Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.308.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) dsa####.quanli####.com:8084
- TCP(HTTP/1.1) www.wsfpei####.com:80
- TCP(HTTP/1.1) www.mas####.com:7006
- TCP(HTTP/1.1) 1####.175.181.49:9000
- TCP(HTTP/1.1) ja####.huita####.com:10091
Запросы DNS:
- dsa####.quanli####.com
- ja####.huita####.com
- www.mas####.com
- www.wsfpei####.com
Запросы HTTP GET:
- dsa####.quanli####.com:8084/head_12.png
- dsa####.quanli####.com:8084/head_13.png
- dsa####.quanli####.com:8084/head_20.png
- dsa####.quanli####.com:8084/head_33.png
- dsa####.quanli####.com:8084/head_36.png
- dsa####.quanli####.com:8084/head_50.png
- dsa####.quanli####.com:8084/head_51.png
- dsa####.quanli####.com:8084/head_55.png
- dsa####.quanli####.com:8084/head_57.png
- dsa####.quanli####.com:8084/head_58.png
- dsa####.quanli####.com:8084/tupian/banner_marsk.png
- dsa####.quanli####.com:8084/tupian/banner_point.png
- dsa####.quanli####.com:8084/tupian/banner_point_select.png
- dsa####.quanli####.com:8084/tupian/iv_1a.png
- dsa####.quanli####.com:8084/tupian/iv_1b.png
- dsa####.quanli####.com:8084/tupian/iv_2a.png
- dsa####.quanli####.com:8084/tupian/iv_2b.png
- dsa####.quanli####.com:8084/tupian/iv_3a.png
- dsa####.quanli####.com:8084/tupian/iv_3b.png
- dsa####.quanli####.com:8084/tupian/iv_4a.png
- dsa####.quanli####.com:8084/tupian/iv_4b.png
- dsa####.quanli####.com:8084/tupian/iv_5a.png
- dsa####.quanli####.com:8084/tupian/iv_5b.png
- dsa####.quanli####.com:8084/tupian/iv_back.png
- dsa####.quanli####.com:8084/tupian/iv_big_play.png
- dsa####.quanli####.com:8084/tupian/iv_hd.png
- dsa####.quanli####.com:8084/tupian/iv_info_progress.png
- dsa####.quanli####.com:8084/tupian/iv_info_tobig.png
- dsa####.quanli####.com:8084/tupian/iv_play.png
- dsa####.quanli####.com:8084/tupian/iv_player.png
- dsa####.quanli####.com:8084/tupian/iv_shu.png
- dsa####.quanli####.com:8084/tupian/love.png
- dsa####.quanli####.com:8084/ys91/10t1.jpg
- dsa####.quanli####.com:8084/ys91/1t1.jpg
- dsa####.quanli####.com:8084/ys91/2t1.jpg
- dsa####.quanli####.com:8084/ys91/3t1.jpg
- dsa####.quanli####.com:8084/ys91/4t1.jpg
- dsa####.quanli####.com:8084/ys91/5t1.jpg
- dsa####.quanli####.com:8084/ys91/6t1.jpg
- dsa####.quanli####.com:8084/ys91/7t1.jpg
- dsa####.quanli####.com:8084/ys91/8t1.jpg
- dsa####.quanli####.com:8084/ys91/9t1.jpg
- dsa####.quanli####.com:8084/ysxin/vip4/1.jpg
- dsa####.quanli####.com:8084/ysxin/vip4/2.jpg
- dsa####.quanli####.com:8084/ysxin/vip4/3.jpg
- dsa####.quanli####.com:8084/ysxin/vip4/4.jpg
- dsa####.quanli####.com:8084/ysxin/vip4/41.jpg
- dsa####.quanli####.com:8084/ysxin/vip4/42.jpg
- dsa####.quanli####.com:8084/ysxin/vip4/45.jpg
- dsa####.quanli####.com:8084/ysxin/vip4/46.jpg
- dsa####.quanli####.com:8084/ysxin/vip4/49.jpg
