Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.683.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 47.92.1####.96:80
- TCP(HTTP/1.1) cdn.app.xingh####.cn:80
- TCP(HTTP/1.1) 1####.76.224.67:80
- TCP(HTTP/1.1) cdn.game####.org:80
- TCP(TLS/1.0) cdn.app.superma####.top:443
- TCP(TLS/1.0) sett####.crashly####.com:443
- TCP(TLS/1.0) c####.superma####.top:443
Запросы DNS:
- c####.superma####.top
- cdn.app.superma####.top
- cdn.app.xingh####.cn
- cdn.game####.org
- sett####.crashly####.com
Запросы HTTP GET:
- cdn.app.xingh####.cn/lupload/clo/he
- cdn.game####.org/strategy/11a3004d25017230
- cdn.game####.org/strategy/15fb6224701377a1
- cdn.game####.org/strategy/1ae9b32c6e832e41
- cdn.game####.org/strategy/240b5f1e461d069c
- cdn.game####.org/strategy/351aa6386a77d89f
- cdn.game####.org/strategy/91259b7a8e5f58ee
- cdn.game####.org/strategy/base
- cdn.game####.org/strategy/fc10be62df60ba0f
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1733735469
- /data/data/####/-1762364620
- /data/data/####/-1952266214
- /data/data/####/-1980895365
- /data/data/####/-202817575
- /data/data/####/-231446726
- /data/data/####/-412673552
- /data/data/####/-441302703
- /data/data/####/-531692541
- /data/data/####/-560321692
- /data/data/####/-690412734
- /data/data/####/-719041885
- /data/data/####/-722691862
- /data/data/####/-751321013
- /data/data/####/-782625197
- /data/data/####/102ad32edbbe15be6a852c9639e232a7
- /data/data/####/1036011578
- /data/data/####/1064640729
- /data/data/####/16247433229d8cccb424536e6d9bc6a4
- /data/data/####/1ea1d849-dd53-42f6-962a-fd186fad39e0
- /data/data/####/2024239764
- /data/data/####/2052868915
- /data/data/####/2129330615
- /data/data/####/3bf6865a-fd2f-413d-9d31-fb5876108646
- /data/data/####/424e67d7-bcc1-4924-a0e5-b6e76e46b5e7
- /data/data/####/43227513780f9a53a644ee736fe98f62
- /data/data/####/483001043
- /data/data/####/511630194
- /data/data/####/5553a0bd15ea1d729be5500dd0b434bd
- /data/data/####/5B3F669D009B-0001-07EE-3B70B9E96428BeginSession.cls_temp
- /data/data/####/5B3F669D009B-0001-07EE-3B70B9E96428SessionApp.cls_temp
- /data/data/####/5B3F669D009B-0001-07EE-3B70B9E96428SessionOS.cls_temp
- /data/data/####/5B3F669D0379-0001-0824-3B70B9E96428BeginSession.cls_temp
- /data/data/####/5B3F669D0379-0001-0824-3B70B9E96428SessionApp.cls_temp
- /data/data/####/5B3F669D0379-0001-0824-3B70B9E96428SessionDevice.cls
- /data/data/####/5B3F669D0379-0001-0824-3B70B9E96428SessionOS.cls_temp
- /data/data/####/5B3F66A300D1-0001-0871-3B70B9E96428BeginSession.cls_temp
- /data/data/####/5B3F66A300D1-0001-0871-3B70B9E96428SessionApp.cls
- /data/data/####/5B3F66A300D1-0001-0871-3B70B9E96428SessionDevice.cls_temp
- /data/data/####/5B3F66A300D1-0001-0871-3B70B9E96428SessionOS.cls_temp
- /data/data/####/5a57f33a1cebf0145a2f2488272396f31c8934fa92111c2....0.tmp
- /data/data/####/610ad3a5187e55968e5c556159e1269c2994657efc6f70f....0.tmp
- /data/data/####/66dc357d-c00e-4ab1-ab74-9794c0a9105a
- /data/data/####/74e7ad8f420f57beafff8ef1f65ded26efb1404aa1c93b5....0.tmp
- /data/data/####/822196836
- /data/data/####/850825987
- /data/data/####/87a32387-e94f-45b3-adcb-e6ca696aa030
- /data/data/####/93e7b2b4-526e-4753-aade-af0f63cf681c
- /data/data/####/970596202
- /data/data/####/999225353
- /data/data/####/FBAdPrefs.xml
- /data/data/####/Global.xml
- /data/data/####/Matrix
- /data/data/####/SDKIDFA.xml
- /data/data/####/SUBOXLOG_
- /data/data/####/SevenMins-TTS.xml
- /data/data/####/TwitterAdvertisingInfoPreferences.xml
- /data/data/####/V2.9.4.txt
- /data/data/####/a0064dd2-ca93-4a60-93fb-37bebe233432
- /data/data/####/ads-1777289493.jar
- /data/data/####/ads-608782596.jar
- /data/data/####/b0cd23cd-b4f7-4735-86c8-24dbf80643ca.jar
- /data/data/####/c07d9ea5e841114a573448ae929482ae7113ed5d3faf944....0.tmp
- /data/data/####/c555f65c72344cea54472e5d056e24b3
- /data/data/####/com.crashlytics.prefs.xml
- /data/data/####/com.crashlytics.sdk.android;answers;settings.xml
- /data/data/####/com.crashlytics.settings.json
- /data/data/####/com.jafwqq.android.gms.analytics.prefs.xml
- /data/data/####/ddexe
- /data/data/####/debuggerd
- /data/data/####/device.db
- /data/data/####/e01a6afb33753a506c45f8938a4c6fa6
- /data/data/####/e58fdfc9-03c3-4a62-ada1-6bed615c610d
- /data/data/####/ecaf6863-ed4d-458c-8a4f-8d133ad7f3f1
- /data/data/####/ed9b9d5cee465e6bec1c29bf3cbdf99f194881a0a7d7c5f....0.tmp
- /data/data/####/fileWork
- /data/data/####/gaClientId
- /data/data/####/gh.jar
- /data/data/####/initialization_marker
- /data/data/####/instaget.xml
- /data/data/####/install-recovery.sh
- /data/data/####/io.fabric.sdk.android;fabric;io.fabric.sdk.andr...ng.xml
- /data/data/####/jafwqq_analytics_v4.db-journal
- /data/data/####/journal.tmp
- /data/data/####/kr.xml
- /data/data/####/pidof
- /data/data/####/qo.jar
- /data/data/####/root3
- /data/data/####/session_analytics.tap
- /data/data/####/session_analytics.tap.tmp
- /data/data/####/su
- /data/data/####/supolicy
- /data/data/####/t_u.db-journal
- /data/data/####/thirtyDayFit.xml
- /data/data/####/toolbox
- /data/data/####/vbz.xml
- /data/data/####/webview.db-journal
- /data/data/####/wsroot.sh
- /data/media/####/crash.log
Другие:
Запускает следующие shell-скрипты:
- chmod 777 Matrix ddexe debuggerd device.db fileWork install-recovery.sh pidof root3 su supolicy toolbox wsroot.sh
- chmod 777 Matrix ddexe debuggerd fileWork install-recovery.sh pidof su supolicy toolbox wsroot.sh
- sh
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
