Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.127.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) pin####.qq.com:80
- TCP(HTTP/1.1) m.z####.com:80
- TCP(HTTP/1.1) www.z####.com.####.com:80
- TCP(HTTP/1.1) pi####.qq.com:80
- TCP(HTTP/1.1) o####.b####.cn:80
- TCP(TLS/1.0) o####.b####.cn:443
- TCP(TLS/1.0) ps-app####.k####.rocks:8888
- TCP(TLS/1.0) 1####.217.20.110:443
Запросы DNS:
- and####.b####.qq.com
- m.z####.com
- o####.b####.cn
- o####.b####.cn
- pi####.qq.com
- pin####.qq.com
- ps-app####.k####.rocks
- www.z####.com
Запросы HTTP GET:
- m.z####.com/clienth5.do?transactionType=####&busiCode=####&cache=####
- m.z####.com/clienth5.do?transactionType=####&pageNo=####&pageSize=####&b...
- www.z####.com.####.com/khd/zy/ggq/22081243.shtml
- www.z####.com.####.com/upload/resources/image/2018/09/16/1115524.jpg
- www.z####.com.####.com/upload/resources/image/2019/02/21/1171080.jpg
- www.z####.com.####.com/upload/resources/image/2019/02/26/1172184.jpg
- www.z####.com.####.com/upload/resources/image/2019/02/26/1172306.jpg
- www.z####.com.####.com/upload/resources/image/2019/03/01/1173274.jpg
- www.z####.com.####.com/upload/resources/image/2019/03/12/1176168.jpg
- www.z####.com.####.com/upload/resources/image/2019/03/13/1176282.png
- www.z####.com.####.com/upload/resources/image/2019/03/13/1176337.png
- www.z####.com.####.com/upload/resources/image/2019/03/13/1176358.jpg
- www.z####.com.####.com/upload/resources/image/2019/03/13/1176378.jpg
- www.z####.com.####.com/upload/resources/image/2019/03/14/1176641.jpg
- www.z####.com.####.com/upload/resources/image/2019/03/14/1176674.jpg
Запросы HTTP POST:
- and####.b####.qq.com/rqd/async
- o####.b####.cn/8/init
- o####.b####.cn/8/secret
- pi####.qq.com/mstat/report/?index=####
- pin####.qq.com/request
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/0e46f335011095275436e788c0a0baa835df115658586e9....0.tmp
- /data/data/####/18697e915fce16508e9f3158200175ab5540f6ff21a0fae....0.tmp
- /data/data/####/1f7caa64999012b716935c4b75f28d3d54ace5bfc095c30....0.tmp
- /data/data/####/22bf589a36dc515e9fe3fa087cc0831b1b735e273955c89....0.tmp
- /data/data/####/3c7e6986dacbe8f4d6aade46d5847e5549fae51478afdef....0.tmp
- /data/data/####/477acd3f2ccaef11c4a99c22a3ce468b93f1590a395e03e....0.tmp
- /data/data/####/526b7b7f96a37a29c20f5725fcf23e221588455e8dfd945....0.tmp
- /data/data/####/8737a64da9f984d33ca0e53c69b126b1dc70195aae6baef....0.tmp
- /data/data/####/8a401e6de6158e5e4d5f7b14e58d5fc97974e628f6be671....0.tmp
- /data/data/####/8e15f38797728fcbe468614802af5396f983ec97e995478....0.tmp
- /data/data/####/92625dd93971325394a9c9b2686417798ca562ab2ccf776....0.tmp
- /data/data/####/MessageStore.db-journal
- /data/data/####/MsgLogStore.db-journal
- /data/data/####/MultiDex.lock
- /data/data/####/bmob_sp.xml
- /data/data/####/bugly_db_legu-journal
- /data/data/####/c5c411bf9d1cb3f8f88d049e4716a12bcf8c36befbc48ac....0.tmp
- /data/data/####/c63e4c31cd43d99bf85b564a26a9df45827edc4d854f59a....0.tmp
- /data/data/####/cb0c275727df7372a361d23d2e3d9e9af3d7fcc98b24eca....0.tmp
- /data/data/####/cbfab8bb597172516c218f4b69ccaaa5f9795869110bb5b....0.tmp
- /data/data/####/com.dsfffdfs.dsveqlqlcp.mid.world.ro.xml
- /data/data/####/com.dsfffdfs.dsveqlqlcp_preferences.xml
- /data/data/####/dso_deps
- /data/data/####/dso_lock
- /data/data/####/dso_manifest
- /data/data/####/dso_state
- /data/data/####/ecb0d7c42fccdf1331919eb7eac014084176f777884b52c....0.tmp
- /data/data/####/journal.tmp
- /data/data/####/key_app_configuration.xml
- /data/data/####/legu_tencent_analysis.db_com.dsfffdfs.dsveqlqlcp-journal
- /data/data/####/libnfix.so
- /data/data/####/libshella-2.9.1.2.so
- /data/data/####/libufix.so
- /data/data/####/local_crash_lock
- /data/data/####/mix.dex
- /data/data/####/multidex.version.xml
- /data/data/####/native_record_lock
- /data/data/####/pri_legu_tencent_analysis.db_com.dsfffdfs.dsveq...ournal
- /data/data/####/security_info
- /data/data/####/webview.db-journal
- /data/media/####/.mid.txt
- /data/media/####/.mid.txt1000001
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.build.rom.id
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- /system/bin/sh -c type su
- chmod 700 <Package Folder>/tx_shell/libnfix.so
- chmod 700 <Package Folder>/tx_shell/libshella-2.9.1.2.so
- chmod 700 <Package Folder>/tx_shell/libufix.so
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.fingerprint
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lenovo.series
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.build.display.id
- getprop ro.yunos.version
- logcat -d -v threadtime
Загружает динамические библиотеки:
- Bugly
- MtaNativeCrash
- bmob
- libnfix
- libshella-2.9.1.2
- libufix
- nfix
- tpnsSecurity
- ufix
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CFB-NoPadding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
- RSA-NONE-PKCS1PADDING
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CFB-NoPadding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
