Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.2083
- Android.DownLoader.546.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) cdn-91v####.b0.a####.com:80
- TCP(HTTP/1.1) gl####.d.kunl####.####.com:80
- TCP(HTTP/1.1) oc.u####.com:80
- TCP(HTTP/1.1) cib####.b0.a####.com:80
- TCP(HTTP/1.1) cyber####.b####.com:80
- TCP(HTTP/1.1) ip.ta####.com:80
- TCP(TLS/1.0) gl####.d.kunl####.####.com:443
- TCP(TLS/1.0) 1####.217.20.110:443
Запросы DNS:
- a####.u####.com
- cdn.9####.com
- cyber####.b####.com
- d####.5####.cn
- g####.le.com
- int.d####.s####.####.cn
- ip.ta####.com
- mt####.go####.com
- oc.u####.com
- up.c####.ott.####.net
- up.t####.tv
Запросы HTTP GET:
- cdn-91v####.b0.a####.com/api3.0/update/423131575766424FF580AF/91vst/2.json
- cdn-91v####.b0.a####.com/in.json?major=####&conf_ver=####&version=####
- cib####.b0.a####.com/apk/cibnvst/updateDownload/MMW77HJA3T88QHG8RMQ8.apk
- gl####.d.kunl####.####.com/app/plugin/20180926/libtvcore.so
- gl####.d.kunl####.####.com/codes/cyberplayer-core-x86-1.15.0.zip
- gl####.d.kunl####.####.com/config.json
- gl####.d.kunl####.####.com/urldex/jar/ac509b81f6d2a09274a40767446eb383
- ip.ta####.com/service/getIpInfo.php?ip=####
Запросы HTTP POST:
- a####.u####.com/app_logs
- cyber####.b####.com/mediasdk/video?method=####&ak=####&time=####&sign=##...
- oc.u####.com/check_config_update
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/analytics.db
- /data/data/####/analytics.db-journal
- /data/data/####/android.jar
- /data/data/####/com.vst.bxxmjflive.odex
- /data/data/####/com.vst.bxxmjflive.zip
- /data/data/####/com.vst.bxxmjflive_extra.xml
- /data/data/####/libjiagu.so
- /data/data/####/liblgsg.so
- /data/data/####/libtvcore.so
- /data/data/####/mEpgObj
- /data/data/####/main.xml
- /data/data/####/mobclick_agent_online_setting_com.vst.bxxmjflive.xml
- /data/data/####/setting.xml
- /data/data/####/so_dex.xml
- /data/data/####/temp.dex (deleted)
- /data/data/####/temp.jar
- /data/data/####/tvbus.tmp
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/media/####/.nomedia
- /data/media/####/vst3.0.apk
Другие:
Запускает следующие shell-скрипты:
- adb -P 5038 fork-server server
- adb devices
- chmod -R 777 /storage/emulated/0/vstlive
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- setprop persist.service.adb.enable 1
- sh
Загружает динамические библиотеки:
- libjiagu
- liblgsg
- libtvcore
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
