Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.907
- Android.Triada.2018
- Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) 1####.132.26.203:9700
- TCP(HTTP/1.1) 1####.196.191.233:6600
- TCP(HTTP/1.1) s.ace####.com:80
- TCP(HTTP/1.1) 1####.196.40.71:9600
- TCP(HTTP/1.1) 1####.196.40.71:9500
- TCP(TLS/1.0) 2####.58.212.206:443
Запросы DNS:
- a####.u####.com
- l.ace####.com
- loc.map.b####.com
- s.ace####.com
Запросы HTTP GET:
- s.ace####.com/ando-res/m/jN9oNr*cHSjNoWXUfGIcLd5PkjSh2JnXM2fqRdP3mWXr-Xd...
Запросы HTTP POST:
- a####.u####.com/app_logs
- l.ace####.com/ando/v2/ap?app_id=####&r=####
- l.ace####.com/ando/v2/lv?app_id=####&r=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-h-9XK3FCKB8hkSgLEm8FEyw56KtY-K_
- /data/data/####/-h-9XK3FCKB8hkSgLEm8FEyw56KtY-K_.new
- /data/data/####/.imprint
- /data/data/####/0TArbevNZE7pClNeSA2RoTEgq_fv8-23z-ACCf2xz6g=.new
- /data/data/####/0kXmOwT9EBB8Ksw5WZQJLnIj-zo=.new
- /data/data/####/0yWWIpUM6UJRSp0z
- /data/data/####/4EidLgyxvOATMPJayA49rA==.new
- /data/data/####/5XgD5D72www4GC_MD-rX_A==.new
- /data/data/####/7K6Ycyv87r20zInnPMOSIfffMwA=.temp
- /data/data/####/7SH0hzUgv0dq6TV1OTb7bzggS4hmvUhx.new
- /data/data/####/AdMTlzd1uwZBWUxRTC27EM_8dnWtiq_b.new
- /data/data/####/Alvin2.xml
- /data/data/####/B_qIzedt_1BlPrnH4wkOkLGbXe_BDc1g.new
- /data/data/####/CLKQjvzxXibcqogU_OJe2lp3drA=.temp
- /data/data/####/CXFC8necfDKpjwxmNcH7ePXBuzI9yOCQgdjIPEuIUy4=.new
- /data/data/####/ContextData.xml
- /data/data/####/FkQYjeMQulol_fEq.zip
- /data/data/####/N9AoUVKEXN5C1sk8RzAQZp0hF_gG-hmmbqpOuQ==.new
- /data/data/####/NUq1TszYgTYNg_Mj
- /data/data/####/OP3C47C-Cg00CGH_hmCmlQ==
- /data/data/####/Oz6RD1qpc8MJjQBFkTeyxW4q9ujmMxsa.new
- /data/data/####/PlvIGouSTPXZ3uc_Z55FFphEceYQw3_mgPMHPE1-O8Q=.new
- /data/data/####/PrsP5uyXy_QB_keMmYfwG-7vMdw=
- /data/data/####/QRbTl5n9mT5GtACcYtRPTqgR2efe_yUJ.new
- /data/data/####/T6NeiFnhRhdXuELnO89HqnFYcQaP6m_FUS0oOg==_4BSQ9r...-c4w==
- /data/data/####/T6NeiFnhRhdXuELnO89HqnFYcQaP6m_FUS0oOg==_4BSQ9r...ournal
- /data/data/####/T6NeiFnhRhdXuELnO89HqnFYcQaP6m_FUS0oOg==_TZI5zg...N0gKI=
- /data/data/####/T6NeiFnhRhdXuELnO89HqnFYcQaP6m_FUS0oOg==_TZI5zg...ournal
- /data/data/####/T6NeiFnhRhdXuELnO89HqnFYcQaP6m_FUS0oOg==_U2L7ti...ournal
- /data/data/####/T6NeiFnhRhdXuELnO89HqnFYcQaP6m_FUS0oOg==_WCrkud...ROzw==
- /data/data/####/T6NeiFnhRhdXuELnO89HqnFYcQaP6m_FUS0oOg==_WCrkud...ournal
- /data/data/####/T6NeiFnhRhdXuELnO89HqnFYcQaP6m_FUS0oOg==_qSaloL...ournal
- /data/data/####/T6NeiFnhRhdXuELnO89HqnFYcQaP6m_FUS0oOg==_qSaloLIJL15nqxO9
- /data/data/####/Vk-2gu8mnfvpKkVaXv6Y1Pj360s=.new
- /data/data/####/WPmIGCX3NBob3RRzjpwjkD4Id15gX-9b.new
- /data/data/####/beBlK-r9iTpQ4gOhMmynY5yajzALEw4YiFkelGT0nS8=.new
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.s.ypay.apk
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f37rYehQZNb5mI-x-IuPVWDyVR06B-AfPIMOEg==.new
- /data/data/####/gameConfig.xml
- /data/data/####/gdt_config.xml
- /data/data/####/lVV55T3xYpdcWmLB4dqOew==.new
- /data/data/####/libexec.so
- /data/data/####/mIiTxml3W4ZIVPKkBpk4Hw==
- /data/data/####/nz_RXJtpBOPMqttV-ye0H4SlEPvymDFE9OI0rw==.new
- /data/data/####/oduGKBwWqxQ6IInv_vB3LWHdyhc=.new
- /data/data/####/oqj6QE5GiNCTmPTb2JwZl-83njUlrYZx.new
- /data/data/####/p3KlOQFedx7TtI0R9ip-gxLozKc=.new
- /data/data/####/qujcaa_f.zip
- /data/data/####/rdata_comvuhnzwjhav.new
- /data/data/####/runner_info.prop.new
- /data/data/####/t3qYBdk7Ab7wYIoZ.new
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/unknown.xml
- /data/data/####/unknown.xml.bak (deleted)
- /data/data/####/vi_db_pay-journal
- /data/data/####/weI3U3wFngGNUdHDtjhDQW-h94s=.new
- /data/data/####/webview.db-journal
- /data/data/####/ycPB5K_WEn0l1zq9AfQaqZeKyTfHBTeN.new
- /data/data/####/zV-Tmh6-iuoZrSAN-zTHz0etP-s=.new
- /data/media/####/.cfg
- /data/media/####/.uunique
- /data/media/####/.uunique.new
- /data/media/####/065970af-3569-4e33-af9f-0ee7bd3a80d5.res
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/r_pkDgN4OhnkSa0D
- /data/media/####/sys.lock
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh
- <Package Folder>/code-776190/NUq1TszYgTYNg_Mj -p <Package> -c com.vuhnz.wjhav.drop.AppleReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- cat /sys/block/mmcblk0/device/cid
- getprop ro.product.cpu.abi
- ls -l /sbin/su
- ls -l /system/bin/su
- ls -l /system/sbin/su
- ls -l /system/xbin/su
- ls -l /vendor/bin/su
Загружает динамические библиотеки:
- libexec
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- DES-ECB-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из SMS.
Получает информацию об отправленых/принятых SMS.
