Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Panda.1.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) oc.u####.com:80
- TCP(HTTP/1.1) www.pan####.net:8080
- TCP(HTTP/1.1) ap####.diy####.net:80
- TCP(HTTP/1.1) img.l####.b####.com:80
Запросы DNS:
- a####.u####.com
- ap####.diy####.net
- au.u####.co
- au.u####.com
- img.l####.b####.com
- oc.u####.com
- www.pan####.net
Запросы HTTP GET:
- ap####.diy####.net/app/getAppList.do?type=####&index=####&count=####&lan...
- ap####.diy####.net/banner/getBannerAdList.do?adPosition=####&lang=####
- ap####.diy####.net/conf/config.json
- ap####.diy####.net/resourcePackage/getPackageThemeList.do?pkgName=####&i...
- ap####.diy####.net/resourcePackageType/getThemeTypeList.do?lang=####
- img.l####.b####.com/upload_file/2016/09/09/TTI_0d816982-126f-4f86-a3e5-a...
- img.l####.b####.com/upload_file/2016/09/09/TTI_215ef77d-2626-4942-9aa1-1...
- img.l####.b####.com/upload_file/2016/09/09/TTI_360082c5-c40e-4675-b681-0...
- img.l####.b####.com/upload_file/2016/09/09/TTI_84bbca40-437e-48b7-9809-7...
- img.l####.b####.com/upload_file/2016/09/09/TTI_93c66d6e-a861-4361-81aa-9...
- img.l####.b####.com/upload_file/2016/10/27/TTI_a83120b8-6bf7-4ff3-bfa5-2...
- img.l####.b####.com/upload_file/t_TI/2017/01/25/e29eb2ce-cd89-45ce-870b-...
- img.l####.b####.com/upload_file/t_TI/2017/01/27/5b0082da-b289-4b19-a194-...
- img.l####.b####.com/upload_file/t_TI/2017/01/27/edd23630-fc8d-4474-93f3-...
- img.l####.b####.com/upload_file/t_TI/2017/02/02/dc37f21c-d902-4b5b-8145-...
- img.l####.b####.com/upload_file/t_TI/2017/02/09/1ea2640b-52c3-4bba-a652-...
- img.l####.b####.com/upload_file/t_TI/2017/02/09/dd5a6e79-8716-428c-a52d-...
- img.l####.b####.com/upload_file/t_TI/2017/02/10/49752af7-5b7d-4f73-a87d-...
- img.l####.b####.com/upload_file/t_TI/2017/02/10/4a897565-3821-43a3-908f-...
- img.l####.b####.com/upload_file/t_TI/2017/02/10/9cca2804-3d2a-42e5-8eee-...
- img.l####.b####.com/upload_file/t_TI/2017/02/10/bb651ca4-b05e-4963-a629-...
- img.l####.b####.com/upload_file/t_TI/2017/02/18/1af2b023-6c42-49a0-aef5-...
- img.l####.b####.com/upload_file/t_TI/2017/02/18/76aeab51-e543-45fb-8f90-...
- img.l####.b####.com/upload_file/t_TI/2017/03/06/77428355-8296-4de2-84a8-...
- img.l####.b####.com/upload_file/t_TI/2017/03/06/a063bfca-2cf2-4d21-be89-...
- img.l####.b####.com/upload_file/t_TI/2017/03/09/598ccc1e-439a-4610-a877-...
- img.l####.b####.com/upload_file/t_TI/2017/03/09/d293d1d6-8989-4158-b947-...
- img.l####.b####.com/upload_file/t_TI/2017/03/27/0669570a-58f2-4f74-ac1e-...
- img.l####.b####.com/upload_file/t_TI/2017/03/27/1c7cfd46-69b4-48eb-81d5-...
- img.l####.b####.com/upload_file/t_TI/2017/03/27/52fd0241-5ae0-4945-b9dc-...
- img.l####.b####.com/upload_file/t_TI/2017/03/27/7073166b-39f6-4d21-bd00-...
Запросы HTTP POST:
- a####.u####.com/app_logs
- oc.u####.com/check_config_update
- www.pan####.net:8080/Mini/req.action?
- www.pan####.net:8080/banner/req.action?
- www.pan####.net:8080/fview/req.action?
- www.pan####.net:8080/lscr/reqmore?
- www.pan####.net:8080/nlock/request?
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/WORLD_SHARED.xml
- /data/data/####/cn.jpush.serverconfig.xml
- /data/data/####/com.jw.bdas.tejvt;GSID.xml
- /data/data/####/com.jw.bdas.tejvt_preferences.xml
- /data/data/####/com.jw.bdas.tejvt_preferences.xml.bak
- /data/data/####/daemon
- /data/data/####/mobclick_agent_online_setting_com.jw.bdas.tejvt.xml
- /data/data/####/mobclick_agent_online_setting_com.jw.bdas.tejvt.xml.bak
- /data/data/####/typeface.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/media/####/-1131239625.tmp
- /data/media/####/-146908427.tmp
- /data/media/####/-1862734389.tmp
- /data/media/####/-675842061.tmp
- /data/media/####/0827d11f63f4e9d63e38209f4fd57cf0.zip
- /data/media/####/0cec258c-e1a4-4ffd-82c2-2109440d4e01_snapshot.tmp
- /data/media/####/113564e9-e7fb-4da1-b34a-ffe1ffdb972c_snapshot.tmp
- /data/media/####/1463973513.tmp
- /data/media/####/253a851a-1249-4900-9a76-8cf66571f2e0_snapshot.tmp
- /data/media/####/384609b3-5c6a-49d3-a9fb-6792b6b34c8e_snapshot.tmp
- /data/media/####/38b70d64-2291-4ae1-9af7-dcc3e4bcb059_snapshot.tmp
- /data/media/####/466f916e-01a9-4a8d-89fd-0df01868a3fe_snapshot.tmp
- /data/media/####/62925895.tmp
- /data/media/####/868aee6c-93d9-443f-b4ae-4090601c3f3a_snapshot.tmp
- /data/media/####/976e19db-30b5-42dc-b3b2-533e217c5a83_snapshot.tmp
- /data/media/####/bf6f3254-b50f-4b70-994d-76079ee7867e_snapshot.tmp
- /data/media/####/cf590121-74ec-4ac2-a5a2-ff3dd09337f8_snapshot.tmp
- /data/media/####/config.json.tmp
- /data/media/####/e1aec2aa-1748-43bf-8b15-40d7d875bddd_snapshot.tmp
- /data/media/####/f920b6e9-3129-4142-8e8d-bd7919346c96_snapshot.tmp
Другие:
Запускает следующие shell-скрипты:
- chmod 777 <Package Folder>/daemon
- dd if=<Package Folder>/lib/libdaemon.so of=<Package Folder>/daemon
- getprop ro.miui.ui.version.name
- sh
Загружает динамические библиотеки:
- bspatch
- jpush173
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
Осуществляет доступ к информации о входящих/исходящих звонках.
