Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Moplus.1
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) mo####.kuku####.com:80
- TCP(HTTP/1.1) reso####.kuku####.com:80
- TCP(HTTP/1.1) www.fengyun####.com:80
- TCP(HTTP/1.1) wap.n.sh####.com:80
- TCP(HTTP/1.1) www.zha####.tv:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) h####.b####.com:80
- TCP(HTTP/1.1) gm.fengyun####.com:80
- TCP(HTTP/1.1) feed####.kuku####.com:80
- TCP(TLS/1.0) ope####.b####.com:443
- UDP s.j####.cn:19000
Запросы DNS:
- ads.mo####.kuku####.com
- api.kuku####.com
- ba####.mo####.kuku####.com
- cli####.kuku####.com
- co####.mo####.kuku####.com
- feed####.kuku####.com
- g####.fengyun####.com
- gm.fengyun####.com
- h####.b####.com
- loc.map.b####.com
- m.b####.com
- mo####.kuku####.com
- mo####.log.kuku####.com
- ope####.b####.com
- re####.mo####.kuku####.com
- real####.mon####.kuku####.com
- real####.mon####.p####.####.cn
- reso####.kuku####.com
- reso####.ws.kuku####.com
- s.j####.cn
- www.fengyun####.com
- www.zha####.tv
Запросы HTTP GET:
- gm.fengyun####.com/gamble/gamblematch/currentv2?device=####&platform=###...
- gm.fengyun####.com/gamble/topic/tags?device=####&platform=####&deviceId=...
- mo####.kuku####.com/core/android/updater_jar.php?apkVersion=####
- reso####.kuku####.com/android/update.php?platform=####&partner=####&vers...
- www.fengyun####.com/AppQuery/appwall?device=####&platform=####&distribut...
- www.fengyun####.com/data/gifts.do?device=####&platform=####&version=####
- www.fengyun####.com/gamble//util/typeconf?device=####&platform=####&devi...
- www.fengyun####.com/gamble/topic/hottopic?device=####&n=####&platform=##...
- www.fengyun####.com/program/banner?uid=####&device=####&platform=####&qu...
- www.fengyun####.com/program/programs?device=####&uid=####&platform=####&...
- www.zha####.tv/?source=####
- www.zha####.tv/mobile/MobileServices/service?device=####&platform=####&v...
Запросы HTTP POST:
- feed####.kuku####.com/datamonitor/feedbackUpdate
- h####.b####.com/app.gif
- loc.map.b####.com/sdk.php
- reso####.kuku####.com/android/loading.php?platform=####&partner=####&sw=...
- wap.n.sh####.com/xcloudboss?r=####&pkgname=####&ver=####&pu=####
- www.fengyun####.com/program/userinterest?deviceId=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/JPushSA_Config.xml
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_last_session.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/air.fyzb3.push_sync.xml
- /data/data/####/air.fyzb3_preferences.xml
- /data/data/####/bids.xml
- /data/data/####/brief_data.xml
- /data/data/####/cn.jpush.serverconfig.xml
- /data/data/####/cool_app.xml
- /data/data/####/jpush_device_info.xml
- /data/data/####/jpush_stat_cache_history.json
- /data/data/####/libprotectClass.so
- /data/data/####/libqupc.so
- /data/data/####/location_stat.xml
- /data/data/####/moplus_psetting.xml
- /data/data/####/moplus_server_config.db-journal
- /data/data/####/pst.xml
- /data/data/####/qihooLock.xml
- /data/data/####/rep.db-journal
- /data/data/####/resume_count.xml
- /data/data/####/sync_record.xml
- /data/data/####/tj.xml
- /data/data/####/ui_parameter.xml
- /data/media/####/.cuid
- /data/media/####/.nomedia
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
Другие:
Запускает следующие shell-скрипты:
- chmod 777 <Package Folder>/files/libqupc.so
- getprop ro.product.cpu.abi
- ps
Загружает динамические библиотеки:
- Protobuf
- fifo-x86
- iomx-ics-x86
- jpush
- libprotectClass
- locSDK3
- ouroboros
- vlcjni-x86
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
