Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.443.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) sl.zhang####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) www.hkt####.com:20058
- TCP(HTTP/1.1) gp.sh####.com:80
- TCP(HTTP/1.1) api.tinyhon####.com:80
Запросы DNS:
- a####.u####.com
- api.tinyhon####.com
- gp.sh####.com
- gp.sj####.com
- sl.zhang####.com
- www.hkt####.com
Запросы HTTP GET:
- api.tinyhon####.com/api/getADConfig?app_key=####&duid=####&sdk_version=#...
- gp.sh####.com/cr/sv/getGoFile?name=####
- gp.sh####.com/cr/sv/getRltNew?eid=####&estatus=####&appkey=####&pid=####...
- sl.zhang####.com/apk/des_v171204_32.zip
- sl.zhang####.com/apk/goplaysdk_v171201_sp2.dat
- sl.zhang####.com/rtf/408b845b63828fe074b39ecd1cba374c.slze
- sl.zhang####.com/rtf/42108637bf1aa8173608aa9259693c1b.slze
- sl.zhang####.com/rtf/43048420199e0767a10a7a1a25e65e32.slze
- sl.zhang####.com/rtf/611939f8c2ec5798458a1b43c5d12c08.slze
- sl.zhang####.com/rtf/6172e4a32338b1deed308f899acf3ce1.slze
- sl.zhang####.com/rtf/640adb88b11aaa31cef58f201f381b03.slze
- sl.zhang####.com/rtf/8063d9d8538ce6248951fd430b6c7632.slze
- sl.zhang####.com/rtf/95039bf01df7c9832986cba2bad47076.slze
Запросы HTTP POST:
- a####.u####.com/app_logs
- gp.sh####.com/cr/sv/getEPList
- www.hkt####.com:20058/get/ad_screen
- www.hkt####.com:20058/get/dydata
- www.hkt####.com:20058/get/policy
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.md
- /data/data/####/1536633991873_beta32.so
- /data/data/####/1536633992182_beta32.so
- /data/data/####/1536634039040_beta32.so
- /data/data/####/1536634039200_beta32.so
- /data/data/####/1536634044373_beta32.so
- /data/data/####/1536634044474_beta32.so
- /data/data/####/18B0638B2E0D0744EF90F43B5F573990
- /data/data/####/3BB003B1952CA5A307BEC57459E1F7EF
- /data/data/####/408.jar
- /data/data/####/41E0C976AB756C290FB016E38FCBE75F
- /data/data/####/421.jar
- /data/data/####/430.jar
- /data/data/####/5net2DB8520H46
- /data/data/####/611.jar
- /data/data/####/617.jar
- /data/data/####/640.jar
- /data/data/####/806.jar
- /data/data/####/8354C92E35F4713484AD7A5F37E8F5C8
- /data/data/####/950.jar
- /data/data/####/A90FD52652B6F643B00A05381AC03E6E
- /data/data/####/C319D9D18F2188976BF39A56BEE4994A
- /data/data/####/EA40B0109A60560F1D4719F0A740BD4F
- /data/data/####/FE6B0ED614C147D4485783B3D2B877F4
- /data/data/####/META_INFO.xml
- /data/data/####/META_INFO.xml.bak
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/device_gpid.xml.xml
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/gpdu
- /data/data/####/hftJcw46N.jar
- /data/data/####/ntmp21272150
- /data/data/####/ntmp23422365
- /data/data/####/ntmp24172443
- /data/data/####/pig.falling.net12golden2
- /data/data/####/pig.falling.net_preferences.xml
- /data/data/####/samsung112.jar
- /data/data/####/test
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/us.908GhK3z1XIE6J7u3B4nRKlfEI88s
- /data/data/####/xUtils.db-journal
- /data/media/####/GPMID.bin
- /data/media/####/sysid.dat
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/.play/test <Package Folder>/files/.play/ ed9c97f3db2b473681c464557972b007
- <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s -h ed9c97f3db2b473681c464557972b007 <Package Folder>/.syslib-
- chmod 0771 <Package Folder>/.syslib-
- chmod 770 <Package Folder>/files/.play/test
- getenforce
- rm -f <Package Folder>/files/hftJcw46N.dex
- rm -f <Package Folder>/files/hftJcw46N.jar
- rm -f <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s
- rm <Package Folder>/files/hftJcw46N.dex
- rm <Package Folder>/files/hftJcw46N.jar
- rm <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s
- sh -c /system/usr/toolbox rm -f <Package Folder>/files/hftJcw46N.dex > /dev/null 2>&1
- sh -c /system/usr/toolbox rm -f <Package Folder>/files/hftJcw46N.jar > /dev/null 2>&1
- sh -c /system/usr/toolbox rm -f <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s > /dev/null 2>&1
- sh -c rm <Package Folder>/files/hftJcw46N.dex > /dev/null 2>&1
- sh -c rm <Package Folder>/files/hftJcw46N.jar > /dev/null 2>&1
- sh -c rm <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s > /dev/null 2>&1
- sh -c rm -f <Package Folder>/files/hftJcw46N.dex > /dev/null 2>&1
- sh -c rm -f <Package Folder>/files/hftJcw46N.jar > /dev/null 2>&1
- sh -c rm -f <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s > /dev/null 2>&1
- sh <Package Folder>/files/.play/test <Package Folder>/files/.play/ ed9c97f3db2b473681c464557972b007
- sh <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s -h ed9c97f3db2b473681c464557972b007 <Package Folder>/.syslib-
Загружает динамические библиотеки:
- 1536633991873_beta32
- 1536634039040_beta32
- 1536634044373_beta32
- cocos2dcpp
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
- Blowfish-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
