Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Xiny.73.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) t####.app####.info:80
- TCP(HTTP/1.1) c####.s####.press:80
- TCP(HTTP/1.1) t####.mialltr####.com:80
- TCP(HTTP/1.1) duc####.b####.com:80
- TCP(HTTP/1.1) v1.s####.press:80
- TCP(HTTP/1.1) c####.adi####.com:80
- TCP(HTTP/1.1) www.okyes####.com:8081
- TCP(HTTP/1.1) clk.s####.press:80
- TCP(HTTP/1.1) s####.hotl####.com:80
- TCP(HTTP/1.1) www.koapk####.com:8081
- TCP(HTTP/1.1) api.reac####.com:80
- TCP(TLS/1.0) t####.te####.io:443
- TCP(TLS/1.0) trac####.a####.com:443
Запросы DNS:
- api.reac####.com
- c####.adi####.com
- c####.s####.press
- clk.s####.press
- duc####.b####.com
- s####.hotl####.com
- t####.app####.info
- t####.mialltr####.com
- t####.te####.io
- trac####.a####.com
- v1.s####.press
- www.koapk####.com
- www.okyes####.com
Запросы HTTP GET:
- api.reac####.com/api/s2s/goto?id=####&t=####&channel=####&appid=####&dev...
- c####.adi####.com/v1/click?offer_id=####&pid=####&cid=####&sub_pid=####&...
- c####.s####.press/tracking/index/5b7ebbcfefa31?gaid=####&idfa=####&aff_s...
- c####.s####.press/tracking/index/5b7ebd33055fd?gaid=####&idfa=####&aff_s...
- c####.s####.press/tracking/index/5b7ebdab01322?gaid=####&idfa=####&aff_s...
- clk.s####.press/tracking/index/?tid=####&gaid=####&idfa=####&aff_sub####...
- duc####.b####.com/click/affClick?aff_sub=####&aff_sub19=####&aff_sub2=##...
- s####.hotl####.com/index3.php?o=####&action=####&chanel=####&package=###...
- t####.app####.info/tracking/index/5b7d4cb35a8c6?gaid=####&idfa=####&andi...
- t####.mialltr####.com/aff_c?s=####&user_id=####&chn=####&advid=####&idfa...
- v1.s####.press/assets/images/0716
- v1.s####.press/get/ads_check/US?version=####
- v1.s####.press/get/con?version=####
- v1.s####.press/get/feeds/US?version=####&api_token=####
Запросы HTTP POST:
- www.koapk####.com:8081/sm/sr/rt/ry
- www.okyes####.com:8081/sdk/nsd.action?b=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/1531717200.jar
- /data/data/####/20160121.xml
- /data/data/####/201806131450.apk
- /data/data/####/201806131450.dex
- /data/data/####/Prefs.xml
- /data/data/####/Q2hhbm5lbElES2V5MjAxNjEyMjcxODU3.xml
- /data/data/####/ag.xml
- /data/data/####/ag.xml.bak
- /data/data/####/alarms.db-journal
- /data/data/####/bdownloaders.db
- /data/data/####/bdownloaders.db-journal
- /data/data/####/c201806131450.apk
- /data/data/####/com.darshancomputing.BatteryIndicatorPro_preferences.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/dev_id.xml.xml
- /data/data/####/duspf6030945.xml
- /data/data/####/index
- /data/data/####/logs.db-journal
- /data/data/####/predictor_sp_store.xml
- /data/data/####/rtr.db
- /data/data/####/rtr.db-journal
- /data/data/####/sp_store.xml
- /data/data/####/sp_store_main.xml
- /data/data/####/ssp_dex.xml
- /data/data/####/ssp_sdk.xml
- /data/data/####/ssp_sdk.xml (deleted)
- /data/data/####/swith1014.db
- /data/data/####/swith1014.db-journal
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/BatteryIndicatorPro-Logs-1535033250163.csv
- /data/media/####/com.sarclmcompution.battery.dev_id.txt
Другие:
Запускает следующие shell-скрипты:
- app_process /system/bin com.android.commands.pm.Pm path <Package>
- awk {print $9}
- grep 2132
- grep 3039
- grep 3660
- grep 4259
- grep 5062
- grep 5811
- grep 6428
- logcat -d -v time
- md5 /data/app/<Package>-1.apk
- ps
- sh
Загружает динамические библиотеки:
- libcom.sarclmcompution.battery
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
