Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.3887
Загружает из Интернета следующие детектируемые угрозы:
- Android.DownLoader.611.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) src.r####.com.####.com:80
- TCP(HTTP/1.1) v3.bule####.cn:7001
- TCP(HTTP/1.1) p####.tc.qq.com:80
- TCP(HTTP/1.1) qp.yunanfu####.com.####.com:80
- TCP(HTTP/1.1) s####.e.qq.com:80
- TCP(HTTP/1.1) h####.l####.com:80
- TCP(HTTP/1.1) sdk.c####.com:80
- TCP(HTTP/1.1) 2####.195.1.254:8080
- TCP(HTTP/1.1) dn.tc####.com:80
- TCP(HTTP/1.1) w####.pcon####.com.cn:80
- TCP(HTTP/1.1) pre.bule####.cn:6501
- TCP(HTTP/1.1) pi####.qq.com:80
- TCP(TLS/1.0) 1####.217.17.46:443
- TCP(TLS/1.0) cdn.on####.mobi:443
- TCP(TLS/1.0) h####.l####.com:443
- TCP(TLS/1.0) dev.s####.l####.net:443
- TCP(TLS/1.0) app-ro####.leanc####.cn:443
- TCP(TLS/1.0) ads.on####.mobi:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
Запросы DNS:
- ads.on####.mobi
- an####.l####.com
- and####.cli####.go####.com
- app-ro####.leanc####.cn
- cdn.on####.mobi
- d####.bule####.com
- dn.tc####.com
- h####.l####.com
- imgc####.qq.com
- mlm7####.s####.l####.net
- pi####.qq.com
- pre.bule####.cn
- qp.yunanfu####.com
- qzones####.g####.cn
- s####.e.qq.com
- sdk.c####.com
- src.r####.com
- v3.bule####.cn
- w####.pcon####.com.cn
Запросы HTTP GET:
- dn.tc####.com/dnfile/Video/2018071017075700wr0f.mp4
- dn.tc####.com/dnfile/image/nwny/1280-720-1.jpg
- dn.tc####.com/dnfile/image/nwny/720-1280-1.jpg
- dn.tc####.com/dnfile/shengjibao/NewVideoKernalApiTT1127_101.jar
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/banner.html
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/interstitial.html
- p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
- qp.yunanfu####.com.####.com/kubo/hongbao/hb6/chaishenye_1.png
- qp.yunanfu####.com.####.com/kubo/hongbao/hb6/chaishenye_2.png
- qp.yunanfu####.com.####.com/kubo/hongbao/hb7/hongbao1.png
- src.r####.com.####.com/kubo/dex/luomi10.249.dex
Запросы HTTP POST:
- h####.l####.com/adveranaly/hbdt/getHbInfo
- pi####.qq.com/mstat/report/?index=####
- pre.bule####.cn:6501/pre/api_settings.aspx
- s####.e.qq.com/activate
- s####.e.qq.com/launch
- sdk.c####.com/versiontapi.php?v=####&type=####
- v3.bule####.cn:7001/v3/api_request.aspx
- v3.bule####.cn:7001/v3/api_settings.aspx
- w####.pcon####.com.cn/ip.jsp
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.mta-wxop.xml
- /data/data/####/137cf9bec1e32f2f35fa801d4efbe74d
- /data/data/####/1d444769d7556116d2346e1d1c657860
- /data/data/####/2385.yaqcookie
- /data/data/####/2485.yaqcookie
- /data/data/####/25bf2a4295d20e8ca3d4e4a753d1dfc4
- /data/data/####/2608.yaqcookie
- /data/data/####/2724.yaqcookie
- /data/data/####/2813.yaqcookie
- /data/data/####/2922.yaqcookie
- /data/data/####/2958b2beb45d285967d376021328b531
- /data/data/####/3043.yaqcookie
- /data/data/####/305de360fc16bebc4d3a3a368f6fbf09
- /data/data/####/3161.yaqcookie
- /data/data/####/3347.yaqcookie
- /data/data/####/3449.yaqcookie
- /data/data/####/5bc3e0071b26424e3d5048dbc462f9fc
- /data/data/####/66516b2af36dd9e0e9657fd5c5c0864c
- /data/data/####/83bf4ec5d0b197f498787ff9a566f521
- /data/data/####/AVOSCloud-SDK.xml
- /data/data/####/AV_CLOUD_API_VERSION_KEY_ZONE.xml
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/ApplicationCache.db-journal (deleted)
