787.tmp
- /data/data/####/4nNqjbMp3yvPB0SzXsHjlf7LahY.863693334.tmp
- /data/data/####/5JoY6__TiFwzR7w5mRs6n0-FE-Q.2050238522.tmp
- /data/data/####/5wmwR86gGbic3Ox7yAdFj-Fq0J8.2055661892.tmp
- /data/data/####/6gJ_fnI4IK4vRbHbwQOZG3zHzEE.-265429722.tmp
- /data/data/####/7fceef5d-fbb9-4f9a-9d20-20272026e16a
- /data/data/####/893-STDFgkznUcXAL9RkAPUOdk4.-1213374235.tmp
- /data/data/####/8b6f263391259b7a8e5f58ee71852ca8
- /data/data/####/8f4dt0vitTXqq3MSrG9tHXuTGVI.-1894430925.tmp
- /data/data/####/8fMaX89QzvyVBvgQUfW4QUkAZQE.1761271304.tmp
- /data/data/####/92874dd0-e3bb-4e82-89a5-3d32059b35e7
- /data/data/####/99aa018d-00d9-4afa-9d36-c47277b93a17
- /data/data/####/CTqWOg3CWd5KjkW5tlAFOuO_jK0.1222225434.tmp
- /data/data/####/DBudiDK4666NijJ1hX5bd_Ji1KE.1892528837.tmp
- /data/data/####/Dq-IIJ7pmZwKYFLQ9_3G_S2xV9E.2143742490.tmp
- /data/data/####/EGKPS0z8MGlqGypBlhL4oYi-qXA.-532486434.tmp
- /data/data/####/GfBWNLM84a2FPj5oXcP0XS6qvPg.1584256184.tmp
- /data/data/####/GstO-g5Opn6srtMmYMlH1YoshhI.-120632984.tmp
- /data/data/####/I_GHvirNhCcTjQYH9vPR2n0smzg.2001898024.tmp
- /data/data/####/JAQzAkOjzNWqhUu2pLTjIHBYqjo.-32815265.tmp
- /data/data/####/JgvQgXJQ9DRjbTYXX8ComP4_pe4.582865391.tmp
- /data/data/####/JhAy5UR9ze_kx-uBHTaldY0MRX0.1511391269.tmp
- /data/data/####/L7Mh-blrGP94QNihdcpNha_XjBk.2093384209.tmp
- /data/data/####/Matrix
- /data/data/####/N7NLtFHSsQ45ZWRvOshcJBDg-lA.1524906029.tmp
- /data/data/####/NrxgvPPg5Jac88FLweiOByWrMew.-81364365.tmp
- /data/data/####/PrTzkogCKD_wF_4-FF4ASCKqOdE.-1844726028.tmp
- /data/data/####/QhKHxyNBtIUdSRgAiXE_8FdSyjc.-1416908528.tmp
- /data/data/####/SUBOXLOG_
- /data/data/####/SmnoArgGNIpgpZS3V6oXOBLxKZI.1905392571.tmp
- /data/data/####/T97BrZXWXqUqrTYG6y61kxeAI40.1034558768.tmp
- /data/data/####/TWP8S2OA9PCtYmGnd9lmD8iC6lk.1242672429.tmp
- /data/data/####/UI12Lg0lHplPElHmln9Jl2h6X3I.762168600.tmp
- /data/data/####/V3.0.2.txt
- /data/data/####/V3.0.2.xml
- /data/data/####/Y5Ji9s3KvcI7vyCrWb2PHjdeP6Y.711303189.tmp
- /data/data/####/YQUmKl25akaTiNlp0RLKZFi7oUg.727559389.tmp
- /data/data/####/Yz40gTfKrWV3YA7MsXpVZO76YSM.1318447860.tmp
- /data/data/####/ZcQqI3lXYn2OSC-RI65_bkkLSQo.-235531898.tmp
- /data/data/####/ZorQRa-KnGczv88jaaq8nCFiAxE.-59321009.tmp
- /data/data/####/b0141e478b25af7c40a8cca8de6c4708
- /data/data/####/b18a021d11a3004d25017230b681476b
- /data/data/####/b1fbeb30-307b-4b59-8358-ce752874dfc6
- /data/data/####/com.jrtghdxhdrtsers.rtesrthhgdfdry.push_sync.xml
- /data/data/####/com.jrtghdxhdrtsers.rtesrthhgdfdry.xml
- /data/data/####/core_info
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/ddexe
- /data/data/####/debuggerd
- /data/data/####/device.db
- /data/data/####/dso_deps
- /data/data/####/dso_lock
- /data/data/####/dso_manifest
- /data/data/####/dso_state
- /data/data/####/f13df912-7498-48f0-a1a5-7dde8bbbd713.jar
- /data/data/####/f384c873-c445-413d-876f-0a75af1bc209
