Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.691.origin
- Android.Mixi.16.origin
Скрывает свою иконку с экрана.
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) p.w####.com:8088
- TCP(HTTP/1.1) api.hzw####.com:80
- TCP(HTTP/1.1) d####.top:91
- TCP(HTTP/1.1) hc.s####.top.####.com:80
- TCP(HTTP/1.1) x####.hzw####.com:80
- TCP(HTTP/1.1) 1####.50.6.196:80
- TCP(TLS/1.0) c####.x####.com:443
Запросы DNS:
- api.hzw####.com
- c####.x####.com
- d####.top
- hc.s####.top
- hc.z####.today
- p.w####.com
- x####.hzw####.com
Запросы HTTP GET:
- api.hzw####.com/Category/GetTypeNovel?gender=####
- api.hzw####.com/Novel/GetNovel?Type=####&pageindex=####&pagesize=####
- hc.s####.top.####.com/gpfile/pfiles/1500809497389.slz
- hc.s####.top.####.com/gpfile/pfiles/1500809763387.slz
- hc.s####.top.####.com/gpfile/pfiles/1500809811269.slz
- hc.s####.top.####.com/gpfile/pfiles/1500809824846.slz
- hc.s####.top.####.com/gpfile/pfiles/1500809904349.slz
- hc.s####.top.####.com/gpfile/pfiles/1500809930147.slz
- hc.s####.top.####.com/gpfile/pfiles/1500810016794.slz
- hc.s####.top.####.com/gpfile/pfiles/1500810035053.slz
- hc.s####.top.####.com/gpfile/pfiles/1500810168210.slz
- hc.s####.top.####.com/gpfile/pfiles/new/goplay_bat32_190121.zip
- hc.s####.top.####.com/gpfile/pfiles/new/goplay_start_190121.dat
- x####.hzw####.com/ProductImages/20150814042704988.jpg
- x####.hzw####.com/ProductImages/20150814042921280.jpg
- x####.hzw####.com/ProductImages/20150814042937923.jpg
- x####.hzw####.com/ProductImages/20150814043013867.jpg
- x####.hzw####.com/ProductImages/20160216012713278.jpg
- x####.hzw####.com/ProductImages/20160216014004972.jpg
- x####.hzw####.com/ProductImages/20160216022331743.jpg
- x####.hzw####.com/ProductImages/20160216022951880.jpg
- x####.hzw####.com/ProductImages/20160216024410613.jpg
- x####.hzw####.com/ProductImages/20160216025412279.jpg
- x####.hzw####.com/ProductImages/20160216032144481.jpg
- x####.hzw####.com/ProductImages/20160216041129539.jpg
- x####.hzw####.com/ProductImages/20160216105019841.jpg
- x####.hzw####.com/ProductImages/20160411012139626.jpg
- x####.hzw####.com/ProductImages/20160411012416407.jpg
- x####.hzw####.com/ProductImages/20160411020236639.jpg
- x####.hzw####.com/ProductImages/20160411024518491.jpg
- x####.hzw####.com/ProductImages/20160411025406772.jpg
- x####.hzw####.com/ProductImages/20160411025857132.jpg
- x####.hzw####.com/ProductImages/20160411110449761.jpg
- x####.hzw####.com/ProductImages/20160412015116597.jpg
- x####.hzw####.com/ProductImages/20160412015809110.jpg
- x####.hzw####.com/ProductImages/20160412020433879.jpg
- x####.hzw####.com/ProductImages/20160412020640268.jpg
- x####.hzw####.com/ProductImages/20160412021127324.jpg
- x####.hzw####.com/ProductImages/20160412021806891.jpg
- x####.hzw####.com/ProductImages/20160412022436341.jpg
- x####.hzw####.com/ProductImages/20160412024825959.jpg
- x####.hzw####.com/ProductImages/20160412025223568.jpg
- x####.hzw####.com/ProductImages/20160412030226585.jpg
- x####.hzw####.com/ProductImages/20160412031046172.jpg
- x####.hzw####.com/ProductImages/20160412031228547.jpg
- x####.hzw####.com/ProductImages/20160412035555958.jpg
- x####.hzw####.com/ProductImages/20160412042116435.jpg
Запросы HTTP POST:
- d####.top:91/d0a0/fb06272
- d####.top:91/o002d55/36b584
- d####.top:91/s584d371/4fb5b
- p.w####.com:8088/plgn/s.php
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jar
- /data/data/####/.md
- /data/data/####/1548086708405_2286
- /data/data/####/1548086708826_2286
- /data/data/####/1548086709710_2286
- /data/data/####/1548086710367_2286
- /data/data/####/1548086711385_2286
- /data/data/####/1548086712225_V17041702Aj1so32.so
- /data/data/####/1805.jar
- /data/data/####/2147B0AE398134E8F22A466EFD50364A
- /data/data/####/39A8236E86DD1296297D8DE624841F9D
- /data/data/####/408.jar
- /data/data/####/421.jar
- /data/data/####/430.jar
- /data/data/####/544D875F53F10690D668A7803F64A301
- /data/data/####/5yrsc2DB8520H46
- /data/data/####/610.jar
- /data/data/####/611.jar
- /data/data/####/617.jar
- /data/data/####/640.jar
- /data/data/####/6551F33CD11554205338FD455AC6EAEC
- /data/data/####/806.jar
