Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.248.origin
- Android.Triada.417.origin
- Android.Triada.452.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) t####.yct2####.com:20351
- TCP(HTTP/1.1) 2####.86.5.167:14840
- TCP(HTTP/1.1) MY####.huita####.com:10091
- TCP(HTTP/1.1) r####.qq####.cn:80
- TCP(HTTP/1.1) t####.yct2####.com:15215
- TCP(HTTP/1.1) o####.ezap####.com:20351
- TCP(HTTP/1.1) p####.cdb####.cn:80
- TCP(HTTP/1.1) zvi####.v.qin####.com:80
- TCP(HTTP/1.1) www.a.sh####.com:80
- TCP(HTTP/1.1) gdv.a.s####.com:80
- TCP(TLS/1.0) ssp.v####.com.####.com:443
- TCP(TLS/1.0) pay.v####.com.cn:443
Запросы DNS:
- MY####.huita####.com
- a####.u####.com
- f.up.v####.####.cn
- l.ace####.com
- o####.ezap####.com
- p####.cdb####.cn
- pay.v####.com.cn
- pv.s####.com
- r####.qq####.cn
- ssp.v####.com.cn
- t####.yct2####.com
- www.b####.com
Запросы HTTP GET:
- gdv.a.s####.com/cityjson?ie=####
- p####.cdb####.cn/z/2gfrdsfsad4x.zip
- r####.qq####.cn/f/ymhfghwyf63
- www.a.sh####.com/
Запросы HTTP POST:
- MY####.huita####.com:10091/wisdom/marking
- a####.u####.com/app_logs
- o####.ezap####.com:20351/ds/
- t####.yct2####.com:15215/tr/
- t####.yct2####.com:15215/ts/
- zvi####.v.qin####.com/usrsys/reportUsrsys?version=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1143945219847306209
- /data/data/####/-5NKkyJi5BeOV5wicWhjyQ==.new
- /data/data/####/-AaqE-9sx0RWMF3nOUEXog==
- /data/data/####/.imprint
- /data/data/####/3545c65fd5660e01a9eee8dfed31f66e.xml
- /data/data/####/5232011bfd48b57094c65d22ae3f57e3.log.temp
- /data/data/####/557753b4c802a98bf9ae841ef2783d07
- /data/data/####/5FXmoPxcqx3E6QZqKY7OdllMBUzgAXjF.new
- /data/data/####/5LtkZZvTYzwUmvgt
- /data/data/####/Alvin2.xml
- /data/data/####/BACn9xq2KHTGdbdT8GzvC4JZSIhEKZTCHeRyzg==.new
- /data/data/####/BTxOAq9PYC9PBz3D
- /data/data/####/C2SxCvgvFbwIWpqZhM-TVg==.new
- /data/data/####/CitiGame.ini.xml
- /data/data/####/ContextData.xml
- /data/data/####/ExdebrMZ_L3C8eVWfCCvQpaEymSRj0fqUh93Fup5jps=.new
- /data/data/####/Io8RFe_kUIBpKwlUZkXpjKFXqdM=.new
- /data/data/####/NBlCal__udRX5lsdLjXTrA==.new
- /data/data/####/Qc3racicVF2iG6qXm7rzYplMhR8=.new
- /data/data/####/QcBiLQirRw_3mysBCzvEAKWifGEYtGx6D_wY5BkH1ZU=.new
- /data/data/####/QivV90oH_C0lxYg16uHciIouL6p_4vYKJIufYAiwXGI=.new
- /data/data/####/RMXRLtlxS3OgWbL489UJFiSw4p-90lc2.new
- /data/data/####/VBbLH78kLzRHjdB95ZMJIhMm9_h7b5lf.new
- /data/data/####/VY_zGemQ99bl9UfV-zRlfVsEz8vKE3Dm.new
- /data/data/####/VivoOpenAdSDK.xml
- /data/data/####/WUKwzunm0ZRMk4ozTOfdVdLNDwk=.new
- /data/data/####/X1zQKQfZf2owV53C3oXTxZGmiOxngXN2.new
- /data/data/####/Xkw8G_B5N7JFTNCCtxc-AGqmcv8=.new
- /data/data/####/Zd2JfJ0UoD5WAnlS2MwOxGJHAX8PvyajhOEeFA==.new
- /data/data/####/a0u3tfqeO6DiqQg8.zip
- /data/data/####/aBd_2guOLO3B_PeiMeUU4w==
- /data/data/####/aej6VjkrB9y_U0-JkkAH3l7_jNc=.new
- /data/data/####/bwkkuqba.jar
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.zsfz.mnqcq.vivo_preferences.xml
- /data/data/####/dTIa0mFCKHfAh5i36PZzINO1NpnfItsP_9CWnM5GhSN70ps...ournal
- /data/data/####/dTIa0mFCKHfAh5i36PZzINO1NpnfItsP_9CWnM5GhSN70psZC90SW0g==
