Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Panda.5.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) www.md####.cn:80
- TCP(HTTP/1.1) updat####.b####.com:80
- TCP(HTTP/1.1) cdn.zs####.cn.####.com:8080
- TCP(TLS/1.0) statson####.pu####.b####.com:443
- TCP(TLS/1.0) api.tui####.b####.com:443
- TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) h####.b####.com:443
- TCP(TLS/1.0) dr-mo####.b####.com:443
- TCP(TLS/1.0) shuruf####.b####.com.####.com:443
- TCP(TLS/1.0) c####.b####.com:443
- TCP(TLS/1.0) updat####.b####.com:443
- TCP(TLS/1.0) daish####.b####.com:443
- TCP sa.tui####.b####.com:5287
Запросы DNS:
- api.tui####.b####.com
- c####.b####.com
- cdn.zs####.cn
- daish####.b####.com
- dr-mo####.b####.com
- h####.b####.com
- log.u####.com
- s####.u####.com
- sa.tui####.b####.com
- shuruf####.b####.com
- statson####.pu####.b####.com
- updat####.b####.com
- www.b####.com
- www.md####.cn
Запросы HTTP GET:
- cdn.zs####.cn.####.com:8080/resource/gis/45
- updat####.b####.com/bin/phoenix.fcgi?product_name=####&app_os=####&sign_...
Запросы HTTP POST:
- www.md####.cn/pservers/loadip
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/02ae0f559fcd87f3cfc350ecffe01da2409282bf1c2f98e....0.tmp
- /data/data/####/06cc193e438259e42846255fe775e00929e148acfa2d572....0.tmp
- /data/data/####/0c99a14ec889e625d103d21f0b6055a218f7fe379dd0ccd....0.tmp
- /data/data/####/0d38b1faff4f4e681956a35dbfbdb4e492eefe5980df6cc....0.tmp
- /data/data/####/0e8ea0d4f025e300a0f3bf8ebfa10d5b4899922ce410f3c....0.tmp
- /data/data/####/151388e348c5ad6c1ec7e2bf71c5a7d5cbb458984c156ad....0.tmp
- /data/data/####/1539168473461.log
- /data/data/####/174a067cbe482012b75e0624eea820ba02c77619d288a74....0.tmp
- /data/data/####/1e63b049dbe9cd64fc714d2bed9c20121439c9f2bd5d172....0.tmp
- /data/data/####/2303a9e669055f8e845564277cc496b514b7616d5f984c5....0.tmp
- /data/data/####/2cbf87982c494f34e6df1b17f9a229e503847cf7008f32d....0.tmp
- /data/data/####/2de064a2e7964203967260450a14f67d1ffc85f17cf367b....0.tmp
- /data/data/####/331a0b218779739225279c63b1583798594840994a03c97....0.tmp
- /data/data/####/3575ce6fe5cc1ff039754d1af087ddea50ef1914b94fa10....0.tmp
- /data/data/####/3ba377a2f989346bd059d533961ad064542fcb12d2112ad....0.tmp
- /data/data/####/400b3fabc2b8060eebf2df0cacb47b48678fc55ef14d577....0.tmp
- /data/data/####/496e9a930e996f097c3dcfb900341dcf83337eb134e0301....0.tmp
- /data/data/####/4b018796f0cd366bc82efffca7a24e70f4aab65603c4eec....0.tmp
- /data/data/####/4e1edb59a3b4237bef1c27364cccdcde1ed81afe98ae2db....0.tmp
- /data/data/####/563446bfa329da61ed4173231214622cb52262dd1557746....0.tmp
- /data/data/####/57064cb674404b916427b6088d1a859e14707fdc10fd7fb....0.tmp
- /data/data/####/5e11bd632142cee1c4b74098bf7ac9d90268b84d1247bf7....0.tmp
- /data/data/####/62691fc2880448d1823f81c4a03a4faed35c2b7f5a4c97f....0.tmp
- /data/data/####/62f1277beb1e3a7dcad9c82e0a5da6339061dec0804f318....0.tmp
- /data/data/####/6ce3b45f1718d600f73c2fc6080170852f04c64a4ea51ef....0.tmp
- /data/data/####/72f1fd023b40e2cf1d2c2f1ecbc6c18bcc2b2405f143b96....0.tmp
- /data/data/####/8832773f865dd36693502eb043c4cad711ab6b1ac77a898....0.tmp
- /data/data/####/8f4362670dbe3ffa079f25a85d7b798606d99acc7ea5d34....0.tmp
- /data/data/####/94d39667198b82353d96c8df174dea4c6ab5643778e8ee6....0.tmp
- /data/data/####/95c52fa08a131a815458f72fe60ef196fa0d9c5dab58e28....0.tmp
- /data/data/####/98ee46d6a0167a00ee0e36312d9472230fa1d437dd0ac56....0.tmp
- /data/data/####/9b6c3bae31206d9cca81293b48d60d548d424436141efb8....0.tmp
- /data/data/####/9c288fe49c3f8c667a7e56bf744c5e6e0f3b1626b59578a....0.tmp
- /data/data/####/RooControlApp_ConfigData.xml
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_ap_info_cache.json
