Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.478.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) mo####.twi####.com:80
- TCP(HTTP/1.1) face####.com:80
- TCP(HTTP/1.1) you####.com:80
- TCP(HTTP/1.1) twi####.com:80
- TCP(HTTP/1.1) b####.com:80
- TCP(HTTP/1.1) www.go####.cn:80
- TCP(HTTP/1.1) gd.a.s####.com:80
- TCP(HTTP/1.1) up.press####.com:80
- TCP(HTTP/1.1) www.a.sh####.com:80
- TCP(HTTP/1.1) supermo####.jom####.com:80
- TCP(HTTP/1.1) www.por####.com:80
- TCP(HTTP/1.1) i####.yy####.com:80
- TCP(SSL/3.0) b####.com:443
- TCP(TLS/1.0) cs2-wa####.8####.e####.net:443
- TCP(TLS/1.0) syndica####.twi####.com:443
- TCP(TLS/1.0) www.por####.com:443
- TCP(TLS/1.0) www.a.sh####.com:443
- TCP(TLS/1.0) mo####.twi####.com:443
- TCP(TLS/1.0) gd.a.s####.com:443
- TCP(TLS/1.0) b####.com:443
Запросы DNS:
- b####.com
- ck1.mobi-####.org
- ck2.mobi-####.org
- face####.com
- i####.yy####.com
- ln.nobv####.com
- m.b####.com
- m.tv.s####.com
- ma.t####.com
- mo####.twi####.com
- pbs.t####.com
- sm.b####.com
- syndica####.twi####.com
- twi####.com
- up.press####.com
- www.b####.com
- www.go####.cn
- www.lovely####.club
- www.por####.com
- you####.com
Запросы HTTP GET:
- b####.com/
- face####.com/favicon.ico
- gd.a.s####.com/favicon.ico
- i####.yy####.com/video/mv/170609/0/b9e511fd1e2d793140db2f94479c7144_240x...
- mo####.twi####.com/
- supermo####.jom####.com/static/wiseindex/img/fetch_ing_8_0.png
- twi####.com/favicon.ico
- up.press####.com/imgs/a60.png
- up.press####.com/imgs/a61.png
- up.press####.com/imgs/a62.png
- up.press####.com/vd.php?prd=####&lang=####
- up.press####.com/web_fav.php?prd=####&lang=####
- www.a.sh####.com/
- www.go####.cn/favicon.ico
- www.por####.com/favicon.ico
- you####.com/favicon.ico
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/06de9e32cb95516d520fb6817726b5b2870db759fa25209....0.tmp
- /data/data/####/121fdc1892df6b09d6287de72bbe91534caa27c11afd572....0.tmp
- /data/data/####/124114fe22f37386a7d15494b12f2d93b4a6409cb175979....0.tmp
- /data/data/####/13b1b6d2f58e008cae12a767b367d7fc77972583f5d1d33....0.tmp
- /data/data/####/27d84356998235d895fbacac7208b3bd6ff2dd7af7943c3....0.tmp
- /data/data/####/3400d8f18e01b67cb90c0f93757c086991e05dcbc5fef91....0.tmp
- /data/data/####/6fdb435e8d77fe86bc49a5100d0bc16ff541bd03daeed53....0.tmp
- /data/data/####/70d45fdd92cfd7059380336b67508e75f17dde2ecb617d1....0.tmp
- /data/data/####/870f1a5e4482f28fdf4645a228a8d4dd2443a1733fe0cde....0.tmp
- /data/data/####/91a2f471cedf5f362a16600189f26566d87025ea7bc3797....0.tmp
- /data/data/####/WebViewSettings.xml
- /data/data/####/ace5d961b21f9217ec0aa5bebdea98b93032d67dbca1b44....0.tmp
- /data/data/####/bf7478ad1179c8a70974195c075022beb7c8c890c6d5f6e....0.tmp
- /data/data/####/c32c490e3082eb3df137dec30c89a90307723fa771cae44....0.tmp
- /data/data/####/d76677e973b679fc7b033b642a8450d18abb71556d41b66....0.tmp
- /data/data/####/d910c423e8631c9f58bc3c67410e51ff61ece945fd52ae6....0.tmp
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/df906287f5c220e13bb4a0eb1cec6c04deaf008bb89fecc....0.tmp
- /data/data/####/eea35c06e9ddd5956bea542f4cff6a3691af2285499bc61....0.tmp
- /data/data/####/ef15e1b6db7e84e3129c1cf5a32af684de0bec6a1b5d66f....0.tmp
- /data/data/####/f_000001
- /data/data/####/hotfix.dex
- /data/data/####/hotfix.xml
- /data/data/####/icon.jpg
- /data/data/####/icon1.jpg
- /data/data/####/icon2.jpg
- /data/data/####/icon4.jpg
- /data/data/####/icon5.jpg
- /data/data/####/index
- /data/data/####/installed.meta
- /data/data/####/journal.tmp
- /data/data/####/libmain.so
- /data/data/####/newPathinfo
- /data/data/####/pathinfo
- /data/data/####/preference.db.xml
- /data/data/####/preference_videos.xml
- /data/data/####/static_date.xml
- /data/data/####/test.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.tmp_
- /data/media/####/hotfix.jar
- /data/media/####/hotfix_crash_time
Другие:
Запускает следующие shell-скрипты:
- chmod 775 <Package Folder>/app_lib
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
Отрисовывает собственные окна поверх других приложений.
