Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.320.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) a.dia####.com:80
- TCP(HTTP/1.1) www.p####.com:80
- TCP(HTTP/1.1) ti####.baidu-####.cn:80
- TCP(HTTP/1.1) hiph####.wsh####.com:80
Запросы DNS:
- a####.u####.com
- a.dia####.com
- hiph####.b####.com
- ti####.baidu-####.cn
- www.p####.com
Запросы HTTP GET:
- hiph####.wsh####.com/exp/abpic/item/4075890a304e251f416612c8a586c9177f3e...
- hiph####.wsh####.com/exp/abpic/item/4bac30738bd4b31cb1701d8485d6277f9e2f...
- hiph####.wsh####.com/exp/abpic/item/7ab514d162d9f2d31c3caadfabec8a136327...
- hiph####.wsh####.com/exp/abpic/item/86d5bac27d1ed21b9d953bd0af6eddc451da...
- hiph####.wsh####.com/exp/abpic/item/a005b3345982b2b7da6849e433adcbef7709...
- hiph####.wsh####.com/exp/abpic/item/caae68094b36acafa9226ccc7ed98d1000e9...
- hiph####.wsh####.com/exp/abpic/item/d478a8003af33a876ca78d25c45c10385243...
- hiph####.wsh####.com/exp/abpic/item/dc854fda81cb39db19c75964d2160924ab18...
- hiph####.wsh####.com/exp/abpic/item/eab9044c510fd9f9d3f44a58272dd42a2934...
- hiph####.wsh####.com/exp/pic/item/ac0acf1373f082029089a10d49fbfbedab641b...
- hiph####.wsh####.com/exp/pic/item/dbf554ed2e738bd4b3ce7607a38b87d6267ff9...
- ti####.baidu-####.cn/timg?wa####&quality=####&size=####&sec=####&di=####...
- www.p####.com/adv/tc.html
- www.p####.com/sdk4.html
Запросы HTTP POST:
- a####.u####.com/app_logs
- a.dia####.com/dev/api/connect.php?device_id=####&imsi=####&device_name=#...
- a.dia####.com/dev/api/user_account.php?device_id=####&imsi=####&device_n...
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.md5
- /data/data/####/.sec_version
- /data/data/####/classes.dex
- /data/data/####/classes.jar
- /data/data/####/code.xml
- /data/data/####/com.koemzxnasugh.model
- /data/data/####/com.koemzxnasugh.model.art
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/index
- /data/data/####/libsecexe.x86.so
- /data/data/####/libsecmain.x86.so
- /data/data/####/mobclick_agent_header_com.koemzxnasugh.model.xml
- /data/data/####/mobclick_agent_state_com.koemzxnasugh.model.xml
- /data/data/####/model.db
- /data/data/####/model.db-journal
- /data/data/####/preferences.xml
- /data/data/####/share.xml
- /data/data/####/webview.db
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/djaof.dll
Другие:
Запускает следующие shell-скрипты:
- <Package> <Package> -1829634888 0 /data/app/<Package>-1.apk 41 <Package> 49 50
- <Package> <Package> -1830699848 0 /data/app/<Package>-1.apk 41 <Package> 50 51
- chmod 755 <Package Folder>/.cache/<Package>
- chmod 755 <Package Folder>/.cache/<Package>.art
Загружает динамические библиотеки:
- libsecexe.x86
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
