Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Plague.1.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) f####.ma####.xi####.####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) tinyq####.ove####.b0.####.com:80
- TCP(HTTP/1.1) wx.q####.cn:80
- TCP(HTTP/1.1) sdkco####.ad.xi####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) trac####.m####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) api.h####.koudaib####.com:80
- TCP(HTTP/1.1) api.ad.xi####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) a####.b####.qq.com:8011
- TCP(HTTP/1.1) thi####.q####.cn:80
- TCP(HTTP/1.1) q.q####.cn:80
- TCP(TLS/1.0) i####.doub####.com:443
- TCP(TLS/1.0) regi####.xm####.xi####.com:443
Запросы DNS:
- 7x####.c####.z0.####.com
- a####.b####.qq.com
- a####.u####.com
- and####.b####.qq.com
- api.ad.xi####.com
- api.h####.koudaib####.com
- f4.ma####.mi####.com
- h####.h####.koudaib####.com
- i####.doub####.com
- loc.map.b####.com
- q.q####.cn
- regi####.xm####.xi####.com
- res.h####.koudaib####.com
- sdkco####.ad.xi####.com
- thi####.q####.cn
- trac####.m####.com
- wx.q####.cn
Запросы HTTP GET:
- api.h####.koudaib####.com/api/common/aver?version=####&channel=####&ts=#...
- api.h####.koudaib####.com/api/common/configs
- api.h####.koudaib####.com/api/search/configs
- api.h####.koudaib####.com/api/series/comments?sid=####&offset=####&count...
- api.h####.koudaib####.com/api/series/detailV3?sid=####
- api.h####.koudaib####.com/api/series/indexV2?offset=####&count=####
- api.h####.koudaib####.com/bbs/api/forum/seriesTopics?sid=####&page=####
- f####.ma####.xi####.####.com/download/AdCenter/0d63f52cae384825ea6fe6b11...
- q.q####.cn/qqapp/1105303990/810B2456102013DB4EC4EBE5662BB66F/100
- q.q####.cn/qqapp/1105303990/AC247FDA9F56EDBB6AE02971D95379C8/100
- sdkco####.ad.xi####.com/api/checkupdate/lastusefulversion?currentApiVers...
- sdkco####.ad.xi####.com/api/detail/54db829f09424caad69f7fb9350fa48d?ts=#...
- sdkco####.ad.xi####.com/api/detail/840bf70d67a6b445ce43b2c62599bd00?ts=#...
- sdkco####.ad.xi####.com/api/detail/a194a0a7214f6cbda0672045c51505d1?ts=#...
- t####.c####.q####.####.com/hj_avatar/FnI6znlhFojt-tlleW0AklXgJsar.jpg
- thi####.q####.cn/mmopen/vi_32/77Dr13EtDbXyBcuvvJ1BNYMRJudDhoKu4vfTADVtmd...
- tinyq####.ove####.b0.####.com/base_a_172cae19dc98baa212b5234dcfde06c8
- tinyq####.ove####.b0.####.com/bd_a_v1
- tinyq####.ove####.b0.####.com/hj_res/FmM2K_w9rMzBIfI1bWqAhmMS4fgP.jpg?im...
- tinyq####.ove####.b0.####.com/qq_a_a69d0bd9609d7f9d8af716e2e4882d62
- tinyq####.ove####.b0.####.com/search_a_n_v1.js
- wx.q####.cn/mmopen/ruZeDohm8l27QXdu5p923hF4DN9JRKiccofEiabfGxKDdhWwaAicK...
