Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.248.origin
- Android.Triada.373.origin
- Android.Xiny.240.origin
Предлагает установить сторонние приложения.
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) i####.api.qiazhiw####.cn:10003
- TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10002
- TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10201
- TCP(HTTP/1.1) wn.qiazhiw####.cn.####.net:80
- TCP(HTTP/1.1) h####.api.fly####.com:80
- TCP(HTTP/1.1) api.y####.com:8080
- TCP(HTTP/1.1) www.uu####.com:80
- TCP(HTTP/1.1) gdv.a.s####.com:80
- TCP(HTTP/1.1) q####.a####.com:80
- TCP(HTTP/1.1) ji####.jieme####.com:8152
- TCP(HTTP/1.1) xz####.zhan####.com:10011
- TCP(HTTP/1.1) 1####.159.131.193:10201
- TCP(HTTP/1.1) e.angs####.com:6284
- TCP(HTTP/1.1) 1####.62.54.183:9004
- TCP(HTTP/1.1) 1####.129.132.111:8001
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) da####.c####.qini####.com:80
- TCP(HTTP/1.1) www.palmfun####.cn:80
- TCP(HTTP/1.1) www.uu####.xyz:80
- TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10001
- TCP(HTTP/1.1) yuey####.ld####.com:80
- TCP(TLS/1.0) gv1.x####.com:443
- TCP(TLS/1.0) 1####.217.20.110:443
Запросы DNS:
- a####.u####.com
- api.y####.com
- c####.h####.com.cn
- e.angs####.com
- gv1.x####.com
- h####.api.fly####.com
- i####.api.qiazhiw####.cn
- i####.api.qiazhiw####.cn
- i.t####.com
- ji####.dl####.com
- ji####.jieme####.com
- l.ace####.com
- pv.s####.com
- re####.api.qiazhiw####.cn
- sdk.api.qiazhiw####.cn
- wn.qiazhiw####.cn
- www.palmfun####.cn
- www.uu####.com
- www.uu####.xyz
- x####.bj####.cn
- xz####.zhan####.com
- yuey####.ld####.com
Запросы HTTP GET:
- api.y####.com:8080/sdk/mobile-area?model=####&cellid=####&osbuild=####&i...
- da####.c####.qini####.com/tytan0605114.apk
- gdv.a.s####.com/cityjson?ie=####
- q####.a####.com/jieplginf/wchzfdat25
- q####.a####.com/xinzffe/zxkjdata162s
- wn.qiazhiw####.cn.####.net/update/up09137088
- www.uu####.com/2/c-g.txt
- www.uu####.xyz/2/c-g.txt
Запросы HTTP POST:
- a####.u####.com/app_logs
- e.angs####.com:6284/android.frontserver/pcsvc
- e.angs####.com:6284/android.frontserver/pcsvc?r=####
- h####.api.fly####.com/api/payment/mobileInit.html
- i####.api.qiazhiw####.cn:10003/v2/chis
- ji####.jieme####.com:8152/ryf_webserver/payment/checkupdate.html
- l.ace####.com/ando/v2/lv?app_id=####&r=####
- sdk.api.qiazhiw####.cn:10001/v2/adconfig/get?app_id=####&t=####
- sdk.api.qiazhiw####.cn:10001/v2/bag/monitor?app_id=####&t=####
- sdk.api.qiazhiw####.cn:10001/v2/sdk/init?app_id=####&t=####
- sdk.api.qiazhiw####.cn:10001/v2/update/check?app_id=####&t=####
- sdk.api.qiazhiw####.cn:10002/v2/callback/message?app_id=####&t=####
- sdk.api.qiazhiw####.cn:10002/v2/log/add?app_id=####&t=####
- sdk.api.qiazhiw####.cn:10201/v2/sdk/report?app_id=####&t=####
- www.palmfun####.cn/fee/active
