Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.RemoteCode.41.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) yua####.oss-cn-####.aliy####.com:80
- TCP(HTTP/1.1) up####.sdk.jig####.cn:80
- TCP(HTTP/1.1) s####.j####.cn:80
- TCP(HTTP/1.1) p####.tc.qq.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) s####.e.qq.com:80
- TCP(HTTP/1.1) 1####.25.82.88:8484
- TCP(HTTP/1.1) res####.a####.com:80
- TCP(HTTP/1.1) mi.g####.qq.com:80
- TCP(SSL/3.0) s####.j####.cn:443
- TCP(TLS/1.0) s####.j####.cn:443
- TCP 1####.230.236.23:7006
- UDP s.j####.cn:19000
Запросы DNS:
- and####.b####.qq.com
- imgc####.qq.com
- mi.g####.qq.com
- res####.a####.com
- s####.e.qq.com
- s####.j####.cn
- s.j####.cn
- up####.sdk.jig####.cn
- yua####.oss-cn-####.aliy####.com
Запросы HTTP GET:
- mi.g####.qq.com/gdt_mview.fcg?posw=####&posh=####&count=####&r=####&data...
- p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
- res####.a####.com/v3/ip?key=####
- yua####.oss-cn-####.aliy####.com/newsData/news/photo/1513218597217.jpg
- yua####.oss-cn-####.aliy####.com/newsData/news/photo/1516351743704.jpg
- yua####.oss-cn-####.aliy####.com/newsData/news/photo/1516589897970.jpg
- yua####.oss-cn-####.aliy####.com/newsData/news/photo/1517196567392.jpg
- yua####.oss-cn-####.aliy####.com/newsData/news/photo/1520588127425.jpg
- yua####.oss-cn-####.aliy####.com/newsData/news/photo/1521617662733.jpg
- yua####.oss-cn-####.aliy####.com/newsData/news/photo/1521787433054.jpg
- yua####.oss-cn-####.aliy####.com/newsData/news/photo/1523614278923.jpg
- yua####.oss-cn-####.aliy####.com/newsData/news/photo/1523614881451.jpg
- yua####.oss-cn-####.aliy####.com/newsData/news/photo/1523615099939.jpg
- yua####.oss-cn-####.aliy####.com/newsData/news/photo/1523863021755.jpg
- yua####.oss-cn-####.aliy####.com/newsData/news/photo/1523863735656.jpg
- yua####.oss-cn-####.aliy####.com/newsData/news/photo/1525748697032.png
Запросы HTTP POST:
- and####.b####.qq.com/rqd/async
- s####.e.qq.com/activate
- s####.e.qq.com/msg
- s####.j####.cn/v2/report
- up####.sdk.jig####.cn/v1/push/sdk/postlist
Изменения в файловой системе:
Создает следующие файлы:
- /data/anr/traces.txt
- /data/data/####/044dd42c21b602a9ba700ccf4d455f879d8305f11a3d575....0.tmp
- /data/data/####/056b83bf70bdc4d635b02ccb29cfecefc23ae1046883faf....0.tmp
- /data/data/####/06997a139e33230093acd66017cd6b94db57261bb407c53....0.tmp
- /data/data/####/0e25772cd534f2288b68e9a0aeacaddc73d32523c8e1b4c....0.tmp
- /data/data/####/13eeba3e08ef7c2245204ddcfeb58ebd34b661a8e3634fb....0.tmp
- /data/data/####/3c66df40f4898fe147fd404c39d4623ef6d492f0a1e4d24....0.tmp
- /data/data/####/4ea471669ef8b9e94ab3b558d290a7c2c5017b4d3a90f70....0.tmp
- /data/data/####/510c83899b965e56354f40168229dc8a6217268e399d802....0.tmp
- /data/data/####/523d1e45a5bbfbcf17d92c2e4ace72563e9acfb559a60d5....0.tmp
- /data/data/####/583ec0bc51b04aa69790720cd04d31b6aa288e9d401ceeb....0.tmp
- /data/data/####/5a75ee45919052147726d40452aea3e67e875d1df8d7e3a....0.tmp
- /data/data/####/803657fbb6b35f782f7c6c8285d2198b9ebfada90a5b1cc....0.tmp
- /data/data/####/81eec3f0ab837a484a5aeb6ec984f27cd95a8cd58bea964....0.tmp
- /data/data/####/93a40a9eb0bb558d4e798d0cf697b2f644bf071c96dc3d9....0.tmp
- /data/data/####/BuglySdkInfos.xml
- /data/data/####/GDTSDK.db
- /data/data/####/GDTSDK.db-journal
- /data/data/####/JPushSA_Config.xml
