Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.589.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) q####.c####.l####.####.com:80
- TCP(HTTP/1.1) tinyq####.ove####.b0.####.com:80
- TCP(HTTP/1.1) da####.c####.qini####.com:80
- TCP(HTTP/1.1) ser####.kv.dandanj####.tv:80
- TCP(HTTP/1.1) l####.chunzhe####.cn:80
- TCP(HTTP/1.1) cdn.app.p####.####.com:80
- TCP(HTTP/1.1) so.pic####.a####.com:80
- TCP(TLS/1.0) ser####.e####.a####.com:443
Запросы DNS:
- au.u####.co
- au.u####.com
- cdn.app.kac####.cn
- cdn.app.p####.top
- cdn.img.p####.top
- fb.u####.com
- i####.dl.l####.net
- l####.chunzhe####.cn
- ser####.e####.a####.com
- ser####.kv.dandanj####.tv
- so.pic####.a####.com
Запросы HTTP GET:
- cdn.app.p####.####.com/upload/201809/26/app/20180926161236296.apk
- cdn.app.p####.####.com/upload/201809/30/app/20180930165728230.apk
- da####.c####.qini####.com/upload/201809/26/img/20180926161209969.png
- da####.c####.qini####.com/upload/201809/30/img/20180930165717926.png
- da####.c####.qini####.com/upload/201810/9/img/20181009173220815.png
- q####.c####.l####.####.com/sfile/201810/10/all/cp_V2.7.4.1.txt
- ser####.kv.dandanj####.tv/online/params?package_name=####
- so.pic####.a####.com/emoji/v1/bag?skip=####&limit=####&from=####&keyword...
- so.pic####.a####.com/emoji/v1/hits?skip=####&limit=####
- so.pic####.a####.com/emoji/v1/resource?skip=####&limit=####&from=####&ke...
- tinyq####.ove####.b0.####.com/emoji/dandan/571f8c55da76f706bdbcc257?imag...
- tinyq####.ove####.b0.####.com/emoji/dandan/587055f79a1aa328bcfb21d0?imag...
- tinyq####.ove####.b0.####.com/emoji/dandan/5b18c2cf2549590af63a1793?imag...
- tinyq####.ove####.b0.####.com/emoji/egg/5709b8a169401b65b57b648e?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/57203fd969401b13ee833519?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/57ec87352549590fa55b0ea8?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/57ec87ae2549590f3d7ae10e?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/57ece7ef2549590f713c2a97?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/589598512549590f8c34852f?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/589598512549590f995318f6?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/58ae58b125495975d9b2319c?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/58e61dc325495975b984fd59?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/58e61dc325495975d9b23522
- tinyq####.ove####.b0.####.com/emoji/egg/58e61dc325495975d9b23522?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/58e61dc42549597553310803?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/58e61dc4254959756ad4ab33?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/58e61dc4254959758a985f75?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/58e61dc425495975aaff93a2?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/58e61dc425495975c80e980b?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/58e61dc425495975c80e980c?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/58e61dc52549597549c5fb9e?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/58e61dc52549597553310804?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/58e61dc5254959756ad4ab34?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/58e61dc525495975aaff93a4?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/58e61dc525495975b984fd5d?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/58e61dc6254959756ad4ab36?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/58e61dc625495975998fc88c?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/58e61dc625495975c80e980f?imageMo...
- tinyq####.ove####.b0.####.com/emoji/egg/5ab48bc22549596a4eca605b?imageVi...
- tinyq####.ove####.b0.####.com/emoji/egg/5add97ce2549596a10e1a74a?imageVi...
- tinyq####.ove####.b0.####.com/emoji/egg/5b17ab3925495912f335f99e?imageVi...
- tinyq####.ove####.b0.####.com/emoji/egg/5b236b3e25495912e45949cd?imageVi...
- tinyq####.ove####.b0.####.com/emoji/egg/5b30bd9825495912d3d899ac?imageVi...
- tinyq####.ove####.b0.####.com/emoji/egg/5b7e8cfe254959436ca6883d?imageVi...
- tinyq####.ove####.b0.####.com/emoji/egg/5baf1e1325495943c672455e?imageVi...
- tinyq####.ove####.b0.####.com/emoji/egg/5bb07b5925495943d5a86ead?imageVi...
- tinyq####.ove####.b0.####.com/emoji/wxcha/56fc9a5a0a57629d13e5fd9e?image...