- www.palmfun####.cn/fee/searchpc
- xz####.zhan####.com:10011/zxhypay/action/update.do
- yuey####.ld####.com/channel/paymentHandle.action?requestId=####&v=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/1538073508379_2439
- /data/data/####/1538073508425_2439
- /data/data/####/1538073508486_2439
- /data/data/####/1538073508505_2439
- /data/data/####/1538073508912_2439
- /data/data/####/1538073513634_2439
- /data/data/####/1538073515483_2439
- /data/data/####/1B3A2967E5FD862EFD957606C65C8122
- /data/data/####/30592A6B8B0C769E3F7FDE6E1A033DF5
- /data/data/####/3b5a5f0f33bb728d88b82eb4db7bc4905|account_file.xml
- /data/data/####/5oTH7vLcyt4lCQCsHm89q6II2KjoYf-O.new
- /data/data/####/6CR2R62-MFeMqnYOmbl5a83oZCg=.new
- /data/data/####/6XtiqKGEBaakcb7MBh4EPZ5p6nYZ2fiC-Ku9IImppMI=.new
- /data/data/####/70JNo5fuPuqiLuQHNvTbVGh4ITSspgr2_D2Gew==.new
- /data/data/####/A4KSIqur9hA3tsqON0uj7A7maNw7zFVe.new
- /data/data/####/Aa5Rra99qGtBTbSixSJSUIwQ38y_xdsASIwPrtkkkg0=.new
- /data/data/####/ArU6xsDAoSfW0Va0lnMeLQ==
- /data/data/####/B0NqEs9bEKJpVOmY0XnE2K0atmZ-OgeL.new
- /data/data/####/Cd3TBqgMjAReHslY5gQgeiTUJ2RNsT2H.new
- /data/data/####/Dk4BQRJUkMyOwJNhL5RBGg==
- /data/data/####/EYumfdM6ECp0-jGi39thewllCLY=.new
- /data/data/####/F85C58A2196623557E8A00D8A4680702
- /data/data/####/FK_QaJZBw3DMi8n1zfqz958NyvQ7NGOMhg9mnLc6828=.new
- /data/data/####/GZFOHhDVpBuCSV9H7kUb49wfr38=
- /data/data/####/LpxdAkDEcTvaxxXWxmG8_wA7goexUIE6YMhHCw==.new
- /data/data/####/NrqakS6u3DRDSYyVe-_1mof4s8JGcQzX.new
- /data/data/####/PEKvKj7ogbDyP41p-H7xZ4SUkb4=.new
- /data/data/####/PrMRXr4j3NLhiHa3sSf8C8DM2HJkWJXS.new
- /data/data/####/QJGXmBgWwMXyjip6Xi7XWlO7GabSlZVXFk-jinoViEc=.new
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/TDpref_game.xml
- /data/data/####/TDpref_longtime.xml
- /data/data/####/TDpref_longtime3.xml
- /data/data/####/TDpref_shorttime.xml
- /data/data/####/TDpref_shorttime3.xml
- /data/data/####/V7WX_lmRe9wpZHzvuey00Q==.new
- /data/data/####/XinZF_config.xml
- /data/data/####/XinZFsmspay.db
- /data/data/####/XinZFsmspay.db-journal
- /data/data/####/YGRwVvtN0bWUgLX68nXp4Q==.new
- /data/data/####/ZodqnePw0qZjEluV-rT7iQ==.new
- /data/data/####/a41ef78f80bd3e308dc65bb85a782673.xml
- /data/data/####/c8ef51bca7c6ca597d96a5924f5daec5.xml
- /data/data/####/com_android_command_nn_v.xml
- /data/data/####/config50392.xml
- /data/data/####/db3284fc93bacac81bd058e5fb28483c.xml
- /data/data/####/download.db
- /data/data/####/download.db-journal
- /data/data/####/e5a7fd91687a94e8eba9a721ad5e9ded.xml
- /data/data/####/fDqWOo-0N5bUTWlGe5Jz7A8vMJI=.new
- /data/data/####/fTZzp-dWzMNF6Cco
- /data/data/####/jiepay_config.xml
- /data/data/####/jiepayplugin.apk
- /data/data/####/jiepaysmspay.db
- /data/data/####/jiepaysmspay.db-journal
- /data/data/####/kDCWAO8zunC0rZ0y
- /data/data/####/kb_idle.ini
