Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.3887
- Android.DownLoader.793.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) dl.api.kyli####.com:80
- TCP(HTTP/1.1) 1####.50.63.227:8881
- TCP(HTTP/1.1) nb.i36####.com:9000
- TCP(HTTP/1.1) 1####.75.29.14:8721
- TCP(HTTP/1.1) v####.6####.com:80
- TCP(HTTP/1.1) gdv.a.s####.com:80
- TCP(HTTP/1.1) 1####.75.142.89:80
- TCP(HTTP/1.1) d####.wos####.com:80
- TCP(HTTP/1.1) cdn.1####.wang:80
- TCP(HTTP/1.1) 2####.98.33.230:8888
- TCP(HTTP/1.1) api.kxcon####.com:666
- TCP(HTTP/1.1) k####.kyli####.com.####.com:80
- TCP(HTTP/1.1) api.ha####.top:80
- TCP(HTTP/1.1) 1####.75.29.14:8711
- TCP(HTTP/1.1) n####.haiqi####.top:8080
- TCP(HTTP/1.1) p####.caiji####.com:80
- TCP(HTTP/1.1) w####.pcon####.com.cn:80
- TCP(HTTP/1.1) z####.heyc####.net:80
- TCP(HTTP/1.1) c.xz####.com:3350
- TCP(HTTP/1.1) ip.ch####.com:80
- TCP(HTTP/1.1) p.rqco####.com:8806
- TCP(HTTP/1.1) sdk.91a####.com:80
- TCP(HTTP/1.1) ny.liz####.com:666
- TCP(HTTP/1.1) idv####.qini####.com:80
- TCP(TLS/1.0) ssl.gst####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) h####.b####.com:443
Запросы DNS:
- api.ha####.top
- api.ila####.com
- api.kxcon####.com
- b####.ifeed####.com
- c.xz####.com
- cdn.1####.wang
- d####.wos####.com
- dl.api.kyli####.com
- e####.com
- h####.b####.com
- ip.ch####.com
- k####.kyli####.com
- n####.haiqi####.top
- n####.haiqi####.top
- nb.i36####.com
- ny.liz####.com
- p####.caiji####.com
- p.rqco####.com
- p72cd####.bkt.clo####.com
- pv.s####.com
- sdk.91a####.com
- ssl.gst####.com
- tt.kyli####.com
- v####.6####.com
- w####.5####.com
- w####.pcon####.com.cn
- www.go####.com
- www.gst####.com
- z####.heyc####.net
Запросы HTTP GET:
- cdn.1####.wang/sc_160
- idv####.qini####.com/path_gn_q16_update13.dat
- ip.ch####.com/getip.aspx
- k####.kyli####.com.####.com/1547805552905_utils.ttf
- n####.haiqi####.top:8080/adv_platform/getJarVersion/HQB_Q_0016/23/cn
- n####.haiqi####.top:8080/adv_platform/getJarVersion/HQB_Q_0016/61/cn
- nb.i36####.com:9000/jsonServer/LanMei001
- nb.i36####.com:9000/jsonServer/LanMei01
- nb.i36####.com:9000/jsonServer/ucxxl03
- nb.i36####.com:9000/jsonServer/xunma3behavior
- p.rqco####.com:8806/c/1551126963730
Запросы HTTP POST:
- api.ha####.top/Orders/getlive?channel=####
- api.kxcon####.com:666/v1/config
- c.xz####.com:3350/s/
- d####.wos####.com/upload/event.jsp
- d####.wos####.com/upload/event2.jsp
- d####.wos####.com/upload/longheartbeat.jsp
- d####.wos####.com/upload/sdklongheartbeat.jsp
- dl.api.kyli####.com/v2/load/mobile
- gdv.a.s####.com/cityjson
- nb.i36####.com:9000/api/getAdInfoByDevice.do
- nb.i36####.com:9000/api/getAdInfoById.do
- nb.i36####.com:9000/api/jad.do
- nb.i36####.com:9000/api/vsp/getVspCore.do
- ny.liz####.com:666/api_yi.aspx
- ny.liz####.com:666/slsdk/settings.aspx
- p####.caiji####.com/klv2/sdkkl/mobile
- p.rqco####.com:8806/p/1551126964429
- sdk.91a####.com/api/DeviceReport.ashx
- v####.6####.com/api/CheckModule.ashx
- w####.pcon####.com.cn/ip.jsp
- z####.heyc####.net/getlist
