Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.417.origin
- Android.Triada.428.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) cdn.down####.91m####.com:80
- TCP(HTTP/1.1) e4####.oi####.com:20351
- TCP(HTTP/1.1) rtf####.5do####.com:15215
- TCP(HTTP/1.1) m####.jh####.cn:80
- TCP(HTTP/1.1) MY####.huita####.com:10091
- TCP(HTTP/1.1) pay.91m####.com:80
- TCP(HTTP/1.1) q####.a####.com:80
Запросы DNS:
- MY####.huita####.com
- cdn.down####.91m####.com
- e4####.oi####.com
- m####.jh####.cn
- pay.91m####.com
- r####.qq####.cn
- rtf####.5do####.com
- x####.bj####.cn
Запросы HTTP GET:
- cdn.down####.91m####.com/20180704/tongyu-pay-lib-2201-3000-2.apk
- m####.jh####.cn/f/oaatuw18v99new
- m####.jh####.cn/f/oaatuwdfgyk
- m####.jh####.cn/z/2gdhgfbdfvsk4x.zip
- m####.jh####.cn/z/2hagfbsdcfsaf4x.zip
- m####.jh####.cn/z/2jajhjfgdf4x.zip
- m####.jh####.cn/z/2mbhvnfgbdf4x.zip
- m####.jh####.cn/z/2ygbfgvsdcsa4x.zip
- q####.a####.com/miwandzver/miwandzver.txt
- q####.a####.com/miwandzver2/mwdzsdata
Запросы HTTP POST:
- MY####.huita####.com:10091/wisdom/marking
- e4####.oi####.com:20351/ds/
- pay.91m####.com/sdkMis/init-submit
- pay.91m####.com/sdkMis/mobile-status-quo
- pay.91m####.com/sdkMis/mobile-submit
- pay.91m####.com/sdkMis/sdk-update
- rtf####.5do####.com:15215/tr/
- rtf####.5do####.com:15215/ts/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/469d731f81937a3bab92f9c04a3ca370.xml
- /data/data/####/5ff9fbceaae1b0f381c9a2589fb0cc4c.log
- /data/data/####/5ff9fbceaae1b0f381c9a2589fb0cc4c.log.temp
- /data/data/####/MWDZS_config.xml
- /data/data/####/MWDZSsmspay.db
- /data/data/####/MWDZSsmspay.db-journal
- /data/data/####/WMROHE_config.xml
- /data/data/####/a4be9ff4668403efdb304dc0106533f6.log
- /data/data/####/a4be9ff4668403efdb304dc0106533f6.log.temp
- /data/data/####/asmlkuti.jar
- /data/data/####/b6eed29ca36dcd97706403943a24d654
- /data/data/####/c11f9119b34a4b77053fd30f042154ce
- /data/data/####/e2d119a1c8895232098cd0bba4d5750c.log
- /data/data/####/e2d119a1c8895232098cd0bba4d5750c.log.temp
- /data/data/####/e64db61cc859d4aa808dc59fa18db2ff.log
- /data/data/####/e64db61cc859d4aa808dc59fa18db2ff.log.temp
- /data/data/####/ff533ee364e852cd5369a6766a6f448b.log
- /data/data/####/ff533ee364e852cd5369a6766a6f448b.log.temp
- /data/data/####/gameid
- /data/data/####/gameid.zip
- /data/data/####/libersr.so
- /data/data/####/libersr.so-32
- /data/data/####/libersr.so-64
- /data/data/####/mwcore.apk
- /data/data/####/mwcore.dex (deleted)
- /data/data/####/mwdzspln.apkdata
- /data/data/####/port.xml
- /data/data/####/wmrohesms.db
- /data/data/####/wmrohesms.db-journal
- /data/data/####/yd_config_c.xml
- /data/media/####/.uidoslog
Другие:
Запускает следующие shell-скрипты:
- cat /proc/version
- cat /sys/class/net/wlan0/address
- getprop
- getprop ro.board.platform
- getprop ro.product.cpu.abi
Загружает динамические библиотеки:
- libersr
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
