Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.417.origin
- Android.Triada.440.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) o####.ezap####.com:20351
- TCP(HTTP/1.1) r####.qq####.cn:80
- TCP(HTTP/1.1) t####.yct2####.com:15215
- TCP(HTTP/1.1) h####.i####.net:80
- TCP(HTTP/1.1) f####.ma####.xi####.####.net:80
- TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) d####.g####.xi####.com:443
- TCP(TLS/1.0) z####.ad.xi####.com:443
- TCP(TLS/1.0) o.d####.mi####.####.com:443
Запросы DNS:
- d####.g####.xi####.com
- d####.mi####.xi####.com
- f####.ma####.xi####.com
- h####.i####.net
- ja####.huita####.com
- o####.ezap####.com
- p####.cdb####.cn
- plb####.u####.com
- r####.qq####.cn
- sdkco####.ad.xi####.com
- t####.yct2####.com
- u####.u####.com
- z####.ad.xi####.com
Запросы HTTP GET:
- f####.ma####.xi####.####.net/download/AdCenter/07ed056dbdaa49aedaaecc182...
- r####.qq####.cn/f/AAAAAA0006
Запросы HTTP POST:
- h####.i####.net/api/adStat
- h####.i####.net/api/sdkInit
- h####.i####.net/api/sdkadtrigger
- o####.ezap####.com:20351/ds/
- t####.yct2####.com:15215/ts/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/157a8ade736c2ffa2cec53d5a84c4f85
- /data/data/####/3545c65fd5660e01a9eee8dfed31f66e.xml
- /data/data/####/5232011bfd48b57094c65d22ae3f57e3.log.temp
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/_device_holder_gamesdkplugin.xml
- /data/data/####/_m_rec.xml
- /data/data/####/adCache.xml
- /data/data/####/analytics_api.xml
- /data/data/####/analytics_updater.xml
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQxNTQ3ODI2NDg5;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQxNTQ3ODM4NDAz;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQxNTQ3ODU3NTc5;
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/gameid
- /data/data/####/gameid.zip
- /data/data/####/i==1.2.0&&1.1_1541547826530_envelope.log
- /data/data/####/i==1.2.0&&1.1_1541547858294_envelope.log
- /data/data/####/info.xml
- /data/data/####/libjhae.so
- /data/data/####/libjhae.so-32
- /data/data/####/libjhae.so-64
- /data/data/####/lrpcndgh.jar
- /data/data/####/marsprefile.xml
- /data/data/####/migame.cfg
- /data/data/####/mimo_download.apk.tmp
- /data/data/####/mkbdcj.jar
- /data/data/####/mtDedat
- /data/data/####/mtEndat
- /data/data/####/mt_paythird.jar
- /data/data/####/mt_support.jar
- /data/data/####/options.for.com.mars.hyperrunning.mi.xml
- /data/data/####/plugin_updater.xml
- /data/data/####/report2.db-journal
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_location.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/yd_config_c.xml
- /data/data/####/zeus_crash_info.xml
- /data/data/####/zeus_pms.xml
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.pimdr
- /data/media/####/.umm.dat
- /data/media/####/1.m.log
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/sysid.dat
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- cat /proc/version
- cat /sys/class/net/wlan0/address
- getprop
- getprop ro.board.platform
- getprop ro.product.cpu.abi
- ls /sys/class/thermal
Загружает динамические библиотеки:
- libjhae
- megjb
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
- DES
- RSA
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
- DES
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, IMEI и т. д.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
