Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Feiwo.1.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) i####.c####.com:80
- TCP(HTTP/1.1) gm.mm####.com:80
- TCP(HTTP/1.1) anf####.com:80
- TCP(HTTP/1.1) s.3####.cn:80
- TCP(HTTP/1.1) c.c####.com:80
- TCP(HTTP/1.1) cl####.bay####.com:80
- TCP(HTTP/1.1) pco####.ta####.com:80
- TCP(HTTP/1.1) weiboi####.g####.sina####.com:80
- TCP(HTTP/1.1) z.c####.com:80
- TCP(HTTP/1.1) pag####.googles####.com:80
- TCP(HTTP/1.1) 0.grav####.com:80
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) lh3.googleu####.com:443
- TCP(TLS/1.0) tpc.googles####.com:443
- TCP(TLS/1.0) f####.google####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) adser####.go####.nl:443
- TCP(TLS/1.0) weiboi####.g####.sina####.com:443
- TCP(TLS/1.0) pag####.googles####.com:443
- TCP(TLS/1.0) s####.map.b####.com:443
- TCP(TLS/1.0) 1####.217.17.110:443
- TCP(TLS/1.0) www.googlet####.com:443
- TCP(TLS/1.0) adser####.go####.com:443
Запросы DNS:
- 0.grav####.com
- 1.grav####.com
- 2.grav####.com
- adser####.go####.com
- adser####.go####.nl
- anf####.com
- c####.mm####.com
- c.c####.com
- cl####.bay####.com
- f####.google####.com
- f####.gst####.com
- googl####.g.doublec####.net
- i####.c####.com
- lh3.googleu####.com
- pag####.googles####.com
- pco####.c####.com
- s####.map.b####.com
- s.3####.cn
- s95.c####.com
- tpc.googles####.com
- www.go####.com
- www.googlet####.com
- wx1.sin####.cn
- wx3.sin####.cn
- wx4.sin####.cn
- z4.c####.com
Запросы HTTP GET:
- 0.grav####.com/avatar/01c766f939850ac08531f9139436f679?s=####&d=####&r=#...
- 0.grav####.com/avatar/033b4d6d0ee031c817a5008ce45c02b0?s=####&d=####&r=#...
- 0.grav####.com/avatar/19b24b18ef90d81f2db8ca5d4668188b?s=####&d=####&r=#...
- 0.grav####.com/avatar/1e3d0fe7da854df7f86e704a76d38226?s=####&d=####&r=#...
- 0.grav####.com/avatar/20eebe84e0df8b68fa1cb08efe49cba1?s=####&d=####&r=#...
- 0.grav####.com/avatar/29d4414ae18f523ce27ad9676a6d10af?s=####&d=####&r=#...
- 0.grav####.com/avatar/2c85002334614d5816a977a5c32be6b4?s=####&d=####&r=#...
- 0.grav####.com/avatar/37fba4e02956191924969ae86e49a9cc?s=####&d=####&r=#...
- 0.grav####.com/avatar/487f87505f619bf9ea08f26bb34f8118?s=####&d=####&r=#...
- 0.grav####.com/avatar/4ce2dac8aabb0123c94c5b02558e5ba3?s=####&d=####&r=#...
- 0.grav####.com/avatar/5845ff10706c0cb3312847f25b89adf5?s=####&d=####&r=#...
- 0.grav####.com/avatar/58b4329a074d004c0a252ed46b149c7b?s=####&d=####&r=#...
- 0.grav####.com/avatar/7a358df8ad3bf5fca4b1c2fe0b1e0c15?s=####&d=####&r=#...
- 0.grav####.com/avatar/84c03a15d2a14687e6d9ade5fe613bc6?s=####&d=####&r=#...
- 0.grav####.com/avatar/93fe1118b5fbbd3cb2ac5d4b6ee51b74?s=####&d=####&r=#...
- 0.grav####.com/avatar/9cfe609699dec2e15c56767bc8ec4769?s=####&d=####&r=#...
- 0.grav####.com/avatar/ab74ab39d7544ae0c6f256756b39cab9?s=####&d=####&r=#...