- /data/data/####/__local_last_session.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/__send_data_1539168471577
- /data/data/####/__send_data_1539168484039
- /data/data/####/__send_data_1539168484893
- /data/data/####/a2765a92e04c6c669c1c20fa3f21e24e5810c03b2adefc9....0.tmp
- /data/data/####/a37ccd5a4e1212e12d66b6430604e9bbf5fd7c19505c002....0.tmp
- /data/data/####/ab627ee7285bcf9c60de1d87ac2dbcffc80d5edd3884359....0.tmp
- /data/data/####/abe84b76f242f5c214ad015e7fa451422643d2707b5c606....0.tmp
- /data/data/####/b4462642f0f1be7e1f24e70ed12b4a18aab591e39168ae5....0.tmp
- /data/data/####/b6956869672b9956b866b0b8691f1d1bbc0fe927a41f187....0.tmp
- /data/data/####/b87901ccfb32953dae7c8be7b3f38f047fd124dc6d0cdb1....0.tmp
- /data/data/####/baidu_mtj_sdk_record.xml
- /data/data/####/bb990127f6ec875f510941251eab2575f8bd361ac6f6663....0.tmp
- /data/data/####/bbd9e7ece15f450b2c972fbf58f4b233e49d7155f9d1d91....0.tmp
- /data/data/####/bdservice_v1__local_stat_cache.json
- /data/data/####/bf6404e7d4c265631dacc1a313315dd5f94baecb4431fab....0.tmp
- /data/data/####/c08a95d1967ca299f6500974882e61190cb4c257014161d....0.tmp
- /data/data/####/c1217e8bee4c144c537ca0a97008dd32b646b3feb97bf6c....0.tmp
- /data/data/####/c5b02a2c8036cb2d12991e657d7cb88524333800b4eb648....0.tmp
- /data/data/####/c5eafa3c0503e7150823c4f329fb1b92aba722b1ea5fedb....0.tmp
- /data/data/####/c6064e20ceb9b1b68f7cdad457bc4cb2f5c5f691ea793af....0.tmp
- /data/data/####/c781dbdf08f14ea9d54d939f098ca718e98452950d9d6fc....0.tmp
- /data/data/####/c99722fb51196777cbc65dd297b489d15e9dc4f963e6ed7....0.tmp
- /data/data/####/com.baidu.pushservice.BIND_CACHE.xml
- /data/data/####/com.yaokongqi.qianxun-1.apk.classes1783756301.zip
- /data/data/####/com.yaokongqi.qianxun.push_sync.xml
- /data/data/####/com.yaokongqi.qianxun.self_push_sync.xml
- /data/data/####/com.yaokongqi.qianxun_preferences.xml
- /data/data/####/crab_app_life.xml
- /data/data/####/crab_crash_switch.xml
- /data/data/####/crab_user_info.xml
- /data/data/####/d15ee40709797ef202fbfc922420d7724d816d84f5d8b43....0.tmp
- /data/data/####/d79e6f5cb5972a627c7b992d0a0ab172297253987db44e1....0.tmp
- /data/data/####/eda93c5d583f1822ce6f2c711f904f702eeadd14edd9e49....0.tmp
- /data/data/####/f73ee6b09ae94702c583a3a8a87308745f04e84106fedae....0.tmp
- /data/data/####/fb8d16171bfef811089e5fe6f7a3cf438fa14a0f8484a78....0.tmp
- /data/data/####/fe016a05ef194e73079a46ae10cbbed881cf0c3f93b7c79....0.tmp
- /data/data/####/journal.tmp
- /data/data/####/last_init_crab.xml
- /data/data/####/libcuid.so
- /data/data/####/message.zip
- /data/data/####/multidex.version.xml
- /data/data/####/notification_builder_storage.xml
- /data/data/####/projection__local_stat_cache.json
- /data/data/####/pst.xml
- /data/data/####/pushclient.xml
- /data/data/####/pushinfo.db
- /data/data/####/pushinfo.db-journal
- /data/data/####/pushstat_5.7.1.db
- /data/data/####/pushstat_5.7.1.db-journal
- /data/data/####/qPKmuy.zip
- /data/data/####/tray.db-journal
- /data/data/####/umeng_socialize.xml
- /data/data/####/yunjs
- /data/media/####/.confd
- /data/media/####/.confd-journal
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/.timestamp
- /data/media/####/msg20181010.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- getprop ro.build.display.id
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.smartisan.version
- getprop ro.vivo.os.version
Загружает динамические библиотеки:
- BaiduSpeechSDK
- bdEASRAndroid
- bdSpilWakeup
- bdpush_V2_7
Использует следующие алгоритмы для шифрования данных:
- AES
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CFB-NoPadding
- AES-ECB-PKCS5Padding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
