Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Xiny.20
Загружает из Интернета следующие детектируемые угрозы:
- Android.Xiny.20
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) img.cool####.cn:80
- TCP(HTTP/1.1) r.eli####.cn:80
- TCP(HTTP/1.1) req####.a####.cn:80
- TCP(HTTP/1.1) cd####.md####.cn.####.cn:80
- TCP(HTTP/1.1) yes.yuchan####.com.cn:80
- TCP(SSL/3.0) s####.tubem####.com:443
- TCP(SSL/3.0) curr####.pr####.org:443
- TCP(SSL/3.0) g.geo####.com:443
- TCP(TLS/1.0) ap.l####.com:443
- TCP(TLS/1.0) eme####.trac####.justpre####.com:443
- TCP(TLS/1.0) 1####.217.17.110:443
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) curr####.pr####.org:443
- TCP(TLS/1.0) cdn.te####.com:443
- TCP(TLS/1.0) syndica####.twi####.com:443
- TCP(TLS/1.0) www.googlet####.com:443
- TCP(TLS/1.0) a.rf####.com.####.net:443
- TCP(TLS/1.0) ad.z####.com:443
- TCP(TLS/1.0) c####.cloudf####.com:443
- TCP(TLS/1.0) pugm220####.pubm####.com:443
- TCP(TLS/1.0) tpc.googles####.com:443
- TCP(TLS/1.0) cs1-l####.8####.e####.net:443
- TCP(TLS/1.0) pag####.googles####.com:443
- TCP(TLS/1.0) www.go####.nl:443
- TCP(TLS/1.0) pre.ads.justpre####.com:443
- TCP(TLS/1.0) googl####.g.doublec####.net:443
- TCP(TLS/1.0) s0.2####.net:443
- TCP(TLS/1.0) te####.com:443
- TCP(TLS/1.0) gcm.ctn####.com:443
- TCP(TLS/1.0) c####.te####.com:443
- TCP(TLS/1.0) cookiec####.traffic####.net:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) certif####.alexame####.com:443
- TCP(TLS/1.0) www.bitdefe####.nl:443
- TCP(TLS/1.0) t####.adfor####.ak####.net:443
- TCP(TLS/1.0) eb2.3####.com:443
- TCP(TLS/1.0) s####.g.doublec####.net:443
- TCP(TLS/1.0) um.w####.net:443
- TCP(TLS/1.0) cdn.amppro####.org:443
- TCP(TLS/1.0) as####.casalem####.com.####.net:443
- TCP(TLS/1.0) s####.tubem####.com:443
- TCP(TLS/1.0) stat####.face####.com:443
- TCP(TLS/1.0) cs2-wa####.8####.e####.net:443
- TCP(TLS/1.0) adser####.go####.nl:443
- TCP(TLS/1.0) google####.g.doublec####.net:443
- TCP(TLS/1.0) d5p.d####.com:443
- TCP(TLS/1.0) ads.playgr####.xyz:443
- TCP(TLS/1.0) api.asser####.de:443
- TCP(TLS/1.0) c.deplo####.com:443
- TCP(TLS/1.0) ti.tradetr####.net:443
- TCP(TLS/1.0) a####.google####.com:443
- TCP(TLS/1.0) dxu4b56####.cloudf####.net:443
- TCP(TLS/1.0) dt.adsafep####.com:443
- TCP(TLS/1.0) trac####.m6r.eu.####.net:443
- TCP(TLS/1.0) cm.g.doublec####.net:443
- TCP(TLS/1.0) f####.google####.com:443
- TCP(TLS/1.0) m####.p####.b####.io:443
- TCP(TLS/1.0) optimiz####.rubicon####.net.####.net:443
- TCP(TLS/1.0) fw.adsafep####.com:443
- TCP(TLS/1.0) www.google-####.com:443
- TCP(TLS/1.0) st####.tradetr####.net:443
- TCP(TLS/1.0) ads.y####.com:443
- TCP(TLS/1.0) hal####.redinte####.net:443
- TCP(TLS/1.0) pix.imp####.com:443
- TCP(TLS/1.0) con####.face####.net:443
- TCP(TLS/1.0) p####.ybp.y####.com:443
- TCP(TLS/1.0) bid.g.doublec####.net:443
- TCP(TLS/1.0) s####.search####.spotxch####.####.net:443
- TCP(TLS/1.0) g.geo####.com:443
- TCP(TLS/1.0) s####.mat####.com:443
- TCP(TLS/1.0) adser####.go####.com:443
- TCP(TLS/1.0) hal9####.redinte####.net:443
- TCP(TLS/1.0) securep####.g.doublec####.net:443
- TCP(TLS/1.0) cer####.alexame####.com:443
- TCP(TLS/1.0) j2w####.ne####.com:443
