Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Spy.275.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) app-t####.b0.upa####.com:80
- TCP(HTTP/1.1) wap.n.sh####.com:80
- TCP(HTTP/1.1) p####.tc.qq.com:80
- TCP(HTTP/1.1) s####.e.qq.com:80
- TCP(HTTP/1.1) a####.3gu.com:80
- TCP(HTTP/1.1) mi.g####.qq.com:80
- TCP(HTTP/1.1) gdv.a.s####.com:80
- TCP(TLS/1.0) u####.umengc####.com:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
Запросы DNS:
- a####.3gu.com
- a####.u####.com
- and####.cli####.go####.com
- api.appgen####.com
- app-t####.b0.upa####.com
- imgc####.qq.com
- int.d####.s####.####.cn
- m.b####.com
- mi.g####.qq.com
- mo####.b####.com
- pv.s####.com
- s####.e.qq.com
- u####.umengc####.com
- up####.889####.com
Запросы HTTP GET:
- app-t####.b0.upa####.com/resource/images/39cce1384cbff273ad1a3883b766426...
- app-t####.b0.upa####.com/resource/images/52c4c4d85c179bf240b3c67f25556e4...
- app-t####.b0.upa####.com/resource/images/7ceaeaa5b9a269d2c18cbe7a2e1f43a...
- app-t####.b0.upa####.com/resource/images/c77ff6da6ba56c22501cc85f6ffbd31...
- app-t####.b0.upa####.com/resource/img/030341f74f92133e85bcd367cad02418.jpg
- app-t####.b0.upa####.com/resource/img/19f26a543dbc7d7c431992187e2b216a.jpg
- app-t####.b0.upa####.com/resource/img/7a7144e9cc4dfca9177110f280daff3d.jpg
- app-t####.b0.upa####.com/resource/img/937edfa5a4c37c1e8b0f19e2d13011c4.j...
- app-t####.b0.upa####.com/resource/img/b2db1add234a4e83fa4c99884b38bc04.j...
- app-t####.b0.upa####.com/resource/img/fbd3f880c2a6df63431e8f118dfa8c53.j...
- app-t####.b0.upa####.com/resource/save/3a3d01a21340f387835e0ea9476b126c....
- gdv.a.s####.com/cityjson?ie=####
- mi.g####.qq.com/gdt_mview.fcg?datatype=####&posid=####&count=####&r=####...
- p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
Запросы HTTP POST:
- a####.3gu.com/index.php/mcBox/survive_question
- a####.3gu.com/index.php/mcBox/survive_save
- a####.3gu.com/index.php/mcBox/survive_skin
- a####.3gu.com/index.php/mcBox/survive_tutorial
- a####.u####.com/app_logs
- s####.e.qq.com/activate
- s####.e.qq.com/getad
- wap.n.sh####.com/api?action=####&action=####&from=####&token=####&api_ke...
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1132957966
- /data/data/####/-174740437
- /data/data/####/-1833520609
- /data/data/####/-1834444130
- /data/data/####/-341311103
- /data/data/####/-342234624
- /data/data/####/-35541732
- /data/data/####/-484973428
- /data/data/####/-485896949
- /data/data/####/-486820470
- /data/data/####/-746163707
- /data/data/####/-747087228
- /data/data/####/.imprint
- /data/data/####/.md5
- /data/data/####/.sec_version
- /data/data/####/11161300
- /data/data/####/1265010780
- /data/data/####/709845976
- /data/data/####/Alvin2.xml
- /data/data/####/AppStore.xml
- /data/data/####/ContextData.xml
- /data/data/####/GDTSDK.db
- /data/data/####/GDTSDK.db-journal
- /data/data/####/PhoneUtil.xml
- /data/data/####/UmengLocalNotificationStore.db-journal
- /data/data/####/classes.dex
- /data/data/####/classes.jar
- /data/data/####/com.survive.the.war
- /data/data/####/com.survive.the.war.art
- /data/data/####/com.survive.the.war.art.20
- /data/data/####/com.survive.the.war_preferences.xml
- /data/data/####/container.apk
- /data/data/####/devCloudSetting.cfg
- /data/data/####/devCloudSetting.sig
- /data/data/####/device_id.xml.xml
- /data/data/####/exchangeIdentity.json
- /data/data/####/gdt_plugin.jar
- /data/data/####/gdt_plugin.jar.sig
- /data/data/####/gdt_plugin.tmp
- /data/data/####/gdt_plugin.tmp.sig
- /data/data/####/gdt_suid
- /data/data/####/libcpu
- /data/data/####/libsecexe.x86.so
- /data/data/####/libsecmain.x86.so
- /data/data/####/libsecpreload.x86.so
- /data/data/####/map_201902.xml
- /data/data/####/map_settings.xml
- /data/data/####/map_settings.xml.bak
- /data/data/####/olgdg_bbox.xml
- /data/data/####/sdkCloudSetting.cfg
- /data/data/####/sdkCloudSetting.sig
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_message_state.xml
- /data/data/####/update_lc
- /data/media/####/3a3d01a21340f387835e0ea9476b126c.scworld
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
Другие:
Запускает следующие shell-скрипты:
- <Package> <Package> -1836090600 0 /data/app/<Package>-1.apk 41 <Package> 52 53 1 0
- <Package> <Package> -1836090600 0 /data/app/<Package>-1.apk 44 <Package> 56 57 1 0
- chmod 755 <Package Folder>/.cache/<Package>
- chmod 755 <Package Folder>/.cache/<Package>.art
- chmod 755 <Package Folder>/.cache/<Package>.art.20
- chmod 775 <Package Folder>/app_nneomodule/libcpu
- getprop ro.product.cpu.abi
- ln -s <Package Folder>/app_bangcleplugin <Package Folder>/app_nneomodule
- sh -c <Package Folder>/app_nneomodule/libcpu /storage/emulated/0/.745663f4-e2a9-3c5a-93b6-c61e1f50e6a1 18 1 <Package>
- sh -c chmod 775 <Package Folder>/app_nneomodule/libcpu
- sh -c ln -s <Package Folder>/app_bangcleplugin <Package Folder>/app_nneomodule
Загружает динамические библиотеки:
- libsecexe.x86
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS7Padding
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- AES-ECB-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
