Техническая информация
Вредоносные функции:
Отправляет СМС-сообщения:
- 13434817160: 免费注册观看直播
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.417.origin
- Android.Triada.428.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 1####.55.93.104:9004
- TCP(HTTP/1.1) m####.jh####.cn:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) CW####.lvdi####.com:10091
- TCP(HTTP/1.1) rtf####.5do####.com:15215
- TCP(HTTP/1.1) sms.fj####.com:80
- TCP(HTTP/1.1) xz####.zhan####.com:10011
- TCP(HTTP/1.1) p####.ak####.cn:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) w####.iduot####.com:5500
- TCP(HTTP/1.1) api.08.bie####.cn:80
- TCP(HTTP/1.1) zxc####.wann####.com:8200
- TCP(HTTP/1.1) z####.wann####.com:9500
- TCP(HTTP/1.1) col####.fj####.com:80
- TCP(HTTP/1.1) ji####.jieme####.com:8152
- TCP(HTTP/1.1) www.yiqi####.com.####.com:80
- TCP(HTTP/1.1) api.y####.com:8080
- TCP(HTTP/1.1) q####.a####.com:80
- TCP(HTTP/1.1) prelo####.hishen####.com.####.com:80
- TCP(HTTP/1.1) z####.wann####.com:9600
Запросы DNS:
- CW####.lvdi####.com
- a####.u####.com
- api.08.bie####.cn
- api.y####.com
- bus####.fj####.com
- col####.fj####.com
- ji####.dl####.com
- ji####.jieme####.com
- m####.jh####.cn
- mt####.go####.com
- ow5a7####.bkt.clo####.com
- p####.ak####.cn
- prelo####.hishen####.com
- rtf####.5do####.com
- sms.fj####.com
- w####.iduot####.com
- www.yiqi####.com
- x####.bj####.cn
- xz####.zhan####.com
- z####.wann####.com
- zxc####.wann####.com
Запросы HTTP GET:
- api.08.bie####.cn/behavior.webapi/user_action_report?{"actio####
- api.y####.com:8080/sdk/mobile-area?model=####&cellid=####&osbuild=####&i...
- m####.jh####.cn/f/16881824hsx
- p####.ak####.cn/v/1ZX0614gdfojrf4x.zip
- p####.ak####.cn/v/1ZX0614jajd4x.zip
- p####.ak####.cn/v/1ZXhabzye4x.zip
- p####.ak####.cn/v/1ZXmbavp4x.zip
- p####.ak####.cn/v/1ZXyguil4x.zip
- prelo####.hishen####.com.####.com/project_preloaded/cd89c48e607342709479...
- prelo####.hishen####.com.####.com/project_preloaded/e6a09720b2204131af2a...
- q####.a####.com/jieplginf/wchenhddats23
- q####.a####.com/xinzffe/zxkjdata162s
- t####.c####.q####.####.com/cdn_domain_first.txt?v=####
- www.yiqi####.com.####.com/
Запросы HTTP POST:
- CW####.lvdi####.com:10091/wisdom/marking
- a####.u####.com/app_logs
- col####.fj####.com/business-analysis-cmp/zhuabao/needCatch.do
- col####.fj####.com/pay-data-collect/collectAppStartUserData.json
- col####.fj####.com/pay-data-collect/uploadChannelNormalData.json
- ji####.jieme####.com:8152/ryf_webserver/payment/checkupdate.html
- rtf####.5do####.com:15215/tr/
- rtf####.5do####.com:15215/ts/
- sms.fj####.com/pay-sms-access/getAccessPayChannel.json
- sms.fj####.com/pay-sms-access/loadingTheAmountDeducted.json
- sms.fj####.com/pay-sms-access/uploadOpenPayOrderResult.json
- w####.iduot####.com:5500/api-log-server/thirdPlugin/save
- w####.iduot####.com:5500/api-plugin-jar/thirdPlugin/jars
- xz####.zhan####.com:10011/zxhypay/action/update.do
- z####.wann####.com:9500/
- z####.wann####.com:9600/
- zxc####.wann####.com:8200/qy/acceptSdkFileReq
- zxc####.wann####.com:8200/qy/getOnlineLoginHttpReq
Изменения в файловой системе:
Создает следующие файлы:
- /data/anr/traces.txt
- /data/data/####/.imprint
- /data/data/####/469d731f81937a3bab92f9c04a3ca370.xml
- /data/data/####/4da9fa0755890c95c98ff3e3b5b2ddff
- /data/data/####/5ff9fbceaae1b0f381c9a2589fb0cc4c.log
- /data/data/####/5ff9fbceaae1b0f381c9a2589fb0cc4c.log.temp
- /data/data/####/Action.xml
- /data/data/####/Alvin2.xml
- /data/data/####/CDN_DOMAIN_CACHE.xml
- /data/data/####/ContextData.xml
- /data/data/####/INIT_PARAMS_CACHE.xml
- /data/data/####/OutsidePlugin_UR.jar
- /data/data/####/XinZF_config.xml
- /data/data/####/XinZFsmspay.db
- /data/data/####/XinZFsmspay.db-journal
- /data/data/####/a4be9ff4668403efdb304dc0106533f6.log
- /data/data/####/a4be9ff4668403efdb304dc0106533f6.log.temp
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.chile.xml
- /data/data/####/com.chile_preferences.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/e2d119a1c8895232098cd0bba4d5750c.log
- /data/data/####/e2d119a1c8895232098cd0bba4d5750c.log.temp
- /data/data/####/e64db61cc859d4aa808dc59fa18db2ff.log
- /data/data/####/e64db61cc859d4aa808dc59fa18db2ff.log.temp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/fdrexnqb.jar
- /data/data/####/ff533ee364e852cd5369a6766a6f448b.log
- /data/data/####/ff533ee364e852cd5369a6766a6f448b.log.temp
- /data/data/####/gameid
- /data/data/####/gameid.zip
- /data/data/####/getprop
- /data/data/####/index
- /data/data/####/jiepay_config.xml
- /data/data/####/jiepayplugin.apkdata
- /data/data/####/jiepaysmspay.db
- /data/data/####/jiepaysmspay.db-journal
- /data/data/####/libfzkp.so
- /data/data/####/libfzkp.so-32
- /data/data/####/libfzkp.so-64
- /data/data/####/proxy.db-journal
- /data/data/####/qiangang_sdk_update.jar
- /data/data/####/qy_db_pay-journal
- /data/data/####/shunpay_config
- /data/data/####/sy_pay_record-journal
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/unknown.xml
- /data/data/####/unknown.xml.bak
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/yd_config_c.xml
- /data/data/####/yf.apk
- /data/data/####/zxxinzf.apkdata
- /data/media/####/.cfg
- /data/media/####/.uidoslog
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/device
- /data/media/####/vauid
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- cat /proc/version
- cat /sys/block/mmcblk0/device/cid
- cat /sys/class/net/wlan0/address
- df
- getprop
- getprop ro.board.platform
- getprop ro.product.cpu.abi
- getprop ro.product.cpu.abi2
- ls -l /system/bin/su
- ps | grep <Package>
Загружает динамические библиотеки:
- libfzkp
- shunpay
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
- DES
- DES-CBC-PKCS5Padding
- DES-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
- DES
- DES-CBC-PKCS5Padding
- DES-ECB-NoPadding
Может автоматически отправлять СМС-сообщения.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
