Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Locker.1068
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(TLS/1.0) e.crashly####.com:443
- TCP(TLS/1.0) 2####.58.212.142:443
- TCP(TLS/1.0) rep####.crashly####.com:443
- TCP(TLS/1.0) sett####.crashly####.com:443
- TCP(TLS/1.0) ssl.google-####.com:443
- TCP(TLS/1.0) googl####.g.doublec####.net:443
Запросы DNS:
- e.crashly####.com
- googl####.g.doublec####.net
- rep####.crashly####.com
- sett####.crashly####.com
- ssl.google-####.com
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.edata
- /data/data/####/5BAC7AA900E7-0001-08EA-15BDBAD1709DBeginSession.cls_temp
- /data/data/####/5BAC7AA900E7-0001-08EA-15BDBAD1709DSessionApp.cls_temp
- /data/data/####/5BAC7AA900E7-0001-08EA-15BDBAD1709DSessionDevice.cls_temp
- /data/data/####/5BAC7AA900E7-0001-08EA-15BDBAD1709DSessionOS.cls_temp
- /data/data/####/5BAC7AA900E7-0001-08EA-15BDBAD1709DSessionUser....leted)
- /data/data/####/5BAC7AAA00C8-0002-08EA-15BDBAD1709D.cls_temp
- /data/data/####/5BAC7AAA00C8-0002-08EA-15BDBAD1709DBeginSession.cls
- /data/data/####/5BAC7AAA00C8-0002-08EA-15BDBAD1709DSessionApp.cls
- /data/data/####/5BAC7AAA00C8-0002-08EA-15BDBAD1709DSessionCrash.cls_temp
- /data/data/####/5BAC7AAA00C8-0002-08EA-15BDBAD1709DSessionDevice.cls
- /data/data/####/5BAC7AAA00C8-0002-08EA-15BDBAD1709DSessionOS.cls
- /data/data/####/5BAC7AAA00C8-0002-08EA-15BDBAD1709DSessionUser.cls_temp
- /data/data/####/5BAC7ABB0109-0003-08EA-15BDBAD1709DBeginSession.cls_temp
- /data/data/####/5BAC7ABB0109-0003-08EA-15BDBAD1709DSessionApp.cls_temp
- /data/data/####/5BAC7ABB0109-0003-08EA-15BDBAD1709DSessionDevice.cls_temp
- /data/data/####/5BAC7ABB0109-0003-08EA-15BDBAD1709DSessionOS.cls_temp
- /data/data/####/5BAC7ABB0109-0003-08EA-15BDBAD1709DSessionUser.cls_temp
- /data/data/####/5BAC7ABC00B5-0001-099A-15BDBAD1709D.cls_temp
- /data/data/####/5BAC7ABC00B5-0001-099A-15BDBAD1709DBeginSession.cls_temp
- /data/data/####/5BAC7ABC00B5-0001-099A-15BDBAD1709DSessionApp.cls_temp
- /data/data/####/5BAC7ABC00B5-0001-099A-15BDBAD1709DSessionCrash.cls_temp
- /data/data/####/5BAC7ABC00B5-0001-099A-15BDBAD1709DSessionDevice.cls
- /data/data/####/5BAC7ABC00B5-0001-099A-15BDBAD1709DSessionOS.cls_temp
- /data/data/####/5BAC7ABC00B5-0001-099A-15BDBAD1709DSessionUser.cls_temp
- /data/data/####/5BAC7AC60027-0002-099A-15BDBAD1709DBeginSession.cls_temp
- /data/data/####/5BAC7AC60027-0002-099A-15BDBAD1709DSessionApp.cls_temp
- /data/data/####/5BAC7AC60027-0002-099A-15BDBAD1709DSessionDevice.cls_temp
- /data/data/####/5BAC7AC60027-0002-099A-15BDBAD1709DSessionOS.cls_temp
- /data/data/####/5BAC7AC60027-0002-099A-15BDBAD1709DSessionUser.cls_temp
- /data/data/####/5BAC7AC7006F-0001-0A25-15BDBAD1709DBeginSession.cls_temp
- /data/data/####/5BAC7AC7006F-0001-0A25-15BDBAD1709DSessionApp.cls_temp
- /data/data/####/5BAC7AC7006F-0001-0A25-15BDBAD1709DSessionDevice.cls_temp
- /data/data/####/5BAC7AC7006F-0001-0A25-15BDBAD1709DSessionEvent...s_temp
- /data/data/####/5BAC7AC7006F-0001-0A25-15BDBAD1709DSessionOS.cls_temp
- /data/data/####/ApplicationCache.db
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/ads-1323386040.dex (deleted)
- /data/data/####/ads-1323386040.jar
- /data/data/####/classes.dex
- /data/data/####/classes.dve
- /data/data/####/classes.jar
- /data/data/####/com.crashlytics.android.internal.D.xml
- /data/data/####/com.crashlytics.prefs.xml
- /data/data/####/com.crashlytics.settings.json
- /data/data/####/com.secneo.tmp2249
- /data/data/####/com.secneo.tmp2282
- /data/data/####/com.secneo.tmp2458
- /data/data/####/com.secneo.tmp2597
- /data/data/####/crash_marker
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/gaClientId
- /data/data/####/google_analytics_v4.db
- /data/data/####/google_analytics_v4.db-journal
- /data/data/####/https_googleads.g.doubleclick.net_0.localstorage
- /data/data/####/https_googleads.g.doubleclick.net_0.localstorage-journal
- /data/data/####/index
- /data/data/####/initialization_marker
- /data/data/####/rs.pedjaapps.kerneltuner_preferences.xml
- /data/data/####/sa_37465b77-5af2-450e-90a1-3c66833af795_1538030279112.tap
- /data/data/####/sa_3781265b-a51d-4e7d-8857-9c4b9f2f048c_1538030249410.tap
- /data/data/####/sa_90edd52b-b969-4fea-8114-879ecd8b4c0a_1538030251012.tap
- /data/data/####/sa_ffe0de79-285d-40b9-a0f9-b551a136d42f_1538030268206.tap
- /data/data/####/session_analytics.tap
- /data/data/####/session_analytics.tap.tmp
- /data/data/####/webview.db
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.nomedia
- /data/media/####/1551453169
- /data/media/####/QQ1551453169
Другие:
Запускает следующие shell-скрипты:
- sh
- su
- su -c logcat -v brief *:V
- sysctl -a
Загружает динамические библиотеки:
- SecShell
Использует следующие алгоритмы для шифрования данных:
- AES-ECB-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-PKCS5Padding
Использует повышенные привилегии.
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