- /data/data/####/BuglySdkInfos.xml
- /data/data/####/DownloadTaskStore.db
- /data/data/####/DownloadTaskStore.db-journal
- /data/data/####/OnewaySdkStorage-ow-pri.json
- /data/data/####/OnewaySdkStorage-ow-pub.json
- /data/data/####/VideoRes.apk
- /data/data/####/ad36745e35de0f3c4941f26c49f86073
- /data/data/####/avoscloud-analysis
- /data/data/####/b63a3bc8f27d602d22675de8c8256b93
- /data/data/####/c6b81d87a879e16b745737bbc457b89f
- /data/data/####/com.avos.avoscloud.RequestStatisticsUtil.data.xml
- /data/data/####/com.avos.avoscloud.analysis.xml
- /data/data/####/com.avos.avoscloud.approuter.mLM7mHXoRjP18fscoz...sz.xml
- /data/data/####/com.rinzz.noonedies_preferences.xml
- /data/data/####/config.xml
- /data/data/####/d46a49782b6a5cc432f8bde0af679a93
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/devCloudSetting.cfg
- /data/data/####/devCloudSetting.sig
- /data/data/####/dexMethod.36117467.dat
- /data/data/####/dexMethod.82894129.dat
- /data/data/####/dianrui_cache.xml
- /data/data/####/gdt_config.cfg
- /data/data/####/gdt_plugin.dex
- /data/data/####/gdt_plugin.dex (deleted)
- /data/data/####/gdt_plugin.jar
- /data/data/####/gdt_plugin.jar.sig
- /data/data/####/gdt_plugin.next
- /data/data/####/gdt_plugin.tmp.sig
- /data/data/####/gdt_suid
- /data/data/####/idb57cedbb-0901-4a4c-9954-95d1a229063d.tmp
- /data/data/####/index
- /data/data/####/libyaqbasic.36117467.so
- /data/data/####/libyaqbasic.82894129.so
- /data/data/####/libyaqpro.36117467.so
- /data/data/####/libyaqpro.82894129.so
- /data/data/####/luomi261.dex
- /data/data/####/luomi_cache.xml
- /data/data/####/luomi_dex_ok_ok.dex
- /data/data/####/luomi_dex_ok_ok.dex (deleted)
- /data/data/####/pri_wxop_tencent_analysis.db
- /data/data/####/pri_wxop_tencent_analysis.db-journal
- /data/data/####/sdkCloudSetting.cfg
- /data/data/####/sdkCloudSetting.sig
- /data/data/####/update_lc
- /data/data/####/videokernel.apk
- /data/data/####/videokernel.dex
- /data/data/####/videonewyd_db
- /data/data/####/videonewyd_db-journal
- /data/data/####/webview.db
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/wxop_tencent_analysis.db
- /data/data/####/wxop_tencent_analysis.db-journal
- /data/data/####/yaqsdkcookie
- /data/media/####/-2077649869
- /data/media/####/.mid.txt
- /data/media/####/.nomedia
- /data/media/####/775401827
- /data/media/####/Videoshell.log
- /data/media/####/c70daa178e9a49bf8f80e95d06a30855
- /data/media/####/chaishenye_1.png
- /data/media/####/chaishenye_2.png
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- cat /sys/class/net/wlan0/address
- dumpsys meminfo 2277
- dumpsys meminfo 2385
- dumpsys meminfo 2485
- dumpsys meminfo 2608
- dumpsys meminfo 2724
- dumpsys meminfo 2813
- dumpsys meminfo 2922
- dumpsys meminfo 3043
- dumpsys meminfo 3161
- dumpsys meminfo 3347
- dumpsys meminfo 3449
Загружает динамические библиотеки:
- cocos2dcpp
- libyaqbasic.36117467
- libyaqbasic.82894129
- libyaqpro.36117467
- libyaqpro.82894129
- mobclickcpp
Использует следующие алгоритмы для шифрования данных:
- AES-ECB-PKCS5Padding
- AES-ECB-PKCS7Padding
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS7Padding
- RSA-ECB-PKCS1Padding
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
