Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.308.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) www.mas####.com:7006
- TCP(HTTP/1.1) base-12####.c####.myqc####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) fk.7####.cn:19000
- TCP(HTTP/1.1) ja####.huita####.com:10091
- TCP(HTTP/1.1) j####.p####.com:80
- TCP(TLS/1.0) gm.mm####.com:443
- TCP(TLS/1.0) z.c####.com:443
- TCP(TLS/1.0) base-12####.c####.myqc####.com:443
- TCP(TLS/1.0) c.c####.com:443
- TCP(TLS/1.0) hong-12####.cos-web####.ap-guan####.####.com:443
Запросы DNS:
- a####.u####.com
- and####.b####.qq.com
- base-12####.c####.myqc####.com
- c####.mm####.com
- c.c####.com
- fk.7####.cn
- hong-12####.cos-web####.ap-guan####.####.com
- j####.p####.com
- ja####.huita####.com
- s19.c####.com
- www.mas####.com
- z8.c####.com
Запросы HTTP GET:
- base-12####.c####.myqc####.com/alres/video.key
- fk.7####.cn:19000/update.php?id=####
- j####.p####.com/newres2/headimg/head_10.png
- j####.p####.com/newres2/headimg/head_26.png
- j####.p####.com/newres2/headimg/head_27.png
- j####.p####.com/newres2/headimg/head_30.png
- j####.p####.com/newres2/headimg/head_5.png
- j####.p####.com/newres2/headimg/head_55.png
- j####.p####.com/newres2/vpart1/img/bn2/1.jpg
- j####.p####.com/newres2/vpart1/img/bn2/2.jpg
- j####.p####.com/newres2/vpart4/img/62/5.jpg
- j####.p####.com/newres2/vpart4/img/64.jpg
- j####.p####.com/newres2/vpart4/img/64/1.jpg
- j####.p####.com/newres2/vpart4/img/64/2.jpg
- j####.p####.com/newres2/vpart4/img/64/3.jpg
- j####.p####.com/newres2/vpart4/img/64/4.jpg
- j####.p####.com/newres2/vpart4/img/64/5.jpg
- j####.p####.com/newres2/vpart4/img/64/6.jpg
- j####.p####.com/newres2/vpart4/img/66/2.jpg
- j####.p####.com/newres2/vpart4/img/66/4.jpg
- j####.p####.com/newres2/vpart4/img/66/6.jpg
- j####.p####.com/newres2/vpart4/img/70.jpg
- j####.p####.com/newres2/vpart4/video/64/index.m3u8
- j####.p####.com/newres2/vpart4/video/64/index0.ts
- j####.p####.com/newres2/vpart4/video/64/index1.ts
Запросы HTTP POST:
- a####.u####.com/app_logs
- and####.b####.qq.com/rqd/async
- fk.7####.cn:19000/azStatistical.php
- ja####.huita####.com:10091/wisdom/marking
- www.mas####.com:7006/ad_server/get_seed
- www.mas####.com:7006/ad_server/upload_device
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/1581fb112bd77998b54259d79cd45732f9db69b9420855e....0.tmp
- /data/data/####/35c00965fe8519930a08239ee14e972a35dbca5da52fa4d....0.tmp
- /data/data/####/3ba19bb0c29215e6de83085c46b81219b0e6c001c07fb34....0.tmp
- /data/data/####/3e29a4cfed03f537b1ac60172d694a1876cb22d0bdb95db....0.tmp
- /data/data/####/3fea3ef8686f622765f90ee1773f516fead124d8e83b302....0.tmp
- /data/data/####/4a596d103e9b71c065d3be3f4bcc4aace426674e96ee29b....0.tmp
- /data/data/####/593181f7858c9ade2c91b9452275e9422f392f973f533dd....0.tmp
- /data/data/####/5dc05d762a3670a8d0153265e583579f14a2a32330cf9a4....0.tmp
- /data/data/####/772fc8f2fb1f4fa8b8f788c47336fff1f5c8feb9d1178fe....0.tmp
- /data/data/####/7b39bb28fb0d1317bd06d3b102a7853343449088b1f8bea....0.tmp
- /data/data/####/98795e8d6d8d674616c4fa0852563669c065879af65107a....0.tmp
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/bfb3e2a40a7100ab752cfa8936d8cb6254c6dc12ea7c240....0.tmp
- /data/data/####/bugly_db_legu-journal
- /data/data/####/ca289fcdabcf3a633d0358ce2dd6df663ae6fc5ea252da7....0.tmp
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.auybbb.appksii_preferences.xml
- /data/data/####/d96df205cefea643b24d29059be95b87181e819468c2a2f....0.tmp
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/e44b204c950a9558aaa3627f18d9cc8df84136211ddbb60....0.tmp
- /data/data/####/eb9a8a1e188ff3245b7af503a7d057c8e9ce115f57a3a2d....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f5b6b75a80caf5a8cb29cc504ba307ff7594e48e541a797....0.tmp
- /data/data/####/f_000001
- /data/data/####/fa2685106b597c2565562ddff4c0a3870b080d75341dba8....0.tmp
- /data/data/####/gameid
- /data/data/####/gameid.zip
- /data/data/####/index
- /data/data/####/journal.tmp
- /data/data/####/libcsmk.so
- /data/data/####/libcsmk.so-32
- /data/data/####/libcsmk.so-64
- /data/data/####/libnfix.so
- /data/data/####/libshella-2.9.0.2.so
- /data/data/####/libufix.so
- /data/data/####/local_crash_lock
- /data/data/####/mix.dex
- /data/data/####/nane.png
- /data/data/####/native_record_lock
- /data/data/####/ohplrbgr.jar
- /data/data/####/security_info
- /data/data/####/spdsj.xml
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/yd_config_c.xml
- /data/media/####/.file_uxpak
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.build.rom.id
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- /system/bin/sh -c type su
- cat /proc/version
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/tx_shell/libnfix.so
- chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
- chmod 700 <Package Folder>/tx_shell/libufix.so
- getprop
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.fingerprint
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lenovo.series
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.product.cpu.abi
- getprop ro.vivo.os.build.display.id
- getprop ro.yunos.version
- logcat -d -v threadtime
Загружает динамические библиотеки:
- Bugly
- libcsmk
- libnfix
- libshella-2.9.0.2
- libufix
- nfix
- ufix
Использует следующие алгоритмы для шифрования данных:
- AES
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
- DES
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-NoPadding
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
- DES
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, IMEI и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
