Техническая информация
Вредоносные функции:
Скрывает свою иконку с экрана.
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) www.u####.com:28005
- TCP(HTTP/1.1) 1####.78.233.88:80
- TCP(HTTP/1.1) 1####.78.233.88:8080
- TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
Запросы DNS:
- plb####.u####.com
- u####.u####.com
- www.u####.com
Запросы HTTP GET:
- www.u####.com:28005/openapp.do?appid=####&sign=####&packname=####&ch=###...
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/10212172158494a.apk
- /data/data/####/107610154476abc.apk
- /data/data/####/116015081489abc.apk
- /data/data/####/121891296330abc.apk
- /data/data/####/13801310835127a.apk
- /data/data/####/2310499495339ab.apk
- /data/data/####/25189189657189a.apk
- /data/data/####/2821071057422ab.apk
- /data/data/####/291671512219543.apk
- /data/data/####/30969656496abcd.apk
- /data/data/####/317636675123abc.apk
- /data/data/####/32214111457826a.apk
- /data/data/####/3292112614374ab.apk
- /data/data/####/388210739482abc.apk
- /data/data/####/5203123777297ab.apk
- /data/data/####/56180145596368a.apk
- /data/data/####/5780110523127ab.apk
- /data/data/####/591031013415103.apk
- /data/data/####/5f6bf902.xml
- /data/data/####/6025410520448ab.apk
- /data/data/####/612858209545abc.apk
- /data/data/####/681252638482abc.apk
- /data/data/####/68167197454214a.apk
- /data/data/####/681875256140abc.apk
- /data/data/####/711e49d1.xml
- /data/data/####/721211704236abc.apk
- /data/data/####/72212167838118a.apk
- /data/data/####/7319210761145ab.apk
- /data/data/####/7416018021066ab.apk
- /data/data/####/781641421470abc.apk
- /data/data/####/7914316133749ab.apk
- /data/data/####/7941211563323ab.apk
- /data/data/####/7bdea35b.xml
- /data/data/####/8347612255423ab.apk
- /data/data/####/84168713532544a.apk
- /data/data/####/92051610205205a.apk
- /data/data/####/9213914424280ab.apk
- /data/data/####/9294f739.xml
- /data/data/####/93172217317abcd.apk
- /data/data/####/95200410433529a.apk
- /data/data/####/9741131667511ab.apk
- /data/data/####/9c86a438.xml
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMTY4NzYy;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMTc1NTQy;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMTc5OTYz;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMTcxNTQ2;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMTg1NTgw;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMTg4MjQ1;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMTgxMTEx;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMTgyMzQ0;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMTk2MDA3;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMTk4MTgy;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMTkxMDk0;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMTkxOTc0;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMTkzMjMy;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMjA1Njk1;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMjA2OTMx;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMjA5Nzcz;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMjAwNjQw;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMjAyOTU2;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMjE1MTg3;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMjE2MzQw;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMjE3MjI1;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMjExNDEw;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMjEzMzYw;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMjI3ODIw;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMjIwNjc1;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMjIyNDMx;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMjM3OTcw;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQ0NTIwMjMyNTQ1;
- /data/data/####/e4dedfe0.xml
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/i==1.2.0&&2.63.1_1544520228196_envelope.log
- /data/data/####/info.xml
- /data/data/####/jniload.so
- /data/data/####/loop
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_location.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak
- /data/data/####/umeng_it.cache
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- cat /proc/version
- ls /sys/class/thermal
- sh ps
Загружает динамические библиотеки:
- jniload
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