- TCP(TLS/1.0) use.typ####.ne####.####.net:443
Запросы DNS:
- a####.google####.com
- ad.z####.com
- ade.googles####.com
- ads.playgr####.xyz
- ads.y####.com
- adser####.go####.com
- adser####.go####.nl
- ap.l####.com
- api.asser####.de
- as####.casalem####.com
- bid.g.doublec####.net
- c####.cloudf####.com
- c####.te####.com
- c####.te####.com
- c.deplo####.com
- c1.ad####.net
- cd####.md####.cn
- cdn.amppro####.org
- cdn.syndica####.t####.com
- cdn.te####.com
- cer####.alexame####.com
- certif####.alexame####.com
- cm.g.doublec####.net
- con####.cooki####.com
- con####.face####.net
- curr####.pr####.org
- d5p.d####.com
- dt.adsafep####.com
- dxu4b56####.cloudf####.net
- eb2.3####.com
- eme####.trac####.justpre####.com
- f####.google####.com
- f####.gst####.com
- fast####.rubicon####.com
- fw.adsafep####.com
- gcm.ctn####.com
- googl####.g.doublec####.net
- google####.g.doublec####.net
- google2####.ne####.com
- hal####.redinte####.net
- hal9####.redinte####.net
- ib.a####.com
- im####.pubm####.com
- img.cool####.cn
- m####.p####.b####.io
- p####.ybp.y####.com
- p.rf####.com
- p.typ####.net
- pag####.googles####.com
- pbs.t####.com
- pix.imp####.com
- plat####.twi####.com
- pre.ads.justpre####.com
- r.eli####.cn
- req####.a####.cn
- s####.g.doublec####.net
- s####.mat####.com
- s####.se####.spotxch####.com
- s0.2####.net
- securep####.g.doublec####.net
- st####.tradetr####.net
- stat####.face####.com
- syn####.everest####.net
- syndica####.twi####.com
- te####.com
- ti.tradetr####.net
- tpc.googles####.com
- trac####.m6r.eu
- um.w####.net
- use.typ####.net
- www.bitdefe####.nl
- www.go####.com
- www.go####.nl
- www.google-####.com
- www.googlet####.com
- yes.yuchan####.com.cn
Запросы HTTP GET:
- cd####.md####.cn.####.cn/resource/gis/45
- img.cool####.cn/2011/gou.jar
- req####.a####.cn/pservers/loadgis?token=####
Запросы HTTP POST:
- r.eli####.cn/k1?requestId=####&g=####&ua=####
- yes.yuchan####.com.cn/k2?protocol=####&version=####&cid=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/1470286953684.jar
- /data/data/####/1470286953684.tmp
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/ApplicationCache.db-journal (deleted)
- /data/data/####/DAY_WALK_COUNT
- /data/data/####/DAY_WALK_COUNT-journal
- /data/data/####/W_Key.xml
- /data/data/####/a.xml
- /data/data/####/admob.xml
- /data/data/####/air.adgir.feitgtea_preferences.xml
- /data/data/####/air.adgir.feitgtea_preferences.xml.bak
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/downloadswc
- /data/data/####/downloadswc-journal
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/https_googleads.g.doubleclick.net_0.localstorage-journal
- /data/data/####/index
- /data/data/####/ix.png.zip
- /data/data/####/service_state.xml
- /data/data/####/st.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromium.db-journal (deleted)
- /data/media/####/.nomedia
- /data/media/####/4.8_gou.jar.tmp
- /data/media/####/air.adgir.feitgtea.zip
- /data/media/####/restime.dat
Другие:
Загружает динамические библиотеки:
- Pedometer
- gddfoq
Использует следующие алгоритмы для шифрования данных:
- AES
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