Запросы HTTP POST:
- a####.b####.qq.com:8011/rqd/async
- a####.u####.com/app_logs
- and####.b####.qq.com/rqd/async
- api.ad.xi####.com/fetchAds
- loc.map.b####.com/offline_loc
- loc.map.b####.com/sdk.php
- trac####.m####.com/track/v1
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1118661919-726006901
- /data/data/####/-11186619191759761614
- /data/data/####/-494099951482881915
- /data/data/####/-952934838-1587680008
- /data/data/####/.imprint
- /data/data/####/1309465357-340170859
- /data/data/####/333650443737309374
- /data/data/####/410804788-1433676193
- /data/data/####/AdServer_asset.apk
- /data/data/####/ReporterService.xml
- /data/data/####/analytics.apk.tmp
- /data/data/####/analytics.db-journal
- /data/data/####/analytics_asset.apk
- /data/data/####/apkloader.xml
- /data/data/####/bugly_db_-journal
- /data/data/####/classes.jar
- /data/data/####/dbxrdzo-journal
- /data/data/####/firll.dat
- /data/data/####/hanju_app_prefer.xml
- /data/data/####/hanjudb.db-journal
- /data/data/####/heartbeat.xml
- /data/data/####/libanalytics.so
- /data/data/####/libcuid.so
- /data/data/####/local_crash_lock
- /data/data/####/mipush.xml
- /data/data/####/mipush_extra.xml
- /data/data/####/mobclick_agent_online_setting_com.hanju.oubatv.xml
- /data/data/####/ofl.config
- /data/data/####/ofl_location.db
- /data/data/####/ofl_location.db-journal
- /data/data/####/ofl_statistics.db
- /data/data/####/ofl_statistics.db-journal
- /data/data/####/policy.cache
- /data/data/####/requests.db-journal
- /data/data/####/security_info
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/updater.xml
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/.nomedia
- /data/media/####/0212f0ceb24b0b1f2ca24e6cfd8c8bd0f37aca9765c1b4....0.tmp
- /data/media/####/0d7584ec1f6384f84565ab633ac5e009b0c65c1dde6648....0.tmp
- /data/media/####/0ec6d107df1bdf13e7c76179a6b0dc4384e3c88f1ac2fe....0.tmp
- /data/media/####/14af0bdbd3eba33dafd3b92251927810d62e15de754662....0.tmp
- /data/media/####/1e506618804e44a87ee57b90b395e130b07a64fc2b3933....0.tmp
- /data/media/####/24c4b4cada2ab4bb020208832bca1c96.js_temp
- /data/media/####/337adce7b5e97d31a3332d47bff7c72ff8bd46070baea8....0.tmp
- /data/media/####/33a34dcd1ffd1fba740da06bb8cd49c58bdb8f8142c42b....0.tmp
- /data/media/####/45957d44a09478d8656cf7e9bdda52a3adb7c93f4e8ec4....0.tmp
- /data/media/####/508ec9acb604b534ade655d0946fae38ef2adf3c490812....0.tmp
- /data/media/####/666e5d5c241067f94c3486ed77537a0a.js_temp
- /data/media/####/748e059047c57e4307e913729d523459d0e0400b10ecc7....0.tmp
- /data/media/####/74a5e4fee73eddf231334871cc8c7c58ec84f6c0dc49b2....0.tmp
- /data/media/####/88d63e204d69066c8ff345801e7a9d2e08dafd66b1aa30....0.tmp
- /data/media/####/8e2ca8063765d57680595e2b1cdb195e8d21cb89b97297....0.tmp
- /data/media/####/94cc4a5d0e58a917558c5ff9e7fae74acb75b852ede124....0.tmp
- /data/media/####/abaed7c6d8efd8d7e3de7ee44e1b05e6c836f82fdbbd09....0.tmp
- /data/media/####/b17342c883e8086aba531b422b02a97b2052fd850e554f....0.tmp
- /data/media/####/c9a0020bfea7838d7fd460bfa4e87a1d.js_temp
- /data/media/####/ca9e19213c1ca6644f5de660b205379460459c9ba99aa3....0.tmp
- /data/media/####/conlts.dat
- /data/media/####/d9360bb1ff5a2113826009492d616728bedba8de093231....0.tmp
- /data/media/####/f0c3cf6f1047a96b88b9b16ebe86dce0c4efcde9c3770c....0.tmp
- /data/media/####/journal.tmp
- /data/media/####/ller.dat
- /data/media/####/log.lock
- /data/media/####/log1.txt
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/search_a_n_v1.js_temp
- /data/media/####/test.0
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop androVM.vbox_dpi
- /system/bin/sh -c getprop gsm.sim.state
- /system/bin/sh -c getprop gsm.sim.state2
- /system/bin/sh -c getprop qemu.sf.fake_camera
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.debuggable
- /system/bin/sh -c getprop ro.genymotion.version
- /system/bin/sh -c getprop ro.secure
- /system/bin/sh -c type su
- getprop androVM.vbox_dpi
- getprop gsm.sim.state
- getprop gsm.sim.state2
- getprop qemu.sf.fake_camera
- getprop ro.board.platform
- getprop ro.debuggable
- getprop ro.genymotion.version
- getprop ro.secure
Загружает динамические библиотеки:
- Bugly
- locSDK6a
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-GCM-NoPadding
- DES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- AES-GCM-NoPadding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
