Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.RemoteCode.178.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) api.ma####.mob####.cn:8080
- TCP(HTTP/1.1) api.gameana####.com:80
- TCP(TLS/1.0) api.s####.1####.com:443
- TCP(TLS/1.0) www.google-####.com:443
- TCP(TLS/1.0) r2---sn####.googlev####.com:443
- TCP(TLS/1.0) lh3.googleu####.com:443
- TCP(TLS/1.0) im####.google####.com:443
- TCP(TLS/1.0) www.you####.com:443
- TCP(TLS/1.0) csi.gst####.com:443
- TCP(TLS/1.0) googl####.g.doublec####.net:443
- TCP(TLS/1.0) tpc.googles####.com:443
Запросы DNS:
- api.gameana####.com
- api.ma####.mob####.cn
- api.unm####.u17888####.com
- csi.gst####.com
- googl####.g.doublec####.net
- im####.google####.com
- lh3.googleu####.com
- r2---sn####.googlev####.com
- tpc.googles####.com
- www.google-####.com
- www.you####.com
Запросы HTTP POST:
- api.gameana####.com/v2/ca52980443ddf32c644d3dd2717a1ea7/events
- api.gameana####.com/v2/ca52980443ddf32c644d3dd2717a1ea7/init
- api.ma####.mob####.cn:8080/mobparkapi/game/downNumber
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/1521499837408.jar
- /data/data/####/1521499837408.tmp
- /data/data/####/180830000110115020d76502fa47997070fc0e9ffe6825a...sp.xml
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/B4671A059E421E76683516730BADCB9A
- /data/data/####/B4671A059E421E76683516730BADCB9A.done
- /data/data/####/admob.xml
- /data/data/####/androeed.xml
- /data/data/####/check.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/external.apk
- /data/data/####/external.so
- /data/data/####/external_dex.apk
- /data/data/####/external_dex.so
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/first_app.xml
- /data/data/####/google_ads_flags_meta.xml
- /data/data/####/https_googleads.g.doubleclick.net_0.localstorage-journal
- /data/data/####/index
- /data/data/####/mid.dex
- /data/data/####/moduleinfos
- /data/data/####/u3kmid.db-journal
- /data/data/####/vungle-journal
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/103
- /data/media/####/103.ch
- /data/media/####/112_base
- /data/media/####/112_base.ch
- /data/media/####/112_off
- /data/media/####/112_off.ch
- /data/media/####/112_on
- /data/media/####/112_on.ch
- /data/media/####/113
- /data/media/####/113.ch
- /data/media/####/118
- /data/media/####/118.ch
- /data/media/####/13
- /data/media/####/13.ch
- /data/media/####/18
- /data/media/####/18.ch
- /data/media/####/1818118
- /data/media/####/1818118.ch
- /data/media/####/ga.sqlite3-journal
- /data/media/####/sub_imei.txt
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- DES
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Отрисовывает собственные окна поверх других приложений.
