Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.570.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) statson####.pu####.b####.com:80
- TCP(HTTP/1.1) cha####.api.d####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.net:80
- TCP(HTTP/1.1) www.haoxi####.top:80
- TCP(HTTP/1.1) j####.a####.com.####.com:80
- TCP(HTTP/1.1) www.h####.online:80
- TCP(HTTP/1.1) as.ju####.com:80
- TCP(HTTP/1.1) www.go####.com:80
- TCP(HTTP/1.1) h####.b####.com:80
- TCP(TLS/1.0) ssl.gst####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) adser####.go####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) www.go####.nl:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
- TCP agentch####.api.d####.com:5287
- TCP v.m####.com:7701
- TCP v.m####.com:7702
- TCP v.m####.com:7703
Запросы DNS:
- a####.u####.com
- adser####.go####.com
- agentch####.api.d####.com
- and####.cli####.go####.com
- as.ju####.com
- cha####.api.d####.com
- h####.b####.com
- j####.a####.com
- ssl.gst####.com
- statson####.pu####.b####.com
- v.m####.com
- v2.api.d####.com
- www.go####.com
- www.go####.nl
- www.gst####.com
- www.h####.online
- www.haoxi####.top
Запросы HTTP GET:
- as.ju####.com/as?m=####&v=####&av=####&ch=####&k=####&pkg=####&action=##...
- as.ju####.com/as?m=####&v=####&k=####&c=####&pkg=####&json=####
- j####.a####.com.####.com/lib/hbs0911-971d82b2eb5b5e50477bd77f262aa767.jar
- www.go####.com/complete/search?hl=####&client=####&q=####
- www.h####.online/MP_QD_001_real.jar
- www.haoxi####.top/MP_QD_001_md5.txt
Запросы HTTP POST:
- a####.u####.com/app_logs
- cha####.api.d####.com/rest/2.0/channel/4566439036482687977
- cha####.api.d####.com/rest/2.0/channel/channel
- h####.b####.com/app.gif
- statson####.pu####.b####.com/pushlog
- t####.c####.q####.####.net/device/add
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/000.xml
- /data/data/####/23.xml
- /data/data/####/23356507059351895.xml
- /data/data/####/24356507059351895.xml
- /data/data/####/25356507059351895.xml
- /data/data/####/583245.jar
- /data/data/####/YMMsg.db-journal
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_ap_info_cache.json
- /data/data/####/__local_last_session.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/app_config.xml
- /data/data/####/awaken.xml
- /data/data/####/awaken.xml.bak
- /data/data/####/cartoon
- /data/data/####/cartoon-journal
- /data/data/####/com.wh.manhua.henduo.fu.push_sync.xml
- /data/data/####/com.wh.manhua.henduo.fu.xml
- /data/data/####/com.wh.manhua.henduo.fu_preferences.xml
- /data/data/####/hbs0911-971d82b2eb5b5e50477bd77f262aa767.jar
- /data/data/####/plugin-deploy.jar
- /data/data/####/plugin-deploy.key
- /data/data/####/pst.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/user_info.xml
- /data/data/####/y08.jar
- /data/media/####/.cuid
- /data/media/####/.nomedia
- /data/media/####/MP_QD_001_real.jar
- /data/media/####/apps
- /data/media/####/frontia.db
- /data/media/####/frontia.db-journal
- /data/media/####/pushstat_3.1.db
- /data/media/####/pushstat_3.1.db-journal
Другие:
Загружает динамические библиотеки:
- 0oijhy7nvcderty
- bdpush_V1_0
- push-socket
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