- /data/data/####/a5cd38f0d5b647611b13567ff35ccb7d4c411105fb6fa85....0.tmp
- /data/data/####/a62aebbaee002846e79e68525d1e90aad867eef2eb01238....0.tmp
- /data/data/####/a66b6e9c504707371889338e07aab4400b68780d6a18d73....0.tmp
- /data/data/####/appPackageNames_v2
- /data/data/####/b003288174355436365608af6beb74c9bc7cc3254d1a79f....0.tmp
- /data/data/####/ba5b5e198e372772578cb15295dc60f484b5f1a5e2bfa06....0.tmp
- /data/data/####/bacb9fbbba16199259fedd03801f5228fcf85ae2ba7a5f1....0.tmp
- /data/data/####/bugly_db_legu-journal
- /data/data/####/c1712da02de7fdb09e5b30dfbf058f1f3313dd4cf1a5de2....0.tmp
- /data/data/####/cn.jpush.android.user.profile.xml
- /data/data/####/cn.jpush.preferences.v2.rid.xml
- /data/data/####/cn.jpush.preferences.v2.xml
- /data/data/####/d185c09bc6b0f9e2218cee8f50b5cb4705fc5e1d06513ff....0.tmp
- /data/data/####/dc851f41945a180a37a579235717c16912fbb06ef60fc4c....0.tmp
- /data/data/####/ddc8a2cd5aed742a46d9ab11321d5bb8396cc74de074096....0.tmp
- /data/data/####/devCloudSetting.cfg
- /data/data/####/devCloudSetting.sig
- /data/data/####/e3aa47d0ecf2fd2cac2eea211cfd858709588f66008e36d....0.tmp
- /data/data/####/f3ac5036cb4d1f2df64371cc1a77b783841b8e189f1ba49....0.tmp
- /data/data/####/gdt_plugin.jar
- /data/data/####/gdt_plugin.jar.sig
- /data/data/####/gdt_plugin.tmp
- /data/data/####/gdt_plugin.tmp.sig
- /data/data/####/gdt_suid
- /data/data/####/journal.tmp
- /data/data/####/jpush_device_info.xml
- /data/data/####/jpush_local_notification.db
- /data/data/####/jpush_local_notification.db-journal
- /data/data/####/jpush_local_notification.db-wal
- /data/data/####/jpush_stat_cache.json
- /data/data/####/jpush_stat_cache_history.json
- /data/data/####/jpush_statistics.db
- /data/data/####/jpush_statistics.db-journal
- /data/data/####/jpush_statistics.db-shm (deleted)
- /data/data/####/jpush_statistics.db-wal
- /data/data/####/jpush_uncaughtexception_file
- /data/data/####/libnfix.so
- /data/data/####/libshella-2.9.0.2.so
- /data/data/####/libufix.so
- /data/data/####/local_crash_lock
- /data/data/####/mix.dex
- /data/data/####/native_record_lock
- /data/data/####/sdkCloudSetting.cfg
- /data/data/####/sdkCloudSetting.sig
- /data/data/####/security_info
- /data/data/####/share_data.xml
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/update_lc
- /data/data/####/wakeup_cache.json
- /data/media/####/.push_deviceid
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.build.rom.id
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- /system/bin/sh -c type su
- chmod 700 /data/user/0/<Package>/tx_shell/libnfix.so
- chmod 700 /data/user/0/<Package>/tx_shell/libshella-2.9.0.2.so
- chmod 700 /data/user/0/<Package>/tx_shell/libufix.so
- chmod 700 <Package Folder>/tx_shell/libnfix.so
- chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
- chmod 700 <Package Folder>/tx_shell/libufix.so
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.fingerprint
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lenovo.series
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.build.display.id
- getprop ro.yunos.version
- logcat -d -v threadtime
Загружает динамические библиотеки:
- Bugly
- jcore119
- libnfix
- libshella-2.9.0.2
- libufix
- nfix
- ufix
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-ECB-NoPadding
- AES-ECB-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
