Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.178.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) api.tinyhon####.com:80
- TCP(HTTP/1.1) s####.tinyhon####.com:80
- TCP(HTTP/1.1) s####.has####.net:80
- TCP(HTTP/1.1) cl####.mid####.com:80
- TCP(HTTP/1.1) ap.smard####.com:80
- TCP(HTTP/1.1) sc.smard####.com:80
- TCP(HTTP/1.1) d1na3r1####.cloudf####.net:80
- TCP(TLS/1.0) api.s####.1####.com:443
- TCP(TLS/1.0) sdk.adti####.com:443
- TCP(TLS/1.0) 1####.217.17.46:443
- TCP(TLS/1.0) e.crashly####.com:443
- TCP(TLS/1.0) color-c####.fireba####.com:443
- TCP(TLS/1.0) kvinit-####.api.koc####.com:443
- TCP(TLS/1.0) sett####.crashly####.com:443
- TCP(TLS/1.0) app-mea####.com:443
- TCP(TLS/1.0) ssl.google-####.com:443
- TCP(TLS/1.0) googl####.g.doublec####.net:443
- TCP(TLS/1.0) onesi####.com:443
- TCP(TLS/1.0) con####.koc####.com:443
Запросы DNS:
- ap.smard####.com
- api.tinyhon####.com
- api.unm####.u17888####.com
- app-mea####.com
- cl####.mid####.com
- color-c####.fireba####.com
- con####.koc####.com
- d1na3r1####.cloudf####.net
- e.crashly####.com
- googl####.g.doublec####.net
- kvinit-####.api.koc####.com
- m.adti####.com
- onesi####.com
- s####.has####.net
- s####.tinyhon####.com
- sc.smard####.com
- sdk.adti####.com
- sett####.crashly####.com
- ssl.google-####.com
Запросы HTTP GET:
- ap.smard####.com/mpapi/ad?model=####&fomat=####&mcc=####&os_v=####&direc...
- api.tinyhon####.com/api/getADConfig?app_key=####&duid=####&sdk_version=#...
- cl####.mid####.com/mpapi/ad?model=####&fomat=####&mcc=####&os_v=####&dir...
- d1na3r1####.cloudf####.net/zidian/ios/calltheme/preview/DancingCat.jpg
- d1na3r1####.cloudf####.net/zidian/ios/calltheme/preview/Halo.jpg
- d1na3r1####.cloudf####.net/zidian/ios/calltheme/preview/Jumpingheart.jpg
- d1na3r1####.cloudf####.net/zidian/ios/calltheme/preview/Skeleton.jpg
- d1na3r1####.cloudf####.net/zidian/ios/colorphone/preview/TransparentCall...
- sc.smard####.com/v1/scheme/app?model=####&mcc=####&os_v=####&direction=#...
- sc.smard####.com/v1/scheme/placement?model=####&mcc=####&os_v=####&direc...