- /data/data/####/9523F0B2EA1C325632B78D23E0EE83AA
- /data/data/####/99687EC56345D1BA17727BAA2AAAAE17
- /data/data/####/Archimedes_p1
- /data/data/####/Archimedes_p2
- /data/data/####/Archimedes_p3
- /data/data/####/Archimedes_p4
- /data/data/####/Archimedes_p5
- /data/data/####/B18F99B0B6D584C8114A71AC203597DD
- /data/data/####/CF74CC407509BDCFEDDE232D3EDB4DE8
- /data/data/####/D3D1DD0709C449FD0197CFB882E653F7
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/TDpref_cloudcontrol1.xml
- /data/data/####/TDpref_longtime.xml
- /data/data/####/TDpref_longtime0.xml
- /data/data/####/_plgm.xml
- /data/data/####/com.hzwc.yrsc12golden2
- /data/data/####/com.hzwc.yrsc_preferences.xml
- /data/data/####/dev_info.xml
- /data/data/####/gpdu
- /data/data/####/hftJcw46N.jar
- /data/data/####/iv
- /data/data/####/p.xml
- /data/data/####/salt
- /data/data/####/samsung112.jar
- /data/data/####/tdid.xml
- /data/data/####/test
- /data/data/####/twsdk.db-journal
- /data/data/####/us.908GhK3z1XIE6J7u3B4nRKlfEI88s
- /data/data/####/userData.xml
- /data/data/####/userDatas.xml
- /data/data/####/webview.db-journal
- /data/media/####/-1332025703.tmp
- /data/media/####/-1347536301.tmp
- /data/media/####/-1575002381.tmp
- /data/media/####/-1677530420.tmp
- /data/media/####/-1769545610.tmp
- /data/media/####/-1826398360.tmp
- /data/media/####/-1902806759.tmp
- /data/media/####/-262461905.tmp
- /data/media/####/-35431307.tmp
- /data/media/####/-367891204.tmp
- /data/media/####/-534544077
- /data/media/####/-790450861.tmp
- /data/media/####/.tcookieid
- /data/media/####/1032725718.tmp
- /data/media/####/105232744.tmp
- /data/media/####/1133652045.tmp
- /data/media/####/1143965166.tmp
- /data/media/####/1160988335.tmp
- /data/media/####/1638584334.tmp
- /data/media/####/1648598074.tmp
- /data/media/####/1796141137.tmp
- /data/media/####/1854084971.tmp
- /data/media/####/1917214798.tmp
- /data/media/####/1995097046.tmp
- /data/media/####/2083719054.tmp
- /data/media/####/2131597978.tmp
- /data/media/####/245339544.tmp
- /data/media/####/450603894.tmp
- /data/media/####/46057888.tmp
- /data/media/####/461038619.tmp
- /data/media/####/46237798.tmp
- /data/media/####/518513241.tmp
- /data/media/####/619927893.tmp
- /data/media/####/745566606.tmp
- /data/media/####/756293854.tmp
- /data/media/####/android_fm.id
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/.play/test <Package Folder>/files/.play/ c98c145680ed6541240abc9d1260b891
- <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s -h c98c145680ed6541240abc9d1260b891 <Package Folder>/.syslib-
- chmod 0771 <Package Folder>/.syslib-
- chmod 770 <Package Folder>/files/.play/test
- getenforce
- getprop
- rm -f <Package Folder>/files/hftJcw46N.dex
- rm -f <Package Folder>/files/hftJcw46N.jar
- rm -f <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s
- rm <Package Folder>/files/hftJcw46N.dex
- rm <Package Folder>/files/hftJcw46N.jar
- rm <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s
- sh -c /system/usr/toolbox rm -f <Package Folder>/files/hftJcw46N.dex > /dev/null 2>&1
- sh -c /system/usr/toolbox rm -f <Package Folder>/files/hftJcw46N.jar > /dev/null 2>&1
- sh -c /system/usr/toolbox rm -f <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s > /dev/null 2>&1
- sh -c rm <Package Folder>/files/hftJcw46N.dex > /dev/null 2>&1
- sh -c rm <Package Folder>/files/hftJcw46N.jar > /dev/null 2>&1
- sh -c rm <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s > /dev/null 2>&1
- sh -c rm -f <Package Folder>/files/hftJcw46N.dex > /dev/null 2>&1
- sh -c rm -f <Package Folder>/files/hftJcw46N.jar > /dev/null 2>&1
- sh -c rm -f <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s > /dev/null 2>&1
- sh <Package Folder>/files/.play/test <Package Folder>/files/.play/ c98c145680ed6541240abc9d1260b891
- sh <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s -h c98c145680ed6541240abc9d1260b891 <Package Folder>/.syslib-
Загружает динамические библиотеки:
- 1548086712225_V17041702Aj1so32
Использует следующие алгоритмы для шифрования данных:
- AES
- AES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
- DES
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
