Android.Xiny.3754

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Android.Xiny.54.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) 37k.data####.cn:80
TCP(HTTP/1.1) oc.u####.com:80
TCP(HTTP/1.1) www.yabo####.com:80
TCP(HTTP/1.1) app.d####.ish####.cn:80

Запросы DNS:

37k.data####.cn
a####.u####.com
app.d####.ish####.cn
oc.u####.com
www.yabo####.com

Запросы HTTP GET:

app.d####.ish####.cn/lvdouapp/config/fx.conf?random=####
www.yabo####.com/dlapk?random=####

Запросы HTTP POST:

37k.data####.cn/collect.do
oc.u####.com/check_config_update

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.md5
/data/data/####/.sec_version
/data/data/####/L_Key.xml
/data/data/####/Setting.xml
/data/data/####/Sprite.xml
/data/data/####/classes.dex
/data/data/####/classes.jar
/data/data/####/config.xml.tmp
/data/data/####/config.xml.tmp (deleted)
/data/data/####/default1430233115270.png
/data/data/####/default1430233171359.png
/data/data/####/default1430233200567.png
/data/data/####/dian1.plist
/data/data/####/dian1.png
/data/data/####/download
/data/data/####/download-journal
/data/data/####/floewr1.png
/data/data/####/floewr2.png
/data/data/####/flower.plist
/data/data/####/flower.png
/data/data/####/flower1.plist
/data/data/####/flower2.plist
/data/data/####/flower3.plist
/data/data/####/flower3.png
/data/data/####/ki.xml
/data/data/####/libsecexe.x86.so
/data/data/####/libsecmain.x86.so
/data/data/####/libsecpreload.x86.so
/data/data/####/locker.xml
/data/data/####/mobclick_agent_cached_net.l4cb74c0.yc608c
/data/data/####/mobclick_agent_online_setting_net.l4cb74c0.yc608c.xml
/data/data/####/mobclick_agent_state_net.l4cb74c0.yc608c.xml
/data/data/####/mobclick_agent_state_net.l4cb74c0.yc608c.xml.bak
/data/data/####/move.xml
/data/data/####/net.l4cb74c0.yc608c
/data/data/####/net.l4cb74c0.yc608c.art
/data/data/####/net.l4cb74c0.yc608c.art.20
/data/data/####/p1.plist
/data/data/####/p1.png
/data/data/####/p2.plist
/data/data/####/p2.png
/data/data/####/wallpaper.ld
/data/data/####/xue.plist
/data/data/####/xue.png
/data/data/####/y1.plist
/data/data/####/y1.png
/data/data/####/y2.plist
/data/data/####/y2.png
/data/data/####/y3.plist
/data/data/####/y3.png
/data/data/####/y4.plist
/data/data/####/y4.png
/data/data/####/y5.plist
/data/data/####/y5.png
/data/data/####/y6.plist
/data/data/####/y6.png
/data/data/####/ye.plist
/data/data/####/ye.png
/data/media/####/.nomedia
/data/media/####/IM.DAT
/data/media/####/u.dat

Другие:

Запускает следующие shell-скрипты:

<Package> <Package> -1829713128 0 /data/app/<Package>-1.apk 41 <Package> 48 50 1 0
<Package> <Package> -1829713128 0 /data/app/<Package>-1.apk 42 <Package> 56 57 1 0
<Package> <Package> -1829713128 0 /data/app/<Package>-1.apk 44 <Package> 56 57 1 0
<Package> <Package> -1829713128 0 /data/app/<Package>-1.apk 45 <Package> 57 58 1 0
chmod 755 <Package Folder>/.cache/<Package>
chmod 755 <Package Folder>/.cache/<Package>.art
chmod 755 <Package Folder>/.cache/<Package>.art.20
getprop ro.product.cpu.abi

Загружает динамические библиотеки: