Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.248.origin
- Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) s####.his####.hic####.com:80
- TCP(TLS/1.0) 2####.58.212.174:443
- TCP(TLS/1.0) ap####.dban####.com:443
- TCP(TLS/1.0) ap####.his####.hic####.com:443
Запросы DNS:
- a####.u####.com
- ap####.dban####.com
- ap####.his####.hic####.com
- l.ace####.com
- loc.map.b####.com
- s####.his####.hic####.com
Запросы HTTP POST:
- a####.u####.com/app_logs
- l.ace####.com/ando/v4/lv?app_id=####&r=####
- loc.map.b####.com/sdk.php
- s####.his####.hic####.com/hwmarket/api/storeApi2
- s####.his####.hic####.com/hwmarket/api/storeApi3
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-NPgwRcn00uQSApdvk5Qd_-KoqqBbbae.new
- /data/data/####/-g1hxWMX0qNQlJOGBFpF4VqbLqs=.new
- /data/data/####/.imprint
- /data/data/####/3IQIz5LXLo6uhWvAYI_DLng6aCBgTPSi.new
- /data/data/####/4NH8qNWF9xlZGB5g
- /data/data/####/AXQnCyJyamfTxQbAqEI6RnquZ6I8oPLdsoOBK1L2dxU=.new
- /data/data/####/Alvin2.xml
- /data/data/####/BUE2lk8GgFlr1qm1XyZpPYX7nsU=
- /data/data/####/ConnectionParam.xml
- /data/data/####/ContextData.xml
- /data/data/####/DE1uyD-SvGsQweiqGuf4KTiTOuxdr1cv.new
- /data/data/####/DeviceSessionUpdateSDK_V1.xml
- /data/data/####/FJwy5j_VLo0Kh-I40h8uLJG0vNvKwgrN.new
- /data/data/####/Gyx7naEAnpLNM775.zip
- /data/data/####/JiXL1ZDV7B4HeMcQZWXXDkUAGjW5-3-4nYlm-mHcYW4=.new
- /data/data/####/KKZVRdiXFRygNkuBAlvE5YR6EzQqRCXB.new
- /data/data/####/M0ELevNJsJxjn7p4xiGUMkVA4DbEpb-Ex3sf1g==.new
- /data/data/####/OQjF_XkV4gsK1xwh6W2uV5H7XbSJCFrkh0K4qw==.new
- /data/data/####/OmUWtUssL6WAhkPrnweWmC61g0k=.new
- /data/data/####/R0Q59maOJDabWSFWYISKZENVhZnQQ3pf.new
- /data/data/####/Sgq2zPmUIio1Oo05w5Foeg==
- /data/data/####/YBPiXOh3fvtU4c9z
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.huawei.hms.update.DOWNLOAD_RECORDcom.huawei.hwid.xml
- /data/data/####/crID_Y-A_YDmkzSKTZQCPFfAuMQEPNs1cmpcNj_xehw=.new
- /data/data/####/dQ-VY2cGuaRLXt6GNWQgnA==.new
- /data/data/####/d_85examGu9sAUKdV_OPtZqm7SM=.new
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/gF_if7T16PjtUx0VZkFWK3SE3_M=.new
- /data/data/####/i3nfZX7FMwOj_BNsZAXiAdn48SsJCj4fgSks9g==_0r5pjB...blKw==
- /data/data/####/i3nfZX7FMwOj_BNsZAXiAdn48SsJCj4fgSks9g==_0r5pjB...ournal
- /data/data/####/i3nfZX7FMwOj_BNsZAXiAdn48SsJCj4fgSks9g==_Gcvh1n...ournal
- /data/data/####/i3nfZX7FMwOj_BNsZAXiAdn48SsJCj4fgSks9g==_Gcvh1n...x9V24=
- /data/data/####/i3nfZX7FMwOj_BNsZAXiAdn48SsJCj4fgSks9g==_Mfk4Pt...4IvQ==
- /data/data/####/i3nfZX7FMwOj_BNsZAXiAdn48SsJCj4fgSks9g==_Mfk4Pt...ournal
- /data/data/####/i3nfZX7FMwOj_BNsZAXiAdn48SsJCj4fgSks9g==_q9XwTl...ournal
- /data/data/####/i3nfZX7FMwOj_BNsZAXiAdn48SsJCj4fgSks9g==_wPKpm_...ournal
- /data/data/####/i3nfZX7FMwOj_BNsZAXiAdn48SsJCj4fgSks9g==_wPKpm_K-CIAhOMwB
- /data/data/####/kTvVRnneB10RjjFj689ELwnwglQaLIfl.new
- /data/data/####/lUbI0bzNN1wPQJGhHxS3R_E4u2oUoZkd.new
- /data/data/####/lvggD-EE2CerTGbE6knbnhTMgUk=.new
- /data/data/####/mili
- /data/data/####/mlUNru2UupfzPmA2LPlqIw==.new
- /data/data/####/p0auGWKJtvr1UfP_.new
- /data/data/####/rdata_comwumnaunjaf.new
- /data/data/####/rmL8anwmk_EoMs_Y1SShhQ==.new
- /data/data/####/runner_info.prop.new
- /data/data/####/s0Ut6E1FFK9oWNPPP38aOQ==
- /data/data/####/skwkuq_f.zip
- /data/data/####/tTfcVSwFXuj_0fSHDQkjssJpsAYcRVfvQ6D8pI9mM7k=.new
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/w539i2MvuZUSErVKq2AKXsIILx_9vQ0Fuo702Q==.new
- /data/data/####/wpOqQCz9H7deAd6XmRyS1kdV4kA=.new
- /data/data/####/yK7f2xxzSEU4xiPdnUHv6-FCmUk=.new
- /data/media/####/.uunique.new
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/com.huawei.hwid.apk
- /data/media/####/r_pkDgN4OhnkSa0D
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- <Package Folder>/code-7150086/YBPiXOh3fvtU4c9z -p <Package> -c com.wumna.unjaf.pencil.MangoReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.version
- getprop ro.yunos.version
- sh <Package Folder>/code-7150086/YBPiXOh3fvtU4c9z -p <Package> -c com.wumna.unjaf.pencil.MangoReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- RSA-NONE-OAEPWithSHA256AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
