Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.691.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) p.s.3####.cn:80
- TCP(HTTP/1.1) s####.s.360.cn:80
- TCP(HTTP/1.1) shl####.top:9999
- TCP(HTTP/1.1) top.p####.net.####.com:80
- TCP(TLS/1.0) 2####.58.212.142:443
- TCP(TLS/1.0) o####.m####.360.cn:443
- TCP(TLS/1.0) mdm.ope####.360.cn:443
- TCP 1####.39.205.50:443
Запросы DNS:
- api.gam####.360.cn
- cc.p####.dc.####.cn
- m####.m####.360.cn
- mdm.ope####.360.cn
- o####.m####.360.cn
- p.s.3####.cn
- s####.s.360.cn
- shl####.top
- top.p####.net
Запросы HTTP GET:
- s####.s.360.cn/ak/02522a2b2726fb0a03bb19f2d8d9524d.html?m2=####
- s####.s.360.cn/ak/6766aa2750c19aad2fa1b32f36ed4aee.html?m2=####
- top.p####.net.####.com/ng/201612/111/c/icon.jpg
- top.p####.net.####.com/ng/201612/111/c/pic0.jpg
- top.p####.net.####.com/ng/201709/446/c/icon.png
- top.p####.net.####.com/ng/201709/446/c/pic0.jpg
- top.p####.net.####.com/ng/201803/702/c/icon.png
- top.p####.net.####.com/ng/201803/702/c/pic0.png
- top.p####.net.####.com/ng/201803/702/hshxUoG_172852.apk
- top.p####.net.####.com/ng/201805/787/c/icon.png
- top.p####.net.####.com/ng/201805/787/c/pic0.jpg
Запросы HTTP POST:
- p.s.3####.cn/pstat/plog.php
- p.s.3####.cn/update/update.php?p=####
- shl####.top:9999/c0df/35764
- shl####.top:9999/d763f3/91c9b4f
- shl####.top:9999/d8fad/5d933d0
- shl####.top:9999/o4bf443/1c814f
- shl####.top:9999/s334/eb7
- shl####.top:9999/sec4ea/53b8
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jar
- /data/data/####/360sdk_1_2008.zip
- /data/data/####/360sdk_1_2106.zip
- /data/data/####/360sdk_3_1000.zip
- /data/data/####/QH_DeviceSDK.xml
- /data/data/####/QH_SDK_M2.xml
- /data/data/####/QH_SDK_UserData02522a2b2726fb0a03bb19f2d8d9524d.xml
- /data/data/####/QH_SDK_UserData6766aa2750c19aad2fa1b32f36ed4aee.xml
- /data/data/####/QH_SDK_sessionID02522a2b2726fb0a03bb19f2d8d9524d.xml
- /data/data/####/Y29tLnJpY2hhcmQuR3JlblpoZQ==.tick.lock
- /data/data/####/com.richard.GrenZhe_preferences.xml
- /data/data/####/frameso
- /data/data/####/pnd620.data
- /data/data/####/push_share.xml
- /data/data/####/qihoo_hosts_cfg.xml
- /data/data/####/qihoo_https_cer_pre.xml
- /data/data/####/sdk_apk_info.xml
- /data/data/####/twsdk.db
- /data/data/####/twsdk.db-journal
- /data/data/####/userData.xml
- /data/data/####/userDatas.xml
- /data/data/####/webview.db-journal
- /data/media/####/.deviceId
- /data/media/####/.iddata
- /data/media/####/.nomedia
- /data/media/####/02522a2b2726fb0a03bb19f2d8d9524d
- /data/media/####/0ad4eaf8240fa99496887e2e890efd08.cach
- /data/media/####/350b40e03cfb67a68396b46ecd1d9cf2.cach
- /data/media/####/36c27425077dbd7dea4c53729815b71d.cach
- /data/media/####/3or
- /data/media/####/3or (deleted)
- /data/media/####/43e8092717b480ff840cf7fc7470501f.cach
- /data/media/####/4bb1ac360ea22f07a7e11e1fb771e313.0.tmp
- /data/media/####/4bb1ac360ea22f07a7e11e1fb771e313.1.tmp
- /data/media/####/59f668eee7d7902766eb8596a1a1b1d1.cach
- /data/media/####/6766aa2750c19aad2fa1b32f36ed4aee
- /data/media/####/6766aa2750c19aad2fa1b32f36ed4aee (deleted)
- /data/media/####/78ae0d26ca18fbc260ab5a4955fe8c73.cach
- /data/media/####/953650ae19be00049fdc8726d17151d9.cach
- /data/media/####/9c8c53097faf307aca9ccfdd2d1fa124.cach
- /data/media/####/GnO
- /data/media/####/GnO (deleted)
- /data/media/####/K0s
- /data/media/####/K0s (deleted)
- /data/media/####/Y29tLnJpY2hhcmQuR3JlblpoZQ==
- /data/media/####/Y29tLnJpY2hhcmQuR3JlblpoZQ== (deleted)
- /data/media/####/b8b2f11bcb77ac7e8c5843b956863627.sds
- /data/media/####/data.lock
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/l2S
- /data/media/####/l2S (deleted)
- /data/media/####/report.lock
- /data/media/####/yK8
- /data/media/####/yK8 (deleted)
Другие:
Запускает следующие shell-скрипты:
- chmod 777 /storage/emulated/0/tmp/<Package>/b8b2f11bcb77ac7e8c5843b956863627.sds
Загружает динамические библиотеки:
- frameso
- game
- qhsdk
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- DES-CBC-PKCS5Padding
- RSA-None-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- DES
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
