Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.93.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) mo.freeind####.com:80
- TCP(HTTP/1.1) loc####.dorad####.net.####.net:80
- TCP(HTTP/1.1) pl####.mob####.b####.com:80
- TCP(HTTP/1.1) u####.b####.com:80
- TCP(HTTP/1.1) loc####.dorad####.net:80
- TCP(TLS/1.0) ssl.google-####.com:443
- TCP(TLS/1.0) c####.b####.com:443
Запросы DNS:
- api.mob####.b####.com
- c####.b####.com
- funcst####.felink####.com
- loc####.dorad####.net
- loc####.dorad####.net
- mo.freeind####.com
- pl####.mob####.b####.com
- s####.mob####.b####.com
- ssl.google-####.com
- u####.b####.com
Запросы HTTP GET:
- loc####.dorad####.net.####.net/res/20161008/amazon.png
- loc####.dorad####.net.####.net/res/20161008/baidu.png
- loc####.dorad####.net.####.net/res/20161008/facebook.png
- loc####.dorad####.net.####.net/res/20161008/instagram.png
- loc####.dorad####.net.####.net/res/20161008/reddit.png
- loc####.dorad####.net.####.net/res/20161008/tumblr.png
- loc####.dorad####.net.####.net/res/20161008/twitter.png
- loc####.dorad####.net.####.net/res/20161008/wikipedia.png
- loc####.dorad####.net.####.net/res/20161008/yahoo.png
- loc####.dorad####.net.####.net/res/20161008/youtube.png
- loc####.dorad####.net.####.net/res/20161129/crack_screen_type1_screen-2....
- loc####.dorad####.net.####.net/res/20170418/libhellocpp.so
- u####.b####.com/setting/grobal_strategy?p=####&hp=####&l=####&c=####&pro...
Запросы HTTP POST:
- loc####.dorad####.net/overseas/5012
- loc####.dorad####.net/resource/2002
- loc####.dorad####.net/resource/2004
- loc####.dorad####.net/resource/2007
- mo.freeind####.com/detail/getOfferListNew?enc=####
- pl####.mob####.b####.com/ad_dex.php
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/58fbea1b26d717c9bc97d630b9995580_cache.1550847020155
- /data/data/####/91Analytics_Relay_Session.xml
- /data/data/####/91analytics_v4.db
- /data/data/####/91analytics_v4.db-journal
- /data/data/####/AdsBusiness-data.xml
- /data/data/####/AnalyticConfig.xml
- /data/data/####/FlAnalytics_Config.xml
- /data/data/####/L-mbv-1550847080177-1175278924.log
- /data/data/####/SETTING_NORMAL_GROUP.xml
- /data/data/####/adblib.db
- /data/data/####/adblib.db-journal
- /data/data/####/aps.xml
- /data/data/####/apscomm.xml
- /data/data/####/channel.ini
- /data/data/####/classes.dex
- /data/data/####/classes.zip
- /data/data/####/com.flkeyguard.lockscreen.custom.vlockerapplock...10.zip
- /data/data/####/com.flkeyguard.lockscreen.custom.vlockerapplock...s2.dex
- /data/data/####/com.google.android.gms.analytics.prefs.xml
- /data/data/####/crab_app_life.xml
- /data/data/####/crab_crash_switch.xml
- /data/data/####/crab_user_info.xml
- /data/data/####/fac_fb_data.db-journal
- /data/data/####/gaClientId
- /data/data/####/google_analytics_v4.db
- /data/data/####/google_analytics_v4.db-journal
- /data/data/####/multidex.version.xml
- /data/data/####/orginchannel.ini
- /data/data/####/settings.xml
- /data/data/####/settings.xml.bak
- /data/media/####/.cuid
- /data/media/####/.fuid
- /data/media/####/146803146acb69ab60a5213dc8a2025b_cache.1550847017037
- /data/media/####/205289c2bcb168faafcb595592f76353_cache.1550847017023
- /data/media/####/353f745a7a31bda9fb04179e38cf5825_cache.1550847015207
- /data/media/####/3ba15f092fd7417bd58878a221c5ccaa_cache.1550847015205
- /data/media/####/5a222de7233ae7c4b52b4d758c250abc_cache.1550847017036
- /data/media/####/6942a60223cc29dcf7230aa43d090afb_cache.1550847017024
- /data/media/####/77f13e809ab9e216f44bf6f85799e46b_cache.1550847017022
- /data/media/####/a3d85461fe3964178f73741b7c36942d_cache.1550847017024
- /data/media/####/b4210a7514c4b2ca54048b155d730655_cache.1550847017021
- /data/media/####/ff468dbbdca490b23bd949871f17fbdd_cache.1550847017029
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/navi_site
Другие:
Запускает следующие shell-скрипты:
- /system/bin/lock_demaon
- /system/bin/sh
- getprop ro.product.cpu.abi
Загружает динамические библиотеки:
- felink_titan
- image
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-NoPadding
- DES-CBC-PKCS5Padding
- DESede-CBC-PKCS7Padding
Изменяет настройки громкости и вибрации.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Получает информацию о привязанных к устройству аккаунтах (Google, Facebook и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Получает информацию о входящих/исходящих звонках.