Запросы HTTP POST:
- s####.has####.net/api/cfg/v1?serviceid=####
- s####.tinyhon####.com/log/receive?type=####&duid=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1982479878
- /data/data/####/03de03f9841341341b2976d5661ba020143c370b53ff4d6....0.tmp
- /data/data/####/0e27f9094687f95c5f7723ab5404ac337e0043f89778f70....0.tmp
- /data/data/####/1243454936
- /data/data/####/1521499837408.jar
- /data/data/####/1521499837408.tmp
- /data/data/####/1811050001791949008187e95d29986e4a9faa547bdce2f...sp.xml
- /data/data/####/251092365
- /data/data/####/40f8a95e66a761c42772982a0a7b57cc35e8d6830173aab....0.tmp
- /data/data/####/4fcc9ba38a08c98b4e0c5e6ddb28019d7d4bfaefe9c76d5....0.tmp
- /data/data/####/595c0ad890faa40e94fa2344b907b259331e7654181eadd....0.tmp
- /data/data/####/5C03459E00B5-0001-08FF-186F205F6ADABeginSession.cls_temp
- /data/data/####/5C03459E00B5-0001-08FF-186F205F6ADABeginSession.json
- /data/data/####/5C03459E00B5-0001-08FF-186F205F6ADASessionApp.cls
- /data/data/####/5C03459E00B5-0001-08FF-186F205F6ADASessionApp.json
- /data/data/####/5C03459E00B5-0001-08FF-186F205F6ADASessionDevice.cls_temp
- /data/data/####/5C03459E00B5-0001-08FF-186F205F6ADASessionDevice.json
- /data/data/####/5C03459E00B5-0001-08FF-186F205F6ADASessionOS.cls_temp
- /data/data/####/5C03459E00B5-0001-08FF-186F205F6ADASessionOS.json
- /data/data/####/989036649
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/GTPlayerPurchases.xml
- /data/data/####/KOALA.xml
- /data/data/####/LOCKED_THEME.xml
- /data/data/####/MultiDex.lock
- /data/data/####/OneSignal.db-journal
- /data/data/####/TwitterAdvertisingInfoPreferences.xml
- /data/data/####/UUID.xml
- /data/data/####/admob.xml
- /data/data/####/aj.xml
- /data/data/####/al.xml
- /data/data/####/bt_common.xml
- /data/data/####/com.crashlytics.prefs.xml
- /data/data/####/com.crashlytics.sdk.android;answers;settings.xml
- /data/data/####/com.crashlytics.settings.json
- /data/data/####/com.flashcolorcall.theme.shiningphone.xml
- /data/data/####/com.flashcolorcall.theme.shiningphone_preferences.xml
- /data/data/####/com.google.InstanceId.properties
- /data/data/####/com.google.android.gms.analytics.prefs.xml
- /data/data/####/com.google.android.gms.appid-no-backup
- /data/data/####/com.google.android.gms.appid.xml
- /data/data/####/com.google.android.gms.measurement.prefs.xml
- /data/data/####/com.mobpower.xml
- /data/data/####/core.xml
- /data/data/####/crash_log_sp.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/external.apk
- /data/data/####/external.so
- /data/data/####/external_dex.apk
- /data/data/####/external_dex.so
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/gaClientId
- /data/data/####/google_ads_flags_meta.xml
- /data/data/####/google_analytics_v4.db-journal
- /data/data/####/google_app_measurement.db-journal
- /data/data/####/google_app_measurement_local.db
- /data/data/####/google_app_measurement_local.db-journal
- /data/data/####/https_googleads.g.doubleclick.net_0.localstorage-journal
- /data/data/####/index
- /data/data/####/initialization_marker
- /data/data/####/io.fabric.sdk.android;fabric;a.a.a.a.m.xml
- /data/data/####/journal.tmp
- /data/data/####/kodb
- /data/data/####/kodb-journal
- /data/data/####/koov.xml
- /data/data/####/kosp.xml
- /data/data/####/kosp.xml.bak
- /data/data/####/kosp.xml.bak (deleted)
- /data/data/####/mid.dex
- /data/data/####/mnt_api_param_self_click_record.xml
- /data/data/####/mobpower.db-journal
- /data/data/####/moduleinfos
- /data/data/####/mp_agent_log
- /data/data/####/multidex.version.xml
- /data/data/####/ps.db-journal
- /data/data/####/sa_6e9a7b90-fa01-481a-8d7b-a4f0349043c1_1543718303178.tap
- /data/data/####/sa_7456fc96-0bfd-4cf0-a224-dbd2e530770b_1543718303794.tap
- /data/data/####/session_analytics.tap
- /data/data/####/session_analytics.tap.tmp
- /data/data/####/sharedpreferences_mnt_settings.xml
- /data/data/####/sharedpreferences_mnt_strategy_info.xml
- /data/data/####/sharedpreferences_mnt_strategy_recordtime.xml
- /data/data/####/shell_config
- /data/data/####/tmp-com.flashcolorcall.theme.shiningphone-1.apk...56.zip
- /data/data/####/u3kmid.db-journal
- /data/data/####/uij
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/sub_imei.txt
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
Использует следующие алгоритмы для шифрования данных:
- AES
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- Blowfish-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
