Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.440.origin
Загружает из Интернета следующие детектируемые угрозы:
- Android.Triada.440.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) v3.bule####.cn:7001
- TCP(HTTP/1.1) pre.bule####.cn:6501
- TCP(HTTP/1.1) w####.pcon####.com.cn:80
- TCP(HTTP/1.1) up####.tec####.com.cn:80
- TCP(HTTP/1.1) dn.tc####.com:80
- TCP(HTTP/1.1) www.zga####.cn:80
- TCP(HTTP/1.1) i####.tianjim####.com.####.com:80
- TCP(HTTP/1.1) d####.bule####.com:8201
- TCP(HTTP/1.1) 1####.24.54.204:10011
- TCP(HTTP/1.1) i####.c####.net####.com:80
- TCP(HTTP/1.1) q####.a####.com:80
- TCP(TLS/1.0) 1####.217.17.78:443
Запросы DNS:
- d####.bule####.com
- dn.tc####.com
- i####.c####.net####.com
- i####.tianjim####.com
- ma####.marketi####.com
- pre.bule####.cn
- up####.tec####.com.cn
- v3.bule####.cn
- w####.pcon####.com.cn
- www.zga####.cn
Запросы HTTP GET:
- dn.tc####.com/dnfile/IMG/20180928181914t89byo.jpg
- dn.tc####.com/dnfile/IMG/20180928181920wnyck6.jpg
- dn.tc####.com/dnfile/Video/20180928182158if6qt8.mp4
- dn.tc####.com/dnfile/shengjibao/VideoKernelTT0928_98A.jar
- i####.c####.net####.com/catchpic/A/A0/A0153E1AEDA115EAE7061A0C7EBB69D2.jpg
- i####.tianjim####.com.####.com/uploadImages/2015/202/27/57RF8ZHG8A4T_502...
- q####.a####.com/manhua/FLerji/77.txt
- q####.a####.com/manhua/FLyiji/biaoqian.txt
- q####.a####.com/manhua/FLyiji/guanjianci.txt
- q####.a####.com/manhua/SY/gonggao.txt
- q####.a####.com/manhua/SY/viewpage.txt
- up####.tec####.com.cn/2015/0114/1421211858103.jpg
Запросы HTTP POST:
- d####.bule####.com:8201/data/api_data.aspx
- pre.bule####.cn:6501/pre/api_settings.aspx
- v3.bule####.cn:7001/v3/api_request.aspx
- v3.bule####.cn:7001/v3/api_settings.aspx
- w####.pcon####.com.cn/ip.jsp
- www.zga####.cn/sdk/reportQuickAppInstall
- www.zga####.cn/sdk/requestQuickStatus
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/1a51f088b25547a13de919ba66cfdcdd05151097a1427ab....0.tmp
- /data/data/####/58890060841396aa00d0399861efdf298163d1e41f1e3b6....0.tmp
- /data/data/####/61785affb68e058f048ebf90a816d87c9aa7678f5177c8c....0.tmp
- /data/data/####/VideoRes.apk
- /data/data/####/aa9f3bbfa640da4eb05655137ebb66abf3b7c8f153bea91....0.tmp
- /data/data/####/c75957cdcede2fe78f5dd0f0da87dd0b2381b9e6a6c567d....0.tmp
- /data/data/####/codeFile.xml
- /data/data/####/config.xml
- /data/data/####/config_pre7.xml
- /data/data/####/e781877139788d5d1ca117e24abe22ceab6e8bb63a7a666....0.tmp
- /data/data/####/e95e70141c7e432e3b80800f90c9986fd338a350717234b....0.tmp
- /data/data/####/fe4788c7f8451bfcda51f9bc71ab6d767dadb65c49c8383....0.tmp
- /data/data/####/id089f04e5-8b5e-4249-b51c-5428a5687fb1.tmp
- /data/data/####/journal.tmp
- /data/data/####/picaAcg_db
- /data/data/####/picaAcg_db-journal
- /data/data/####/videokernel.apk
- /data/data/####/videonewyd_db-journal
- /data/data/####/webview.db-journal
- /data/media/####/-194922508
- /data/media/####/-571036040
- /data/media/####/.nomedia
- /data/media/####/20180928182158if6qt8.mp4
- /data/media/####/Videoshell.log
- /data/media/####/kernel.dat
Другие:
Запускает следующие shell-скрипты:
- cat /sys/class/net/wlan0/address
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