- /data/data/####/kv_cf.ini
- /data/data/####/libexec.so
- /data/data/####/my.wtyt0rr.ldk2.bn.sdk.szwcsss.common.az.a.a_ms...ournal
- /data/data/####/my.wtyt0rr.ldk2.bn.sdk.szwcsss.common.az.a.a_mseg.db
- /data/data/####/my.wtyt0rr.ldk2.xml
- /data/data/####/my.wtyt0rr.ldk2_preferences.xml
- /data/data/####/nTt-LNEDGi3Zs_lOtLCKPFtfiW5g7wMZ_A4aUNJ8SYEE2WE...ournal
- /data/data/####/nTt-LNEDGi3Zs_lOtLCKPFtfiW5g7wMZ_A4aUNJ8SYEE2WE1Te-94wg==
- /data/data/####/nTt-LNEDGi3Zs_lOtLCKPFtfiW5g7wMZ_EWDgktzcJ5w=-journal
- /data/data/####/nTt-LNEDGi3Zs_lOtLCKPFtfiW5g7wMZ_G0SOZreILaq963X3
- /data/data/####/nTt-LNEDGi3Zs_lOtLCKPFtfiW5g7wMZ_G0SOZreILaq963X3-journal
- /data/data/####/nTt-LNEDGi3Zs_lOtLCKPFtfiW5g7wMZ_WEAJ7pKdLoUal0...gZL2Y=
- /data/data/####/nTt-LNEDGi3Zs_lOtLCKPFtfiW5g7wMZ_WEAJ7pKdLoUal0...ournal
- /data/data/####/nTt-LNEDGi3Zs_lOtLCKPFtfiW5g7wMZ_pg9VGO7-IL8iTX...ournal
- /data/data/####/nTt-LNEDGi3Zs_lOtLCKPFtfiW5g7wMZ_pg9VGO7-IL8iTXe5bu1tDA==
- /data/data/####/new_md.jar
- /data/data/####/nn.jaru
- /data/data/####/nn_app.xml
- /data/data/####/qrzvvq_f.zip
- /data/data/####/rdata_comganwplbw.new
- /data/data/####/runner_info.prop.new
- /data/data/####/s84RW11U1cREEPHGEdXf9_wrbLE=.new
- /data/data/####/sdk.xml
- /data/data/####/shunpay_config
- /data/data/####/sms_db
- /data/data/####/sms_db-journal
- /data/data/####/tdid.xml
- /data/data/####/uHEF4hLeLi-I5u5w.zip
- /data/data/####/uaXNFedYDjXy8XlGAI3FVW34ZE4s9FiB.new
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/up09137088
- /data/data/####/up09137088.jar
- /data/data/####/up09137088.jar (deleted)
- /data/data/####/vylhFLbZSoIEHPhKKgY-4SQg75BJ_cfy.new
- /data/data/####/webview.db-journal
- /data/data/####/wgLYeEoe2JhgtkmICQl1oTx3skARpeJPiR_YLQ==.new
- /data/data/####/xZ94ORRD9X8P-88A0iFY-uJ-RX-6nwBR.new
- /data/data/####/yf.apk
- /data/data/####/yf.dex (deleted)
- /data/data/####/yy.dt
- /data/data/####/zxxinzf.apk
- /data/data/####/{6109AB2B-769CFABF}_{E0C959CE-1E0E3411}.P2
- /data/data/####/{BE2355DB-D785E335}.PC1
- /data/data/####/{E0C959CE-1E0E3411}.P1
- /data/data/####/{E0C959CE-1E0E3411}.P3
- /data/media/####/.tcookieid
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/msg.db
- /data/media/####/msg.db-journal
- /data/media/####/order
- /data/media/####/r_pkDgN4OhnkSa0D
- /data/media/####/tytan0605114.apk
Другие:
Запускает следующие shell-скрипты:
- /data/data/my.wtyt0rr.ldk2/code-822090/kDCWAO8zunC0rZ0y -p my.wtyt0rr.ldk2 -c com.ganw.plbw.kettle.BananaReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- cat /sys/block/mmcblk0/device/cid
- getprop
- getprop ro.product.cpu.abi
- sh /data/data/my.wtyt0rr.ldk2/code-822090/kDCWAO8zunC0rZ0y -p my.wtyt0rr.ldk2 -c com.ganw.plbw.kettle.BananaReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- libexec
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
