Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.558.origin
- Android.SkyMobi.6.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) do####.aishe####.com:80
- TCP(HTTP/1.1) l####.i####.com:9820
- TCP(HTTP/1.1) and####.5####.com:80
- TCP(HTTP/1.1) l####.c####.q####.####.net:80
- TCP(HTTP/1.1) 2####.91.250.202:80
- TCP(HTTP/1.1) and####.5####.com:8077
- TCP(HTTP/1.1) ch####.5####.com:80
- TCP(HTTP/1.1) 2####.91.250.201:80
- TCP(HTTP/1.1) sdk.lov####.com.####.com:80
Запросы DNS:
- and####.5####.com
- cdn.lov####.com
- ch####.5####.com
- do####.aishe####.com
- l####.i####.com
- mt####.go####.com
- sdk.lov####.com
Запросы HTTP GET:
- ch####.5####.com/3rd-access-android/image/show.do?imageName=####
- do####.aishe####.com/getdomain.php?chid=####&subchid=####
- l####.c####.q####.####.net/mainjarupdate/gamesdk/59810/empty14/10051/mai...
- sdk.lov####.com.####.com/chksdkupdate.php?sdkver=####&compver=####&mainv...
Запросы HTTP POST:
- and####.5####.com/payment-adv-mis/adv/payment/getAdvInfo.do
- and####.5####.com/zm-adv-mis/adv/list/query.do
- and####.5####.com:8077/android/sms/netpay/prefetch.do
- and####.5####.com:8077/android/third/prefetch/index.do
- l####.i####.com:9820/chnlt/ltpay/pytstart.do
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/ACCOUNT_SYSTEM_ACCOUNT_INFO.xml
- /data/data/####/BOOT_SMS_INFO.xml
- /data/data/####/BOOT_SMS_SENT_TIME.xml
- /data/data/####/Data_sync.db-journal
- /data/data/####/LatestPushIndex
- /data/data/####/NextReqInterval
- /data/data/####/NotifyBarAdvResponse
- /data/data/####/PushDataReciveTime
- /data/data/####/PushDataServerTime
- /data/data/####/ad4083923264a6583a716b0724d0b789.img
- /data/data/####/apk.zip
- /data/data/####/apk.zip (deleted)
- /data/data/####/appstartone.xml
- /data/data/####/appstarttwo.xml
- /data/data/####/c7a44900a7f1959b3eaf5a573371e8d3.img
- /data/data/####/classes.dex
- /data/data/####/excl_lb_chInfo.xml
- /data/data/####/excl_lb_domain.xml
- /data/data/####/excl_lb_extractInfo.xml
- /data/data/####/excl_lb_gameInfo.xml
- /data/data/####/excl_lb_kxqp.xml
- /data/data/####/excl_lb_kxqpChannal.xml
- /data/data/####/excl_lb_kxqpVersion.xml
- /data/data/####/excl_lb_platform.xml
- /data/data/####/excl_lb_soUpdate.xml
- /data/data/####/excl_lb_updateInfo.xml
- /data/data/####/first.xml
- /data/data/####/libkxqpzmvmpinf.2084.808002179.so
- /data/data/####/libkxqpzmvmpinf.2115.808002721.so
- /data/data/####/libkxqpzmvmpinf.2170.808008129.so
- /data/data/####/libkxqpzmvmpinf.2186.808008380.so
- /data/data/####/libkxqpzmvmpinf.2237.808062197.so
- /data/data/####/libkxqpzmvmpinf.2250.808062234.so
- /data/data/####/libkxqpzmvmpinf.2269.808062611.so
- /data/data/####/libzmvmpcls.2084.808002198.so
- /data/data/####/libzmvmpcls.2115.808002748.so
- /data/data/####/libzmvmpcls.2170.808008147.so
- /data/data/####/libzmvmpcls.2186.808008403.so
- /data/data/####/libzmvmpcls.2237.808062226.so
- /data/data/####/libzmvmpcls.2250.808062271.so
- /data/data/####/libzmvmpcls.2269.808062650.so
- /data/data/####/main2.jar
- /data/data/####/paypush_preference.xml
- /data/data/####/response.data
- /data/data/####/tmp.BW2186
- /data/data/####/tmp.Bw2250
- /data/data/####/tmp.Fl2269
- /data/data/####/tmp.GF2250
- /data/data/####/tmp.HB2186
- /data/data/####/tmp.Jp2170
- /data/data/####/tmp.LZ2269
- /data/data/####/tmp.Ma2170
- /data/data/####/tmp.QT2250
- /data/data/####/tmp.SI2170
- /data/data/####/tmp.TG2269
- /data/data/####/tmp.cQ2170
- /data/data/####/tmp.kn2250
- /data/data/####/tmp.lu2186
- /data/data/####/tmp.pH2269
- /data/data/####/tmp.xJ2186
- /data/data/####/uuid.xml
- /data/data/####/webview.db-journal
- /data/media/####/LatestPushIndex
- /data/media/####/NextReqInterval
- /data/media/####/NotifyBarAdvResponse
- /data/media/####/PushDataReciveTime
- /data/media/####/PushDataServerTime
- /data/media/####/ad4083923264a6583a716b0724d0b789.img
- /data/media/####/c7a44900a7f1959b3eaf5a573371e8d3.img
- /data/media/####/com.lyhtgh.pay.ltplugin.apk
- /data/media/####/com.skymobi.pay.plugin.advert.apk
- /data/media/####/com.skymobi.pay.plugin.main.apk
- /data/media/####/com.skymobi.pay.plugin.push.apk
- /data/media/####/com.skymobi.pay.plugin.recordupload.apk
- /data/media/####/com.skymobi.pay.plugin.smspay.apk
- /data/media/####/com.skymobi.pay.plugin.thirdpay.apk
- /data/media/####/conveying
- /data/media/####/main.zip.dload
- /data/media/####/response.data
- /data/media/####/sharemem_push.lock
- /data/media/####/uid.sys
- /data/media/####/user.sys
- /data/media/####/verinfo.cfg
Другие:
Запускает следующие shell-скрипты:
- chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.advert.apk
- chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.main.apk
- chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.push.apk
- chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.recordupload.apk
- chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.smspay.apk
- chmod 666 /storage/emulated/0/Android/data/com.skymobi.pay.newsdk/plugins/com.skymobi.pay.plugin.thirdpay.apk
- chmod 755 <Package Folder>/.platformcache/tmp/main/main2.jar
- chmod 777 /storage/emulated/0/.<Package>/apk
- chmod 777 /storage/emulated/0/.<Package>/apk/main.zip.dload
Загружает динамические библиотеки:
- applypatch
- cocos2dcpp
- libkxqpzmvmpinf.2084.808002179
- libkxqpzmvmpinf.2115.808002721
- libkxqpzmvmpinf.2170.808008129
- libkxqpzmvmpinf.2186.808008380
- libkxqpzmvmpinf.2237.808062197
- libkxqpzmvmpinf.2250.808062234
- libkxqpzmvmpinf.2269.808062611
- zimon
Использует следующие алгоритмы для расшифровки данных:
- DES-CBC-PKCS5Padding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
