Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.907
- Android.Triada.2018
- Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) 1####.132.26.203:9700
- TCP(HTTP/1.1) 1####.196.191.233:6600
- TCP(HTTP/1.1) 1####.196.191.233:6700
- TCP(HTTP/1.1) dw.winners####.com:80
- TCP(HTTP/1.1) s.ace####.com:80
- TCP(HTTP/1.1) yun.tuit####.com.####.com:80
- TCP(HTTP/1.1) en####.tui####.com:80
- TCP(TLS/1.0) 1####.217.17.142:443
- TCP(TLS/1.0) yw.suma####.com:5600
- TCP(TLS/1.0) yw.suma####.com:5500
Запросы DNS:
- a####.u####.com
- dw.winners####.com
- en####.tui####.com
- l.ace####.com
- s.ace####.com
- yun.tuit####.com
- yw.suma####.com
Запросы HTTP GET:
- dw.winners####.com/img/20181217/965185/14.jpg
- dw.winners####.com/tem/ad.html
- dw.winners####.com/tem/js/WebViewJavascriptBridge.js
- dw.winners####.com/tem/js/jquery-1.8.0.min.js
- en####.tui####.com/index/image?appKey=####&adslotId=####
- s.ace####.com/ando-res/m/jN9oNr*cHSjNoWXUfGIcLd5PkjSh2JnXM2fqRdP3mWXr-Xd...
- yun.tuit####.com.####.com/mami-media/img/lb61i6xuoe.jpg
Запросы HTTP POST:
- a####.u####.com/app_logs
- l.ace####.com/ando/v2/ap?app_id=####&r=####
- l.ace####.com/ando/v2/lv?app_id=####&r=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/anr/traces.txt
- /data/data/####/-S2VWmwnhrpi-SFPJg0BQEK14n8sHLLH.new
- /data/data/####/.imprint
- /data/data/####/2xW6T2bMLBQ6o62Qz_p0YFywzxqX_VswDK2fG7jxMuI=.new
- /data/data/####/4W6JgZVzB94XeDhRs5VtmthnZ3fFtOunegbfaPbaXnU=.new
- /data/data/####/6KGALj6KzSFkAjuBMMlBoA==.new
- /data/data/####/7DAIiH7ti6PnXnr0
- /data/data/####/97LjGSlIYRlKfmVT.zip
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/D6L_D4Aod6baG8wC
- /data/data/####/Fo1tLbG4mKpCcajFu-xDt74l3vDzRfBggYXiVemP_xA=
- /data/data/####/Fo1tLbG4mKpCcajFu-xDt74l3vDzRfBggYXiVemP_xA=.new
- /data/data/####/G6ln9vIRL2l8lJhrwHbu6g==
- /data/data/####/Gm_HduPzBfGOBdZ8.new
- /data/data/####/I9h_XXiqJoMI1lmQP4VbYYCe_Tk=
- /data/data/####/Ja7LUp5OwFsS6Tfl3kdGbQ==.new
- /data/data/####/LJtH7UcmQLSFNGpRKhcYNhLOoWxCVHpx.new
- /data/data/####/Le2birFALOIDWDaUdwlLJXMv5Tk=.temp
- /data/data/####/Lq7OuwWnE2qVHfyg90YFQ5lwo7QGv5KM.new
- /data/data/####/MfDPXvK4YBtpcmxBQC7MLw==.new
- /data/data/####/N_wi3hoKjekx2mv4n4Rb034dpTH7QI3NvROTpA==_9HrMAi...ournal
- /data/data/####/N_wi3hoKjekx2mv4n4Rb034dpTH7QI3NvROTpA==_FMHNsC...lBvg==
- /data/data/####/N_wi3hoKjekx2mv4n4Rb034dpTH7QI3NvROTpA==_FMHNsC...ournal
- /data/data/####/N_wi3hoKjekx2mv4n4Rb034dpTH7QI3NvROTpA==_J1aymi...BAxw==
- /data/data/####/N_wi3hoKjekx2mv4n4Rb034dpTH7QI3NvROTpA==_J1aymi...ournal
- /data/data/####/N_wi3hoKjekx2mv4n4Rb034dpTH7QI3NvROTpA==_Zi3Qlq...ipciw=
- /data/data/####/N_wi3hoKjekx2mv4n4Rb034dpTH7QI3NvROTpA==_Zi3Qlq...ournal
