Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.691.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Перехватывает входящие смс и прекращает процесс их передачи обработчикам других приложений.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) z####.heyc####.net:80
- TCP(HTTP/1.1) s####.new####.com:8281
- TCP(HTTP/1.1) shl####.top:9999
- TCP(HTTP/1.1) v####.api.eeric####.com:80
- TCP(HTTP/1.1) v3.ut####.cn:80
- TCP(HTTP/1.1) s####.new####.com:4001
- TCP(TLS/1.0) 1####.217.20.110:443
Запросы DNS:
- s####.new####.com
- s####.new####.com
- shl####.top
- v####.api.eeric####.com
- v3.ut####.cn
- z####.heyc####.net
Запросы HTTP GET:
- s####.new####.com:8281/uploads/libymsdk_23008_v1.0.5314-5-g6486b2b.so
Запросы HTTP POST:
- s####.new####.com:4001/ymsdkv1/api09
- shl####.top:9999/d0212/394
- shl####.top:9999/d427/39a8
- shl####.top:9999/d6259ea/bf7f1
- shl####.top:9999/d690/f3fed2
- shl####.top:9999/d6973/833
- shl####.top:9999/d6e4/defc0
- shl####.top:9999/o371/471ba
- shl####.top:9999/s47a7/e8ec
- shl####.top:9999/sd4c8f/7815a6
- v####.api.eeric####.com/api/payment/mobileInit.html
- v####.api.eeric####.com/api/payment/updateinit_v2
- v3.ut####.cn/utopay/api/sdk/init.pay
- z####.heyc####.net/getlist
- z####.heyc####.net/xlogin
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jar
- /data/data/####/Setting.xml
- /data/data/####/com.youyuekuyin.gameclear.com.sdk.db.DBHelper_m...ournal
- /data/data/####/com.youyuekuyin.gameclear.xml
- /data/data/####/com.youyuekuyin.gameclear_preferences.xml
- /data/data/####/dex.app.xml
- /data/data/####/dpi
- /data/data/####/hid.db
- /data/data/####/libymsdk_23006.so
- /data/data/####/libymsdk_23006.so (deleted)
- /data/data/####/pay_plg.jar
- /data/data/####/userData.xml
- /data/data/####/userDatas.xml
- /data/data/####/utopay.db
- /data/data/####/utopay.db-journal
- /data/data/####/utopay.dex
- /data/data/####/utopay.jar
- /data/data/####/webview.db-journal
- /data/media/####/.nid
- /data/media/####/com.youyuekuyin.gameclear_250026699187743_2018...ay.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh
- cat /sys/class/android_usb/android0/idProduct
- cat /sys/class/android_usb/android0/idVendor
- getprop
- ls -l /dev
- ls -l /dev/block
- ls -l /dev/block/vold
- ls -l /dev/com.android.settings.daemon
- ls -l /dev/cpuctl
- ls -l /dev/cpuctl/apps
- ls -l /dev/cpuctl/apps/bg_non_interactive
- ls -l /dev/graphics
- ls -l /dev/input
- ls -l /dev/log
- ls -l /dev/pts
- ls -l /dev/snd
- ls -l /dev/socket
- ps
Загружает динамические библиотеки:
- cocos2dcpp
- yummy
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