- dsa####.quanli####.com:8084/ysxin/vip4/49jt1.jpg
- dsa####.quanli####.com:8084/ysxin/vip4/49jt2.jpg
- dsa####.quanli####.com:8084/ysxin/vip4/49jt3.jpg
- dsa####.quanli####.com:8084/ysxin/vip4/49jt4.jpg
- dsa####.quanli####.com:8084/ysxin/vip4/49jt5.jpg
- dsa####.quanli####.com:8084/ysxin/vip4/49jt6.jpg
- dsa####.quanli####.com:8084/ysxin/vip4/5.jpg
- dsa####.quanli####.com:8084/ysxin/vip4/6.jpg
- dsa####.quanli####.com:8084/ysxin/vip4/9.jpg
- dsa####.quanli####.com:8084/ysxin/vip5/1.jpg
- www.wsfpei####.com/hui_cdn_config.json
Запросы HTTP POST:
- ja####.huita####.com:10091/wisdom/marking
- www.mas####.com:7006/ad_server/get_seed
- www.mas####.com:7006/ad_server/upload_device
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/0508d570cbf1837e66d7c7b687ff5c711fc6bddd1155c54....0.tmp
- /data/data/####/056c7c4b53acc35da3d46fc42b15a5632db1c2cbd36015e....0.tmp
- /data/data/####/093281651913ca4850ab540643b6251c8f0b9d3c8bce3b9....0.tmp
- /data/data/####/1b602fc5b2b228c8746238eb2f6ffdabc93311cb2478068....0.tmp
- /data/data/####/1ded74963a66db2710a46dc7e10b2022d3a93b5e9c6ec61....0.tmp
- /data/data/####/2789238fac3f990b9d35b2074e426e0f7a6e912d766b402....0.tmp
- /data/data/####/2d81290309cc43e2fd9d682392b343670a3c3c5f337cb64....0.tmp
- /data/data/####/323921da928947cb2e4cc66f3992d47ffc6e277bd2dd518....0.tmp
- /data/data/####/384b5470b907f6f4737925c086164a31e9bb83f9bf11da5....0.tmp
- /data/data/####/3b0498372df688b8b5137461dd1b5b6739a9d748d9b0fb3....0.tmp
- /data/data/####/3d0f17dc3a9d60ec33c3971cbde629ab270346620e54f7b....0.tmp
- /data/data/####/40bfc317b884d53879b4f05b0d4eb3c80b860bd88e1376e....0.tmp
- /data/data/####/47119c2317566362d30584471cfd6d2e8ba074d9138d5b6....0.tmp
- /data/data/####/4dd27e07021403712f17121a67bc4b4b9687a051a2d7280....0.tmp
- /data/data/####/4f2c0b4be1e75707cfa2cc5e57ebf35df4cb25de6c6add8....0.tmp
- /data/data/####/54f83c6610b5985b82376399f88a7dd725036c3d73dc448....0.tmp
- /data/data/####/581f75e0b54ebfec8c82ab1b051390f41d171e857051349....0.tmp
- /data/data/####/61342a79a7a63d79ec5614aedb25f5fc0dabe8b865f80a4....0.tmp
- /data/data/####/619f868f29b37369d2f15c9f37ae7a60b8a4026dba61928....0.tmp
- /data/data/####/63942592e3da24527dd775260368360c981a4a7bfa41d43....0.tmp
- /data/data/####/69fdfff1e5dbfd027544de1e7c282141bd837c201c60231....0.tmp
- /data/data/####/70f95383c84a638855a1bae749b9c022c9823781abc0d46....0.tmp
- /data/data/####/734935a87a8b8f92f36c3c9496ddcb21e61caf12879e40e....0.tmp
- /data/data/####/73d70ab093385b6d44c968f63b5180b183e0261b10ffa4f....0.tmp
- /data/data/####/78c753b2c1bb2240f60554bb882396fda35382dffc36c31....0.tmp
- /data/data/####/79bb35754776242ddf71365885c523a90a103007c9422cf....0.tmp
- /data/data/####/7f15949fcb9808e451cf9138ebcf9d3a153a95c5177417f....0.tmp