- /data/data/####/f75c24b7-0423-4ba6-b4b8-f2544eaf763f
- /data/data/####/fileWork
- /data/data/####/firll.dat
- /data/data/####/frcL-_MlUCzu82vC4z1rQLoIed0.919053380.tmp
- /data/data/####/gQjohkIOVEtVQw135Gp1vwacDuE.559771095.tmp
- /data/data/####/iK_iJMlOIA6dL2O-VGqpQdnTF8k.-189390636.tmp
- /data/data/####/iU-QWsXuJSwy4-Uy23UYeRTmBrg.189130256.tmp
- /data/data/####/index
- /data/data/####/install-recovery.sh
- /data/data/####/j9ut6mIufADrulC0FdL-JH8j8-M.2048159495.tmp
- /data/data/####/k2K7lOzH_-O4GDIlBt0MRWkiUpI.-788558139.tmp
- /data/data/####/kNj8BRpSdIngx-GHS5Cr95ONPlQ.-1872690035.tmp
- /data/data/####/kr.xml
- /data/data/####/n_L-azb2dnk6FuJ7IOqHZ90DXvQ.277043538.tmp
- /data/data/####/oLe-sZw0nFeeWsu5_mroX0gzh2s.1048310897.tmp
- /data/data/####/oa.jar
- /data/data/####/ofl.config
- /data/data/####/ofl_location.db
- /data/data/####/ofl_location.db-journal
- /data/data/####/ofl_statistics.db
- /data/data/####/ofl_statistics.db-journal
- /data/data/####/pidof
- /data/data/####/plugin-deploy.jar
- /data/data/####/plugin-deploy.key
- /data/data/####/pnPTGlktZgSQmlz4FHGqcToeo3E.-992883703.tmp
- /data/data/####/ppFE1NO3ufJWVQs656elR4qCcaU.-1703280000.tmp
- /data/data/####/pst.xml
- /data/data/####/root3
- /data/data/####/su
- /data/data/####/supolicy
- /data/data/####/t_u.db-journal
- /data/data/####/tbs_download_stat.xml
- /data/data/####/tbslock.txt
- /data/data/####/toolbox
- /data/data/####/update.xml
- /data/data/####/urD_Xh6u8UU9ouCwldBbKd0w3Qk.1915981802.tmp
- /data/data/####/vQGQ_LhrSrkGxxdy7oYvf0o_SN4.-1829702397.tmp
- /data/data/####/vbz.xml
- /data/data/####/wSP5HH_dvky8iDa18lmTS1s9M7U.1322493163.tmp
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/data/####/wsroot.sh
- /data/data/####/xPvP8K3EqrM0zlTgpEPWH9RHvBE.-201296944.tmp
- /data/data/####/xgl1EXf2a4N9X32rnH86N3Kqa4Y.967018937.tmp
- /data/data/####/yf.jar
- /data/data/####/zme6q5YRq5jYkmHSJ7igtzQtnz8.704409341.tmp
- /data/media/####/.cuid
- /data/media/####/.nomedia
- /data/media/####/1157572852
- /data/media/####/conlts.dat
- /data/media/####/ller.dat
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/test.0
- /data/media/####/yalioaData.db
- /data/media/####/yalioaData.db-journal
- /data/media/####/yoh.dat
- /data/media/####/yol.dat
- /data/media/####/yom.dat
Другие:
Запускает следующие shell-скрипты:
- chmod 777 Matrix ddexe debuggerd device.db fileWork install-recovery.sh pidof root3 su supolicy toolbox wsroot.sh
- chmod 777 Matrix ddexe debuggerd fileWork install-recovery.sh pidof su supolicy toolbox wsroot.sh
- sh
Загружает динамические библиотеки:
- libfb
- libimagepipeline
- libreactnativejni
- libreactnativejnifb
- locSDK6a
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- RSA-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- DES
- RSA-ECB-PKCS1Padding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
