Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.691.origin
- Android.SmsSend.1848.origin
- Android.Triada.258.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ji####.jieme####.com:8152
- TCP(HTTP/1.1) a.api-####.com:8190
- TCP(HTTP/1.1) yuey####.ld####.com:80
- TCP(HTTP/1.1) v####.api.eeric####.com:80
- TCP(HTTP/1.1) www.palmfun####.cn:80
- TCP(HTTP/1.1) i####.api.zhifa####.net:10201
- TCP(HTTP/1.1) top.p####.net.####.com:80
- TCP(HTTP/1.1) i####.api.zhifa####.net:10001
- TCP(HTTP/1.1) a.xunfa####.cn:8090
- TCP(HTTP/1.1) c####.api.zhifa####.net:10101
- TCP(HTTP/1.1) wn.qiazhiw####.cn.####.net:80
- TCP(HTTP/1.1) 3####.top:9999
- TCP(HTTP/1.1) p4####.b0.upa####.com:80
- TCP(HTTP/1.1) gdv.a.s####.com:80
- TCP(HTTP/1.1) q####.a####.com:80
- TCP(HTTP/1.1) i####.api.zhifa####.net:10003
- TCP ga.hi####.com:8090
Запросы DNS:
- 3####.top
- a.api-####.com
- a.xunfa####.cn
- b.api-####.com
- c####.api.zhifa####.net
- ga.hi####.com
- i####.api.zhifa####.net
- i####.api.zhifa####.net
- ji####.dl####.com
- ji####.jieme####.com
- p4####.b0.upa####.com
- pv.s####.com
- sdk.api.zhifa####.net
- top.p####.net
- v####.api.eeric####.com
- wn.qiazhiw####.cn
- www.palmfun####.cn
- yuey####.ld####.com
Запросы HTTP GET:
- a.api-####.com:8190/sunnyinit302?channel=####&imsi=####&calltime=####&ca...
- a.api-####.com:8190/turnon302?cpid=####&packagename=####
- a.api-####.com:8190/xpay302?channel=####&pid=####&cpoid=####&smscenter=#...
- a.xunfa####.cn:8090/afee?cpid=####&appfee_id=####&fee=####&smsc=####&ims...
- a.xunfa####.cn:8090/phoneget?cpid=####&ismi=####&calltime=####&callcount...
- gdv.a.s####.com/cityjson?ie=####
- p4####.b0.upa####.com/web/ng/201805/787/c/icon.png
- p4####.b0.upa####.com/web/ng/201805/787/c/pic0.jpg
- p4####.b0.upa####.com/web/ng/201805/787/xgoDaZ9_305320.apk
- p4####.b0.upa####.com/web/ng/201805/797/c/icon.png
- p4####.b0.upa####.com/web/ng/201805/797/c/pic0.jpg
- p4####.b0.upa####.com/web/ng/201805/797/dykwmFF.apk
- q####.a####.com/jieplginf/wchenzfdat24
- top.p####.net.####.com/ng/201612/117/c/icon.jpg
- top.p####.net.####.com/ng/201612/117/c/pic0.png
- top.p####.net.####.com/ng/201709/446/c/icon.png
- top.p####.net.####.com/ng/201709/446/c/pic0.jpg
- top.p####.net.####.com/ng/201709/446/qdddHdlrk_276285.apk
- wn.qiazhiw####.cn.####.net/update/up01036465_66
Запросы HTTP POST:
- 3####.top:9999/cf6c407/b488d
- 3####.top:9999/db5e37/b334d60
- 3####.top:9999/o689/030
- 3####.top:9999/sa94d/a57
- 3####.top:9999/sde1c42e/ddcd66f
- c####.api.zhifa####.net:10101/v2/order/get?app_id=####&t=####
- c####.api.zhifa####.net:10101/v2/splog/config?app_id=####&t=####
- i####.api.zhifa####.net:10001/v2/adconfig/get?app_id=####&t=####
- i####.api.zhifa####.net:10001/v2/bag/monitor?app_id=####&t=####
- i####.api.zhifa####.net:10001/v2/sdk/init?app_id=####&t=####
- i####.api.zhifa####.net:10001/v2/update/check?app_id=####&t=####
- i####.api.zhifa####.net:10003/v2/chis
- i####.api.zhifa####.net:10201/v2/sdk/report?app_id=####&t=####
- ji####.jieme####.com:8152/ryf_webserver/payment/checkupdate.html
- v####.api.eeric####.com/api/payment/mobileInit.html