Запросы HTTP POST:
- l####.chunzhe####.cn/hadat/djgme/twgk
- l####.chunzhe####.cn/hadat/gea/f
- l####.chunzhe####.cn/hadat/mg/x
- l####.chunzhe####.cn/hadat/t/ohlfn
- l####.chunzhe####.cn/hadat/to/bjorf
- l####.chunzhe####.cn/hadat/wnxei/xvgo
- l####.chunzhe####.cn/hadat/yrif/oxn
- l####.chunzhe####.cn/jzbdt/kv/oax
- l####.chunzhe####.cn/jzbdt/qwahv/rlld/ks
- l####.chunzhe####.cn/jzbdt/uz/pfwc
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-ykzzmX4ihH-wAdtGL6qf4xjyWI.1650126146.tmp
- /data/data/####/1wXtsxBUPtMX7FCCw3n3habbk-A.-1109259127.tmp
- /data/data/####/7C4JPLu38i4TW3d6AY7kGU6kt14.-231683039.tmp
- /data/data/####/7MDwI7klXpsroyf4lMaL4seXMpU.-1986027857.tmp
- /data/data/####/8kc6fdRChgg5Sj2V7R8qc7Te4Mc.1593844678.tmp
- /data/data/####/9Jk4D45mvWBMg6EQNyYifxTBgkM.351103726.tmp
- /data/data/####/Alvin2.xml
- /data/data/####/AppStore.xml
- /data/data/####/BmyARKf6nuzwV7TKwuwtsarXAV8.1000338192.tmp
- /data/data/####/CV6bJKIfvU42bqXKSQTQy9Pq8TE.1544067906.tmp
- /data/data/####/ContextData.xml
- /data/data/####/HJ1PI8Lx4XCdClxN8foTc_CF-uQ.-428369904.tmp
- /data/data/####/IVf-bovbB_azCxRz1c9H_m7RhIg.1105954263.tmp
- /data/data/####/J1zGGqwCYHBtlvn07hhCTiErfGE.-1390567999.tmp
- /data/data/####/LbxolCnekk7OLx4hYKlBp9En2AU.-1273144908.tmp
- /data/data/####/M6xoiKDjMjXu2SqtBWT33wHBH4Y.-1783958059.tmp
- /data/data/####/Mp5oOdkkVQUi3yZdcMWg9cpbQ20.628975960.tmp
- /data/data/####/Rreq9v5iV7YrX9LmtJq_lhUgRJ8.2081487427.tmp
- /data/data/####/RzLhkMePDj80oBg2ttsJyaup-KA.-1332455636.tmp
- /data/data/####/RzvtNYRwV4cKuc8UH35jBBqT-Tc.696891196.tmp
- /data/data/####/UmengLocalNotificationStore.db-journal
- /data/data/####/VVECdQTFRUpmJZBD1o6odUfbJ9g.-1438413174.tmp
- /data/data/####/WGDP2S2HowSNTqgzvYcbWfFhXCg.315433549.tmp
- /data/data/####/WcETwf-QaL4YrdLNI4Wt7262f5s.-147921621.tmp
- /data/data/####/WtTansItQnLa0A6aCnEVyAeA2dE.-541222357.tmp
- /data/data/####/Ww5I6nfWG8qg7Js6oqVF6Jh3Pto.-474361717.tmp
- /data/data/####/XTgOP8pW1baIEtSh9iB2s7SqnOs.-1487854628.tmp
- /data/data/####/Z5fBrVzc6i-w0O5LFUaSr_tiNd8.-1894675372.tmp
- /data/data/####/_d6-TJ9AAG8XemnBj6Ehorhdm_4.1916820394.tmp
- /data/data/####/a8zR1--8Jvwehzalj_FvFtdHn-4.-962031537.tmp
- /data/data/####/acw9LYESWJIQRM9hfWcCd0A6av0.1152163407.tmp
- /data/data/####/bw.jar
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/crdYSzjRF94JF5txS7j6wSTXb8E.-1518707725.tmp
- /data/data/####/dsi.xml
- /data/data/####/ifKN_kgJvsFXkzgOSrPLrGUeBRs.569540764.tmp
- /data/data/####/jzBH30hdZiV-uDvGzNj6yixists.533382986.tmp
- /data/data/####/key_user_login
- /data/data/####/kr.xml
- /data/data/####/mobclick_agent_cached_cn.zhuangbi.dashi2
- /data/data/####/mr9skKQm3agLtpYrQB96vccdgLE.-2099165272.tmp
- /data/data/####/online_params_pre.xml
- /data/data/####/pref_sharedpreferences.xml
- /data/data/####/s7Q3MWVapb7fPCKQ9-aRgvpVR8M.1007416340.tmp
- /data/data/####/sfe.xml
- /data/data/####/sxUnjGbytJhu7EYtThF-ksmNzqg.1685703994.tmp
- /data/data/####/t_u.db-journal
- /data/data/####/tcQ3h3uAvRY7TpeHYZPRFgeAUBE.238874101.tmp
- /data/data/####/tmsq1FCEZzfSunJP9TKZqK1OOnU.-620861413.tmp
- /data/data/####/ty.jar
- /data/data/####/tzJxdAHVWy8pG_C4021VXAkaPu8.2030970781.tmp
- /data/data/####/u3eF1rgBLuXzLyOkxqvzOiseX68.110930222.tmp
- /data/data/####/umeng_feedback_conversations.xml
- /data/data/####/umeng_feedback_user_info.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_message_state.xml
- /data/data/####/wPw1VSzpdvR5ra-BuMHDFH9n7AE.1997655127.tmp
- /data/data/####/wv.xml
- /data/data/####/z0u5i70-PXTazEEhwzvZfEc-HjE.1825796129.tmp
- /data/media/####/2ac89324fa069
- /data/media/####/3ceca29d81449
- /data/media/####/59bcc2badcf7e
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/V2.7.4.1.txt
- /data/media/####/b.tmp
- /data/media/####/f05610a069f9c18e165dc6f54e8cafe1.apk
Другие:
Запускает следующие shell-скрипты:
- chmod 777 /storage/emulated/0/Android/data/<Package>/files/Download/Android/azb/f05610a069f9c18e165dc6f54e8cafe1.apk
Загружает динамические библиотеки:
- bspatch
- gifimage
- imagepipeline
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