- z####.heyc####.net/xlogin
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.35d3c888-1082-48e3-842b-0d8fa2114210
- /data/data/####/.e54b9d96-23aa-4954-87e2-c1691f531b33
- /data/data/####/2019_02_25read.xml
- /data/data/####/3323003.jar
- /data/data/####/3323003.ttf
- /data/data/####/9bf9cf90a833547ccfe8f45d1ab52d81
- /data/data/####/DA3B41CDDADB221DD69CD25D56AE42D5.jar
- /data/data/####/DA3B41CDDADB221DD69CD25D56AE42D5.tmp
- /data/data/####/RSS_PL_COUNTLY_STORE.xml
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_ap_info_cache.json
- /data/data/####/__local_last_session.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/__send_data_1551126908113
- /data/data/####/__send_data_1551126918603
- /data/data/####/android-util.zip
- /data/data/####/app_spf_scli.xml
- /data/data/####/baidu_mtj_sdk_record.xml
- /data/data/####/close.png
- /data/data/####/cwnamd
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/default.xml
- /data/data/####/defaultpref1.xml
- /data/data/####/dpi
- /data/data/####/hid.db
- /data/data/####/index
- /data/data/####/kobox.0.sp.xml
- /data/data/####/libcuid.so
- /data/data/####/ljtq.xml
- /data/data/####/load_MTAwMF8xMjAxXzEyMjAzMTAw;.xml
- /data/data/####/max_pref.xml
- /data/data/####/oddbd.xml
- /data/data/####/oddzg.xml
- /data/data/####/path_gn_q16_update13.temp (deleted)
- /data/data/####/pl_sp.xml
- /data/data/####/prdopt.xml
- /data/data/####/read.xml
- /data/data/####/rws_sp.xml
- /data/data/####/sp_iconfig.xml
- /data/data/####/sp_iconfig.xml.bak
- /data/data/####/tdargs.xml
- /data/data/####/tmpbl.jar
- /data/data/####/tmpbl.jar_tmp
- /data/data/####/tools8977.xml
- /data/data/####/use_MTAwMF8xMjAxXzEyMjAzMTAw;.xml
- /data/data/####/webengine.jar
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.confd
- /data/media/####/.confd-journal
- /data/media/####/.cuid2
- /data/media/####/.nid
- /data/media/####/.timestamp
- /data/media/####/2019_02_25
- /data/media/####/LanMei001
- /data/media/####/adv
- /data/media/####/config
- /data/media/####/deviceId
- /data/media/####/id.tmp
- /data/media/####/isread
- /data/media/####/master
- /data/media/####/master.lock
- /data/media/####/tag2.datcaec93cd-9efe-4518-883d-e3800c2f80a0.tmp
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh
- cat /sys/class/android_usb/android0/idProduct
- cat /sys/class/android_usb/android0/idVendor
- getprop
- getprop ro.build.display.id
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.smartisan.version
- getprop ro.vivo.os.version
- ls -l /dev
- ls -l /dev/block
- ls -l /dev/block/vold
- ls -l /dev/bus
- ls -l /dev/bus/usb
- ls -l /dev/bus/usb/001
- ls -l /dev/com.android.settings.daemon
- ls -l /dev/cpuctl
- ls -l /dev/cpuctl/apps
- ls -l /dev/cpuctl/apps/bg_non_interactive
- ls -l /dev/graphics
- ls -l /dev/input
- ls -l /dev/log
- ls -l /dev/pts
- ls -l /dev/snd
- ls -l /dev/socket
- ps
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES-CBC-PKCS5Padding
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