- /data/data/####/82a83bfe4ae818178107566bb4027694161652556fd93ca....0.tmp
- /data/data/####/8b6a71e933544649741d645e95e80d238e32297805e3a05....0.tmp
- /data/data/####/8b9f609a5e1f0aedc957a08998ae04574f9c064ae1ef478....0.tmp
- /data/data/####/8e1dc23d2ed7afca05f3c1418ab74942a5d2462f500d46f....0.tmp
- /data/data/####/93e5193cea54f739259c69734b6286ca1c676fc4fe712e2....0.tmp
- /data/data/####/94d75499698b12219808aa8707c131c277beded86ab9d10....0.tmp
- /data/data/####/9eccb5e6077bcc73e6245805a5c4b30641bc276d016aeed....0.tmp
- /data/data/####/a098b1d256cfe5d1e1c243121d3053dcc65142abd72adf9....0.tmp
- /data/data/####/a0d3d64a50ce5582b6eaed883d658617c23c16b4424396b....0.tmp
- /data/data/####/a2f4fbff0447a29517f08eee3fab366b3ed2d55bb29245b....0.tmp
- /data/data/####/a467662712e6629a9dc2d5fdd4bc603326268d3a746215b....0.tmp
- /data/data/####/a518edd95e1118d11eee28117ae7dfe2dacfc9814179530....0.tmp
- /data/data/####/a5c2a4704f90cd06dcb42f30296b30c95db945b3e963185....0.tmp
- /data/data/####/b0e93ae25063a3f43f49d8007c62d0521dbd3adcaf8bf10....0.tmp
- /data/data/####/b2474b910ebde213dd42fad8e218127f903a45fcb9ce7da....0.tmp
- /data/data/####/b46e2776fccfebf8248769918cd22259cd6013a7c990dba....0.tmp
- /data/data/####/bce2c363fd942c6df4412b44e597e9eb38a95dd5c59a8de....0.tmp
- /data/data/####/ce2cc936940fa357566194caa845df849adc9efd5aa086d....0.tmp
- /data/data/####/com.example.spsp919_preferences.xml
- /data/data/####/e24c54414b1de68eb34d63551e874688c327e3dab923759....0.tmp
- /data/data/####/e3886710e24d4eeb86f96b9a62b9257ec18a2148bf85cf8....0.tmp
- /data/data/####/e54519f8f4847e23e6bf5052c42bb1266e050d41fce1d1a....0.tmp
- /data/data/####/e5bb97c220efc55e1ff0109e69830f81683584a9a487e8d....0.tmp
- /data/data/####/e67c1b6a1738f599caee1f535080b6cbc3f9a2e06cd73a5....0.tmp
- /data/data/####/e9b3eea363fdecdf2bf0f2ac39d15e9e99b20edcd34f7fd....0.tmp
- /data/data/####/eeeba1bfb4a4491cf6f820c465b312aaad37e44294cec05....0.tmp
- /data/data/####/f94cb3ed4495f78de5f658faf4d5a960a18c0a5c516d08d....0.tmp
- /data/data/####/fac846d64bf17a1dc194be26e610d684a265d6483543980....0.tmp
- /data/data/####/gameid
- /data/data/####/gameid.zip
- /data/data/####/journal.tmp
- /data/data/####/libcsmk.so
- /data/data/####/libcsmk.so-32
- /data/data/####/libcsmk.so-64
- /data/data/####/nane.png
- /data/data/####/oxhtjrwr.jar
- /data/data/####/spdsj.xml
- /data/data/####/yd_config_c.xml
- /data/media/####/.file_uxpak
Другие:
Запускает следующие shell-скрипты:
- cat /proc/version
- cat /sys/class/net/wlan0/address
- getprop
- getprop ro.board.platform
- getprop ro.product.cpu.abi
Загружает динамические библиотеки:
- libcsmk
Использует следующие алгоритмы для шифрования данных:
- AES
- DES
Использует следующие алгоритмы для расшифровки данных:
- AES
- DES
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