- 0.grav####.com/avatar/b3df3f07c9753527af0b5577aeb3a568?s=####&d=####&r=#...
- 0.grav####.com/avatar/cadf89eaec038d10d600c05be0e27262?s=####&d=####&r=#...
- 0.grav####.com/avatar/e6d65e24e7e1c4309c4adce0b8501b60?s=####&d=####&r=#...
- 0.grav####.com/avatar/ec4696085b4379ea230889cdfde10b5c?s=####&d=####&r=#...
- 0.grav####.com/avatar/f17d7c2dc0a439b26e9902394b92c3ad?s=####&d=####&r=#...
- anf####.com/favicon.ico
- anf####.com/img/a.png
- anf####.com/img/c.png
- anf####.com/wp/
- anf####.com/wp/2013/07/hello-world/
- anf####.com/wp/wp-content/themes/twentytwelve/js/navigation.js?ver=####
- anf####.com/wp/wp-content/themes/twentytwelve/style.css?ver=####
- anf####.com/wp/wp-includes/js/jquery/jquery-migrate.min.js?ver=####
- anf####.com/wp/wp-includes/js/jquery/jquery.js?ver=####
- anf####.com/wp/wp-includes/js/wp-embed.min.js?ver=####
- anf####.com/wp/wp-includes/js/wp-emoji-release.min.js?ver=####
- c.c####.com/core.php?web_id=####&show=####&t=####
- c.c####.com/stat.php?id=####&show=####
- gm.mm####.com/9.gif?abc=####&rnd=####
- i####.c####.com/img/pic.gif
- pag####.googles####.com/pagead/js/adsbygoogle.js
- pag####.googles####.com/pagead/js/r20181205/r20180604/show_ads_impl.js
- pco####.ta####.com/app.gif?&cna=####
- s.3####.cn/jiagu/s.html?model=####&osVersion=####&b=####&c=####&rid=####...
- weiboi####.g####.sina####.com/large/542ed6begy1fuidq958iuj20fr0nomz2.jpg
- z.c####.com/stat.htm?id=####&r=####&lg=####&ntime=####&cnzz_eid=####&sho...
Запросы HTTP POST:
- cl####.bay####.com/terminal/ad/getAdList.do?t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1059706541
- /data/data/####/-2054404330
- /data/data/####/1807629056
- /data/data/####/1985941072
- /data/data/####/CMRequire.dat
- /data/data/####/DVDirectory.cfg
- /data/data/####/DVHotcity.cfg
- /data/data/####/DVVersion.cfg
- /data/data/####/GpsAppId.xml
- /data/data/####/ResPack.rs
- /data/data/####/VerDatset.dat
- /data/data/####/authStatus_octavia.lovegpsb.xml
- /data/data/####/imei.dat
- /data/data/####/libprotectClass.so
- /data/data/####/libqupc.so
- /data/data/####/map_pref.xml
- /data/data/####/mapstyle.sty
- /data/data/####/qihooLock.xml
- /data/data/####/satellitestyle.sty
- /data/data/####/trafficstyle.sty
- /data/data/####/ver.dat
- /data/media/####/.cuid
- /data/media/####/.nomedia
- /data/media/####/DMTempdat.dat
- /data/media/####/DMTempdat.idx
- /data/media/####/DTBakTempdat.dat
- /data/media/####/DTBakTempdat.idx
- /data/media/####/DTLabTempdat.dat
- /data/media/####/DTLabTempdat.idx
- /data/media/####/DTTempdat.dat
- /data/media/####/DTTempdat.idx
- /data/media/####/ITTempdat.dat
- /data/media/####/ITTempdat.idx
- /data/media/####/test.0
Другие:
Запускает следующие shell-скрипты:
- chmod 777 <Package Folder>/files/libqupc.so
- getprop ro.product.cpu.abi
Загружает динамические библиотеки:
- BaiduMapSDK_v3_0_0
- libprotectClass
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES
Использует следующие алгоритмы для расшифровки данных:
- DES
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