- v####.api.eeric####.com/api/payment/payDynamic.html
- www.palmfun####.cn/fee/active
- www.palmfun####.cn/fee/searchpc
- yuey####.ld####.com/channel/paymentHandle.action?requestId=####&v=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jar
- /data/data/####/5.3.0.jar
- /data/data/####/JiePay.xml
- /data/data/####/MySms.xml
- /data/data/####/MySms.xml.bak (deleted)
- /data/data/####/b_setting.xml
- /data/data/####/b_share.xml
- /data/data/####/com.xintang.beauty.com.sdk.a.a_mseg.db-journal
- /data/data/####/com.xintang.beauty.xml
- /data/data/####/com.xintang.beauty.xml.bak (deleted)
- /data/data/####/config50325.xml
- /data/data/####/config50325.xml.bak
- /data/data/####/constantcd.xml
- /data/data/####/jiepay_config.xml
- /data/data/####/jiepayplugin.apk
- /data/data/####/ma_call.xml
- /data/data/####/ma_data.xml
- /data/data/####/ma_epay_share.xml
- /data/data/####/ma_phone.xml
- /data/data/####/new_md.jar
- /data/data/####/newfoq.jar
- /data/data/####/nnt_data.xml
- /data/data/####/p2_call.xml
- /data/data/####/p2_data.xml
- /data/data/####/p2_edition.xml
- /data/data/####/p2_epay_choose.xml
- /data/data/####/p2_epay_db
- /data/data/####/p2_epay_db-journal
- /data/data/####/p2_epay_share.xml
- /data/data/####/ppj.jar
- /data/data/####/pretw.xml
- /data/data/####/sp_name_configcom.yf.y.f.init.plugin.util.SPUtil.xml
- /data/data/####/twc.xml
- /data/data/####/twsdk.db
- /data/data/####/twsdk.db-journal
- /data/data/####/up01036465_66
- /data/data/####/up01036465_66.jar
- /data/data/####/userData.xml
- /data/data/####/userDatas.xml
- /data/data/####/webview.db-journal
- /data/data/####/wyzf_configcom.yf.y.f.init.plugin.util.SPUtil.xml
- /data/data/####/wyzf_configcom.yf.y.f.init.util.e.xml
- /data/data/####/yf.apk
- /data/data/####/yy.dt
- /data/media/####/07083c262dd4d9a0122fd4fa31d9956d.cach
- /data/media/####/20f13866820b989138d0169a6eb17044.cach
- /data/media/####/4c056f5b481cef3203b20ea92da6bad1.sds
- /data/media/####/78ae0d26ca18fbc260ab5a4955fe8c73.cach
- /data/media/####/9c8c53097faf307aca9ccfdd2d1fa124.cach
- /data/media/####/aafc3fd0281110c3a8d48d2e23bf072c.sds
- /data/media/####/b30297cfffc457b16f1592c0c4c80b70.cach
- /data/media/####/b9322b83fc3f0cf842f60d262c1cff83.cach
- /data/media/####/d674d71af2a210c09cb70938d0843b9c.sds
- /data/media/####/fc7760aa8f45b267e89873dbe240155a.cach
- /data/media/####/fcdd8500d03d4fa4e9c55cff27e9028c.cach
- /data/media/####/tkhzfd_3009_2301.zip
- /data/media/####/tw
- /data/media/####/userid.cfg
Другие:
Запускает следующие shell-скрипты:
- cat /sys/block/mmcblk0/device/cid
- chmod 777 /storage/emulated/0/tmp/<Package>/4c056f5b481cef3203b20ea92da6bad1.sds
- chmod 777 /storage/emulated/0/tmp/<Package>/aafc3fd0281110c3a8d48d2e23bf072c.sds
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES
- DES-CBC-PKCS5Padding
- DES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-PKCS5Padding
- DES
- DES-CBC-PKCS5Padding
Может автоматически отправлять СМС-сообщения.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации о входящих/исходящих звонках.
Осуществляет доступ к информации об отправленых/принятых смс.
