Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Panda.1.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) c####.up####.zdw####.com:80
- TCP(HTTP/1.1) co####.zdw####.com:80
- TCP(HTTP/1.1) yen.zdw####.com:80
- TCP(HTTP/1.1) www.pan####.net:8080
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(TLS/1.0) fu-3f3f####.upaly####.com:443
- TCP(TLS/1.0) co####.zdw####.com:443
- TCP(TLS/1.0) regi####.xm####.xi####.com:443
- TCP(TLS/1.0) c####.up####.zdw####.com:443
Запросы DNS:
- adc####.zdw####.com
- c####.s####.zdw####.com
- c####.s####.zdw####.com
- c####.up####.zdw####.com
- co####.zdw####.com
- cu####.zdw####.com
- fest####.zdw####.com
- fu-3f3f####.upaly####.com
- g####.zdw####.com
- loc.map.b####.com
- network####.zdw####.com
- no####.zdw####.com
- regi####.xm####.xi####.com
- rss.zdw####.com
- sms.zdw####.com
- tag.zdw####.com
- www.pan####.net
- yen.zdw####.com
- z####.zdw####.com
Запросы HTTP GET:
- c####.up####.zdw####.com/1/config?platform=####&sid=####&sys=####&iid=##...
- c####.up####.zdw####.com/en/6010000033?uuid=####&la=####&pm=####&sv=####...
- co####.zdw####.com/ad/common?platform=####&sid=####&last_modified=####&l...
- co####.zdw####.com/business/1?platform=####&sid=####&last_modified=####&...
- yen.zdw####.com/config/upload?platform=####&sid=####&last_modified=####&...
- yen.zdw####.com/holidays/get?platform=####&sid=####&last_modified=####&s...
- yen.zdw####.com/navigation/get?platform=####&sid=####&last_modified=####...
- yen.zdw####.com/params/1001?platform=####&sid=####&last_modified=####&sy...
- yen.zdw####.com/regex/common?platform=####&sid=####&last_modified=####&s...
- yen.zdw####.com/regex/credit?platform=####&sid=####&last_modified=####&s...
Запросы HTTP POST:
- loc.map.b####.com/sdk.php
- www.pan####.net:8080/Mini/req.action?
- www.pan####.net:8080/banner/req.action?
- www.pan####.net:8080/fview/req.action?
- www.pan####.net:8080/lscr/reqmore?
- yen.zdw####.com/api
- yen.zdw####.com/config
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/1533033199117
- /data/data/####/1533033199148
- /data/data/####/INSTALLATION
- /data/data/####/JsonReportPrefs.xml
- /data/data/####/MonitoringServicesPrefs.xml
- /data/data/####/MonitoringServicesPrefs.xml (deleted)
- /data/data/####/WORLD_SHARED.xml
- /data/data/####/com.zds.anid.zdm;GSID.xml
- /data/data/####/com.zds.anid.zdm_alarm_invalid.xml
- /data/data/####/com.zds.anid.zdm_preferences.xml
- /data/data/####/com.zds.anid.zdm_preferences.xml.bak
- /data/data/####/com.zds.anid.zdmsession.xml
- /data/data/####/firll.dat
- /data/data/####/mipush.xml
- /data/data/####/mipush.xml.bak
- /data/data/####/mipush_extra.xml
- /data/data/####/splash_pref.xml
- /data/data/####/zdclock.db-journal
- /data/media/####/.cuid
- /data/media/####/0c4fc7ae661e6845385f28a669438d38.zip
- /data/media/####/2018-07-31
- /data/media/####/20396A0E5AE43FA2A7FBC1E89EE235F1.zdimg
- /data/media/####/4028862AC06D2E46108DB9D7F5FC7213.zdimg
- /data/media/####/43F0CB980614DA0D3036E88806F92A44.zdimg
- /data/media/####/8ACC3EB100E59A9000F7CD7A2633EC95.zdimg
- /data/media/####/8DA05E9C04F91453EE1E2C4AF99BC84E.zdimg
- /data/media/####/ADA07EA00CA7433C42196D27BE4B3E5E.zdimg
- /data/media/####/B3C394657062F2184C8FFC20D1075C3C.zdimg
- /data/media/####/CAF8B166143D303B5FBB7FA3202362AB.zdimg
- /data/media/####/CE7B3925216CC619D4DFE2984FEEF054.zdimg
- /data/media/####/EB184A0C4570E0D8830E65DE2CD5CEC8.zdimg
- /data/media/####/channel.txt
- /data/media/####/conlts.dat
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/yoh.dat
- /data/media/####/yol.dat
- /data/media/####/yom.dat
Другие:
Запускает следующие shell-скрипты:
- /system/bin/ps
- getprop ro.build.version.emui
Загружает динамические библиотеки:
- locSDK5
- zdclock
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CFB-NoPadding
- DES
- RSA
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Осуществляет доступ к информации о зарегистрированных на устройстве аккаунтах (Google, Facebook и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Осуществляет доступ к информации об отправленых/принятых смс.
