Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.348.origin
- Android.DownLoader.576.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) w####.pcon####.com.cn:80
- TCP(TLS/1.0) ssl.gst####.com:443
- TCP(TLS/1.0) a####.google####.com:443
- TCP(TLS/1.0) www.googlea####.com:443
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) www.google-####.com:443
- TCP(TLS/1.0) 250####.fls.doublec####.net:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) www.googlet####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) adser####.go####.com:443
- TCP(TLS/1.0) www.go####.nl:443
- TCP(TLS/1.0) s####.g.doublec####.net:443
- TCP(TLS/1.0) adw####.go####.com:443
- TCP(TLS/1.0) f####.google####.com:443
- TCP p1.i####.com:7801
Запросы DNS:
- 250####.fls.doublec####.net
- a####.google####.com
- a####.u####.com
- adser####.go####.com
- adser####.go####.nl
- adw####.go####.com
- cg.0####.com
- f####.google####.com
- f####.gst####.com
- p1.i####.com
- s####.g.doublec####.net
- s1.u####.com
- ssl.gst####.com
- us.auk####.com
- uu.auk####.com
- w####.pcon####.com.cn
- www.go####.com
- www.go####.nl
- www.google-####.com
- www.googlea####.com
- www.googlet####.com
- www.gst####.com
Запросы HTTP POST:
- a####.u####.com/app_logs
- w####.pcon####.com.cn/ip.jsp?qq-pf-to=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/09B309CBFB27241D
- /data/data/####/196EF2199AF6A49F.xml
- /data/data/####/5EEB43A2E1AB5D4D
- /data/data/####/762228C7806A42C1.xml
- /data/data/####/A02FDA28C040F3C8-journal
- /data/data/####/AEDFE-journal
- /data/data/####/B69BFD9E88256068.xml
- /data/data/####/BAEA
- /data/data/####/BAEA-journal
- /data/data/####/BAEA-shm (deleted)
- /data/data/####/BAEA-wal
- /data/data/####/E9E4BDEA85BF418950017E70A8363315.zip
- /data/data/####/F67B099FC45EED0A50017E70A8363315.zip
- /data/data/####/XN105vs
- /data/data/####/XN105vs.zip
- /data/data/####/ab2819b6-1191-45f1-b2d8-2aaf18dfed34
- /data/data/####/bg.9.png
- /data/data/####/c
- /data/data/####/c.jar
- /data/data/####/cdf3d4ad-202f-4ec8-b34d-41da2763bdd3
- /data/data/####/change_image.png
- /data/data/####/check_back.png
- /data/data/####/checked_back.png
- /data/data/####/close_btn.jpg
- /data/data/####/close_btn.png
- /data/data/####/congsmall.png
- /data/data/####/default.png
- /data/data/####/dlsuccess.png
- /data/data/####/download_flag.png
- /data/data/####/downloading.png
- /data/data/####/eca.db-journal
- /data/data/####/eck.xml
- /data/data/####/enter_button.png
- /data/data/####/frameclose.png
- /data/data/####/ic_game.png
- /data/data/####/ic_rec.png
- /data/data/####/icon_bg_cyanew.png
- /data/data/####/icon_bg_cyanok.png
- /data/data/####/item_background.png
- /data/data/####/libexec.so
- /data/data/####/libexecmain.so
- /data/data/####/list_back.png
- /data/data/####/mobclick_agent_cached_cnapk.SMIC.StickManInfini...071105
- /data/data/####/mobclick_agent_online_setting_cnapk.SMIC.StickM...ge.xml
- /data/data/####/number.png
- /data/data/####/pic.png
- /data/data/####/redflag.9.png
- /data/data/####/smallframe.png
- /data/data/####/smallframe_right.png
- /data/data/####/t
- /data/data/####/top.9.png
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/yo_download.db-journal
- /data/data/####/yo_fconf_pre.xml
- /data/data/####/yoappInfo_pre.xml
- /data/data/####/yoconf_pre.xml
- /data/data/####/yotrategy_pre.xml
- /data/media/####/.nomedia
- /data/media/####/1529533318117u.jar
- /data/media/####/1529533318329q.jar
- /data/media/####/1529533325678q.jar
- /data/media/####/XH.txt
Другие:
Запускает следующие shell-скрипты:
- getprop ro.product.cpu.abi
Загружает динамические библиотеки:
- ab2819b6-1191-45f1-b2d8-2aaf18dfed34
- cdf3d4ad-202f-4ec8-b34d-41da2763bdd3
- cocos2dcpp
- libexec
- libexecmain
- null
- udgxs
Использует следующие алгоритмы для шифрования данных:
- DES
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
