Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.792.origin
- Android.DownLoader.793.origin
- Android.Triada.2018
- Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) dl.api.kyli####.com:80
- TCP(HTTP/1.1) 1####.50.63.227:8881
- TCP(HTTP/1.1) v####.5####.com:80
- TCP(HTTP/1.1) n####.haiqi####.top:8080
- TCP(HTTP/1.1) 1####.75.29.14:8961
- TCP(HTTP/1.1) 1####.75.3.32:8881
- TCP(HTTP/1.1) api.kxcon####.com:666
- TCP(HTTP/1.1) sdk.91a####.com:80
- TCP(HTTP/1.1) 39.1####.186.94:7010
- TCP(HTTP/1.1) tt.kyli####.com:80
- TCP(HTTP/1.1) kl.kyli####.com:80
- TCP(HTTP/1.1) k####.kyli####.com.####.com:80
- TCP(HTTP/1.1) d####.wos####.com:80
- TCP(HTTP/1.1) idv####.qini####.com:80
- TCP(HTTP/1.1) api.ha####.top:80
- TCP 1####.32.133.11:2000
- TCP www.i####.com:1600
- TCP www.i####.com:1700
Запросы DNS:
- api.con####.kyli####.com
- api.ha####.top
- api.kxcon####.com
- d####.wos####.com
- dl.api.kyli####.com
- k####.kyli####.com
- kl.kyli####.com
- n####.haiqi####.top
- pc0g7####.bkt.clo####.com
- sdk.91a####.com
- tt.kyli####.com
- v####.5####.com
- w####.5####.com
- www.i####.com
Запросы HTTP GET:
- idv####.qini####.com/path_gn_q19_update4.dat
- k####.kyli####.com.####.com/1531974340068_utils.ttf
- n####.haiqi####.top:8080/adv_platform/getJarVersion/HQB_Q_0019/23/cn
- sdk.91a####.com/static/20181030164857mod.enc
Запросы HTTP POST:
- api.ha####.top/Orders/getlive
- api.kxcon####.com:666/v1/config
- d####.wos####.com/upload/event.jsp
- d####.wos####.com/upload/event2.jsp
- d####.wos####.com/upload/longheartbeat.jsp
- d####.wos####.com/upload/sdklongheartbeat.jsp
- d####.wos####.com/upload/shortheartbeat.jsp
- dl.api.kyli####.com/v2/load/mobile
- kl.kyli####.com/klv1/sdkkl/mobile
- sdk.91a####.com/api/DeviceReport.ashx
- tt.kyli####.com/v1/task/mobile
- v####.5####.com/api/CheckModule.ashx
- v####.5####.com/api/GetModuleConfig.ashx
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/2018_12_08read.xml
- /data/data/####/3323003.jar
- /data/data/####/3323003.ttf
- /data/data/####/CvSFEuXCs8N1knoJ
- /data/data/####/IarcCGgQgPigaFV1H8g7Z8bAEEXyb0Hl.new
- /data/data/####/MDhnAEbc4QTBirBSAPsuiw==.new
- /data/data/####/MaIymE5th-KyFgu2kh3ZhVkdQrc=.new
- /data/data/####/MrFCRh-G8zeM-Wbq.new
- /data/data/####/Oi9ozRFE69-T_6Mo8QcdMA==.new
- /data/data/####/RSS_PL_COUNTLY_STORE.xml
- /data/data/####/android-util.zip
- /data/data/####/app_spf_scli.xml
- /data/data/####/com.android.cloud.ConfigTools.xml
- /data/data/####/com.example.testact_preferences.xml
- /data/data/####/corelib.jar.tm
- /data/data/####/corelib.tmp.jar
- /data/data/####/default.xml
- /data/data/####/defaultpref1.xml
- /data/data/####/f1a45ad74ae71cf670d17c7343251e3d
- /data/data/####/gexbag_f.zip
- /data/data/####/libshahe.so
- /data/data/####/ljtq.xml
- /data/data/####/load_MGRkYjlmYWUtZDljMi00MDIzLWEwNGItMTcwZjc1YTZjNmE0;.xml
- /data/data/####/max_pref.xml
- /data/data/####/mod.dec
- /data/data/####/mod.dex
- /data/data/####/mod.enc
- /data/data/####/odddk.xml
- /data/data/####/path_gn_q19_update4.temp (deleted)
- /data/data/####/phan.xml
- /data/data/####/pl_sp.xml
- /data/data/####/pmpPKRc0sDYnRSPBX-otT83BCNxkG5zmXyg2UA==_SX-8Vo...ournal
- /data/data/####/rElbOLKqgDBnbuqfcDXPsw==
- /data/data/####/rdata_comuznvqwhrvz.new
- /data/data/####/read.xml
- /data/data/####/rws_sp.xml
- /data/data/####/sUCS9WtSwT3LWoXF7Vrquw==.new
- /data/data/####/sUybrrWIs0N1Q4GLpWMkZQ==
- /data/data/####/sp_iconfig.xml
- /data/data/####/sp_iconfig.xml.bak
- /data/data/####/ujASzYoywETMDvEh.zip
- /data/data/####/use_MGRkYjlmYWUtZDljMi00MDIzLWEwNGItMTcwZjc1YTZjNmE0;.xml
- /data/data/####/vNdia2TI-IKI5vb4bqXEC9PJpFA=.new
- /data/data/####/webview.db-journal
- /data/media/####/.uunique.new
- /data/media/####/2018_12_08
- /data/media/####/id.tmp
- /data/media/####/isread
- /data/media/####/user_cfg
Другие:
Запускает следующие shell-скрипты:
- cat /sys/class/net//address
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.version
- getprop ro.yunos.version
Загружает динамические библиотеки:
- libshahe
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-PKCS7Padding
- DES-CBC-PKCS5Padding
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
