Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.611.origin
- Android.Triada.248.origin
- Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) v3.bule####.cn:7001
- TCP(HTTP/1.1) 1####.29.74.131:80
- TCP(HTTP/1.1) cdn.sl####.com.####.com:80
- TCP(HTTP/1.1) w####.pcon####.com.cn:80
- TCP(HTTP/1.1) pg.x####.com:80
- TCP(HTTP/1.1) i####.cn.com:80
- TCP(HTTP/1.1) int.d####.s####.####.cn:80
- TCP(HTTP/1.1) zvi####.v.qin####.com:80
- TCP(HTTP/1.1) dn.gogo####.top:80
- TCP(HTTP/1.1) dn.tc####.com:80
- TCP(HTTP/1.1) 1####.76.224.67:80
- TCP(TLS/1.0) gv1.x####.com:443
- TCP(TLS/1.0) pay.v####.com.cn:443
Запросы DNS:
- cdn.sl####.com
- dn.gogo####.top
- dn.tc####.com
- f.up.v####.####.cn
- gv1.x####.com
- i####.cn.com
- int.d####.s####.####.cn
- pay.v####.com.cn
- pg.x####.com
- v3.bule####.cn
- w####.pcon####.com.cn
Запросы HTTP GET:
- cdn.sl####.com.####.com/script/jjdry/qmfk_200_J_vivo_20180528/excluded.tab
- cdn.sl####.com.####.com/script/jjdry/qmfk_200_J_vivo_20180528/tag.tab
- cdn.sl####.com.####.com/script/jjdry/qmfk_200_J_vivo_20180528/version_tag
- cdn.sl####.com.####.com/unitedpay_sdk/version
- dn.gogo####.top/dnfile/mp4/qqdzz3.mp4
- dn.tc####.com/dnfile/image/qqdzz/1280-720-4.jpg
- dn.tc####.com/dnfile/image/qqdzz/720-1280-3.jpg
- dn.tc####.com/dnfile/shengjibao/kernelNoYi0615_83.jar
- i####.cn.com/a/3c1e0985093cceca4f16f5f8da551f103
Запросы HTTP POST:
- int.d####.s####.####.cn/iplookup/iplookup.php?format=####
- pg.x####.com/api/q/a/3c1e0985093cceca4f16f5f8da551f103
- pg.x####.com/api/statis/3c1e0985093cceca4f16f5f8da551f103/game-2DA4841E4...
- v3.bule####.cn:7001/v3/api_request.aspx
- v3.bule####.cn:7001/v3/api_settings.aspx
- v3.bule####.cn:7001/verrlog.aspx
- w####.pcon####.com.cn/ip.jsp
- zvi####.v.qin####.com/usrsys/reportUsrsys?version=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1143945219847306209
- /data/data/####/2RvC7p9qS-CYgcT0g_i00g==.new
- /data/data/####/3c1e0985093cceca4f16f5f8da551f103|account_file.xml
- /data/data/####/4-lUolCHY3m1wGviqfUcHQ==
- /data/data/####/4s4aoLkIayCz3ty7NRhqcw==
- /data/data/####/65d9daa580b4f3e7.jar
- /data/data/####/7292909100cd7ac7.jar
- /data/data/####/80551623-51a5-4d94-a7c5-7a709991a726
- /data/data/####/IRKx-QZqALq_hs_c.zip
- /data/data/####/SUBOXLOG_
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/VideoRes.apk
- /data/data/####/bs7qyafxMz0hECgNW1sh1w==.new
- /data/data/####/btvdtKgqapEVq3M8
- /data/data/####/chxgai.xinhe.hsen.vivo_preferences.xml
- /data/data/####/codex.so
- /data/data/####/codex_inner.so
- /data/data/####/config.xml
- /data/data/####/f80fdacd-4450-4e4d-8071-51ca9d5b659b.jar
- /data/data/####/ide54814e4-9889-4592-afa1-1c8c394a0826.tmp
- /data/data/####/lemuel_security_inner.so
- /data/data/####/lmvideonewad_db-journal
- /data/data/####/pref_file.xml
- /data/data/####/prefs_vivounionsdk.xml
- /data/data/####/qbanva_f.zip
- /data/data/####/rdata_comqmfkyinb.new
- /data/data/####/talkingdata_app.db-journal
- /data/data/####/talkingdata_app_process_preferences_file
- /data/data/####/talkingdata_app_version_preferences_file
- /data/data/####/td_pefercen_profile.xml
- /data/data/####/tdid.xml
- /data/data/####/trackevents.db-journal
- /data/data/####/unionuserinfo.db-journal
- /data/data/####/videokernel.apk
- /data/data/####/vivounionapk_v2.2.1_a1381cb_201704101737.vua
- /data/data/####/webview.db-journal
- /data/media/####/-628469195
- /data/media/####/.nomedia
- /data/media/####/.tcookieid
- /data/media/####/814369926
- /data/media/####/Videoshell.log
- /data/media/####/id1399da770-5aed-4bbb-a745-b2a375bfb00e.tmp
- /data/media/####/id143a58dde-1869-49d9-8dc0-e1b4ba0de584.tmp
- /data/media/####/id23b118308-da32-4952-9395-b8f3b83e0e7e.tmp
- /data/media/####/id2bb572abf-a113-426e-bb3c-c5f2ca7d5520.tmp
- /data/media/####/kernel.dat
- /data/media/####/sdkaccountinfo.db-journal
- /data/media/####/vivounionapk_v2.2.1_a1381cb_201704101737.vua
Другие:
Запускает следующие shell-скрипты:
- cat /sys/class/net/wlan0/address
Загружает динамические библиотеки:
- _lemuel_security
- codex
- codex_inner
- game
- lemuel_security_inner
- vivo_account_sdk
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