- /data/data/####/dTIa0mFCKHfAh5i36PZzINO1NpnfItsP_A6qsiMZJPByyWp...ournal
- /data/data/####/dTIa0mFCKHfAh5i36PZzINO1NpnfItsP_A6qsiMZJPByyWp...wUtEY=
- /data/data/####/dTIa0mFCKHfAh5i36PZzINO1NpnfItsP_Du5dc7TOa6USgh...ournal
- /data/data/####/dTIa0mFCKHfAh5i36PZzINO1NpnfItsP_Du5dc7TOa6USgheSjxyfsQ==
- /data/data/####/dTIa0mFCKHfAh5i36PZzINO1NpnfItsP_GZi9nAfEyy1l6M41-journal
- /data/data/####/dTIa0mFCKHfAh5i36PZzINO1NpnfItsP_Y-9L43Eh3MaqAghk
- /data/data/####/dTIa0mFCKHfAh5i36PZzINO1NpnfItsP_Y-9L43Eh3MaqAghk-journal
- /data/data/####/dTIa0mFCKHfAh5i36PZzINO1NpnfItsP_sXkWOj-uyYpks0Sa-journal
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/gameid
- /data/data/####/gameid.zip
- /data/data/####/gisbasjg.jar
- /data/data/####/hUUml8OUKL17S9l6HyrQiOMab6Y=.new
- /data/data/####/libexec.so
- /data/data/####/libwsxv.so
- /data/data/####/libwsxv.so-32
- /data/data/####/libwsxv.so-64
- /data/data/####/lieuoctc.jar
- /data/data/####/liumoslc.jar
- /data/data/####/lvC7DRplyyetvuve9kg3csuUVGriUb13.new
- /data/data/####/meRxQisporYn_LpBEBngfYaeAOaU2nD5H47CJQ==.new
- /data/data/####/meou.png
- /data/data/####/nbnbgkN0JZYbduov9XWkx504AB4=.new
- /data/data/####/pKhtXmbQVJKc1irxVTb78xMW8ywEYDIb.new
- /data/data/####/prefs_vivounionsdk.xml
- /data/data/####/qvaBDW-sE7bBI-bZ.new
- /data/data/####/rdata_comzsfzmnqcq.new
- /data/data/####/runner_info.prop.new
- /data/data/####/sN8Zpc0MlXwwEFtUVcPd3I_pj0M=
- /data/data/####/srk17gu3IC5u7V3ysuAWcaWyztE=.new
- /data/data/####/tbbavg_f.zip
- /data/data/####/tjxsvtgx.jar
- /data/data/####/trackevents.db-journal
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/ugapgihe.jar
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/unionuserinfo.db-journal
- /data/data/####/vivo_lib_version.xml
- /data/data/####/vivoopenadsdk.db
- /data/data/####/vivoopenadsdk.db-journal
- /data/data/####/vivounionapk_v2.2.1_a1381cb_201704101737.vua
- /data/data/####/xuqqcwpo.jar
- /data/data/####/yd_config_c.xml
- /data/data/####/yqZNazY-0o-uc8XFtj_8mV7oPo4bZe1q.new
- /data/data/####/ztub5Yh6TFg97vmxFwwJsotARbB_k9VC_YAbcF6rrqM=.new
- /data/media/####/.pimdr
- /data/media/####/.uunique.new
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/r_pkDgN4OhnkSa0D
- /data/media/####/sdkaccountinfo.db
- /data/media/####/sdkaccountinfo.db-journal
- /data/media/####/vivounionapk_v2.2.1_a1381cb_201704101737.vua
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- <Package Folder>/code-241240/5LtkZZvTYzwUmvgt -p <Package> -c com.zsfz.mnqcq.sugus.GinkgoReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- cat /proc/version
- cat /sys/class/net/wlan0/address
- getprop
- getprop ro.board.platform
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.product.cpu.abi
- getprop ro.vivo.os.version
- getprop ro.yunos.version
- sh <Package Folder>/code-241240/5LtkZZvTYzwUmvgt -p <Package> -c com.zsfz.mnqcq.sugus.GinkgoReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- cocos2dcpp
- libexec
- libwsxv
- vivo_account_sdk
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, IMEI и т. д.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