- /data/data/####/N_wi3hoKjekx2mv4n4Rb034dpTH7QI3NvROTpA==_aKWlw2...ournal
- /data/data/####/N_wi3hoKjekx2mv4n4Rb034dpTH7QI3NvROTpA==_aKWlw2JpptCAzd1g
- /data/data/####/PQCO26QPw_081kEXvm_ItI_Z4S-FpVkwKxR13w==.new
- /data/data/####/Rdf49V1WYiZdrpAsYbQug44GUyTzdWmr.new
- /data/data/####/S-m1RfS_r8Tu9htnkbkNADrFiNU=.new
- /data/data/####/_yqK5PK3ogzt1LjpwvwhG8biVNgYPX-w.new
- /data/data/####/aQa1-avphI7mnubZro_vgv2cB287oVA8.new
- /data/data/####/be9aKUg6XYZ48hxPBrrOCclEJF_qlbcI.new
- /data/data/####/c4bKJMbIpoXfeheKtJjFed5dsA8=.new
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.s.ypay.apk
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f9Yl4dAK4ndL3ouW3ZG8bzIRAPsmtaPfOpQC2g==.new
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/gIGFp0gbIBdM9gk9TEpPWRcRpUULZH9u.new
- /data/data/####/gameConfig.xml
- /data/data/####/gdt_config.xml
- /data/data/####/gli7QW2gRyNCIG0Nc6IbtSxGvRA=.new
- /data/data/####/ig_SEU_Bvwpij7XF_TMGCZxYUFoiEBxRXbNfhA==.new
- /data/data/####/index
- /data/data/####/l8QCOCXgGvSFBRDOjst97o1iCz0=.new
- /data/data/####/libexec.so
- /data/data/####/ouDLVZotZNILQX7G_ZJXyRpxjZVjHGKL.new
- /data/data/####/pPjf1VLPBr2LY5VVDAOSoAW53dA=.temp
- /data/data/####/przmFfCUIpOT8VvqtqZ4jw==
- /data/data/####/qujcaa_f.zip
- /data/data/####/rdata_comvuhnzwjhav.new
- /data/data/####/rtpHCuukZoQKyUKTOSaWlXE51M0=.new
- /data/data/####/runner_info.prop.new
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/unknown.xml
- /data/data/####/vi_db_pay-journal
- /data/data/####/w6ZsrCfHJHpFs6I_CRuI0MMH1hAo4fWDFPQAibRAgJI=
- /data/data/####/w6ZsrCfHJHpFs6I_CRuI0MMH1hAo4fWDFPQAibRAgJI=.new
- /data/data/####/w6ZsrCfHJHpFs6I_CRuI0MMH1hAo4fWDFPQAibRAgJI=.old (deleted)
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/xkO3H2NakOLaMLr-dy--5msk9oc=.new
- /data/media/####/.uunique.new
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/7a3a9d2c-ceaa-4705-a8e9-c7e7bb0e9d44.res
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/r_pkDgN4OhnkSa0D
- /data/media/####/sys.lock
- /data/media/####/sysid.dat
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh
- <Package Folder>/code-2386128/D6L_D4Aod6baG8wC -p <Package> -c com.vuhnz.wjhav.drop.AppleReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- cat /sys/block/mmcblk0/device/cid
- getprop ro.product.cpu.abi
- ls -l /sbin/su
- ls -l /system/bin/su
- ls -l /system/sbin/su
- ls -l /system/xbin/su
- ls -l /vendor/bin/su
- sh <Package Folder>/code-2386128/D6L_D4Aod6baG8wC -p <Package> -c com.vuhnz.wjhav.drop.AppleReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- libexec
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из SMS.
Получает информацию об отправленых/принятых SMS.
