Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.178.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ip####.com:80
- TCP(HTTP/1.1) ad.bers####.info:80
- TCP(TLS/1.0) api.s####.1####.com:443
- TCP(TLS/1.0) e.crashly####.com:443
- TCP(TLS/1.0) sett####.crashly####.com:443
- TCP(TLS/1.0) t.appsf####.com:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
Запросы DNS:
- ad.bers####.info
- and####.cli####.go####.com
- api.unm####.u17888####.com
- cf.bers####.info
- e.crashly####.com
- ip####.com
- p####.go####.com
- sett####.crashly####.com
- stt.bers####.info
- t.appsf####.com
Запросы HTTP GET:
- ad.bers####.info/cr/config?pubid=####&gaid=####&guid=####&pkg_name=####&...
- ad.bers####.info/cr/config?pubid=####&pkg_ver=####&gaid=####&guid=####&n...
- ad.bers####.info/cr/config?pubid=####&pkg_ver=####&gaid=####&guid=####&p...
- ad.bers####.info/m/config?pubid=####&moduleid=####&file_ver=####&lang=##...
- ad.bers####.info/m/config?pubid=####&moduleid=####&gaid=####&guid=####&p...
- ip####.com/json
Запросы HTTP POST:
- ad.bers####.info/nw/ne
- ad.bers####.info/nw/nn
- ad.bers####.info/nw/nu
- ad.bers####.info/nw/nx
- ad.bers####.info/nw/tk
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/0001122018103014490899a053df7f8620a573c912f9bc6...sp.xml
- /data/data/####/09cedb3b912bb50bc8dff8a22d1039ea.xml
- /data/data/####/2c64b21034236f5a324d8b6cf32e160d.xml
- /data/data/####/4d7c4dc67fd5aea6e815f288d175a874.xml
- /data/data/####/5BF2D75E0306-0001-08E8-E9B2C897D349BeginSession.cls_temp
- /data/data/####/5BF2D75E0306-0001-08E8-E9B2C897D349BeginSession.json
- /data/data/####/5BF2D75E0306-0001-08E8-E9B2C897D349SessionApp.cls_temp
- /data/data/####/5BF2D75E0306-0001-08E8-E9B2C897D349SessionApp.json
- /data/data/####/5BF2D75E0306-0001-08E8-E9B2C897D349SessionDevice.cls_temp
- /data/data/####/5BF2D75E0306-0001-08E8-E9B2C897D349SessionDevice.json
- /data/data/####/5BF2D75E0306-0001-08E8-E9B2C897D349SessionOS.cls_temp
- /data/data/####/5BF2D75E0306-0001-08E8-E9B2C897D349SessionOS.json
- /data/data/####/6a760580f12540ba18559c52dd591207.xml
- /data/data/####/87986a15df2fbd44e694009911c1984a.xml
- /data/data/####/TwitterAdvertisingInfoPreferences.xml
- /data/data/####/anay_sp_name.xml
- /data/data/####/app_config.json
- /data/data/####/appcons.db
- /data/data/####/appcons.db-journal
- /data/data/####/appinstallinfo.xml
- /data/data/####/appsflyer-data.xml
- /data/data/####/booster_sp.xml
- /data/data/####/com.crashlytics.prefs.xml
- /data/data/####/com.crashlytics.sdk.android;answers;settings.xml
- /data/data/####/com.crashlytics.settings.json
- /data/data/####/com.google.android.gms.appid-no-backup
- /data/data/####/com.google.android.gms.appid.xml
- /data/data/####/com.google.android.gms.measurement.prefs.xml
- /data/data/####/common_state.xml
- /data/data/####/d8b1588e9cccbb51534afcaa977ca0cf.xml
- /data/data/####/e9f8f24b4c419de5bfef11aaba220a24.xml
- /data/data/####/ee77a6b85cdd708523fde12493438780.xml
- /data/data/####/external.apk
- /data/data/####/external.so
- /data/data/####/external_dex.apk
- /data/data/####/external_dex.so
- /data/data/####/fb2620e632eefaaf1da1ab89152a2533.xml
- /data/data/####/google_app_measurement_local.db
- /data/data/####/google_app_measurement_local.db-journal
- /data/data/####/initialization_marker
- /data/data/####/io.fabric.sdk.android;fabric;l.aho.xml
- /data/data/####/mid.dex
- /data/data/####/mobi_anay_db.db-journal
- /data/data/####/moduleinfos
- /data/data/####/multidex.version.xml
- /data/data/####/my_opd_event_ids_day.xml
- /data/data/####/pref_utils.xml
- /data/data/####/ro.bersiher-1.apk.classes203843635.zip
- /data/data/####/sa_9e35d4b1-e564-493a-919b-172af2d9a5f8_1542641502872.tap
- /data/data/####/session_analytics.tap
- /data/data/####/session_analytics.tap.tmp
- /data/data/####/u3kmid.db-journal
- /data/data/####/updatesdk.xml
- /data/data/####/upgrade_config.json
- /data/media/####/.nomedia
- /data/media/####/sub_imei.txt
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
Загружает динамические библиотеки:
- andrpl
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- DES
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
