Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.366.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) clu####.manhu####.com:80
- TCP(HTTP/1.1) c####.hyhon####.cn:80
- TCP(HTTP/1.1) bf####.8p####.com:11039
- TCP(HTTP/1.1) 1####.159.180.48:8090
- TCP(HTTP/1.1) manhua1####.cd####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) sdk.qipa####.cn:8088
- TCP(HTTP/1.1) mhfm92####.cd####.com:80
- TCP(HTTP/1.1) 1####.159.152.136:8090
- TCP(HTTP/1.1) mang####.manhu####.com:80
- TCP(HTTP/1.1) ja####.huita####.com:10091
- TCP(HTTP/1.1) thi####.q####.cn:80
- TCP(TLS/1.0) www.zga####.cn:443
- TCP(TLS/1.0) 1####.217.168.238:443
Запросы DNS:
- and####.b####.qq.com
- bf####.8p####.com
- c####.hyhon####.cn
- clu####.manhu####.com
- ja####.huita####.com
- jb####.qh####.com
- mang####.manhu####.com
- manhua1####.cd####.com
- mhfm12####.cd####.com
- mhfm42####.cd####.com
- mhfm52####.cd####.com
- mhfm62####.cd####.com
- mhfm72####.cd####.com
- mhfm82####.cd####.com
- mhfm92####.cd####.com
- sdk.qipa####.cn
- thi####.q####.cn
- www.zga####.cn
- wx.q####.cn
Запросы HTTP GET:
- c####.hyhon####.cn/OK/QWE013
- clu####.manhu####.com/notification/getMessagesTotal?gat=####&gak=####&gs...
- clu####.manhu####.com/v1/manga/getDetail?mangaDetailVersion=####&mangaId...
- clu####.manhu####.com/v1/manga/getHotComment?userId=####&mangaId=####&ga...
- clu####.manhu####.com/v1/manga/getWatcher?mangaId=####&gat=####&gak=####...
- clu####.manhu####.com/v1/manga/recommend?version=####&mangaId=####&type=...
- clu####.manhu####.com/v1/public/getAdstrategy?mangaId=####&viewName=####...
- clu####.manhu####.com/v1/public/getBaseurl?gat=####&gak=####&gsm=####&gu...
- clu####.manhu####.com/v1/public/getPublishConfig?gat=####&gak=####&gsm=#...
- clu####.manhu####.com/v1/public/getUpgradeInfo?version=####&type=####&sh...
- clu####.manhu####.com/v1/user/getMessage?version=####&gat=####&gak=####&...
- mang####.manhu####.com/v1/public/getAds?version=####&mangaId=####&type=#...
- mang####.manhu####.com/v1/public/getBaseurl?gat=####&gak=####&gsm=####&g...
- mang####.manhu####.com/v1/public/getGlobalConfig?gat=####&gak=####&gsm=#...
- mang####.manhu####.com/v1/public/getHome?version=####&isPromote=####&gat...
- manhua1####.cd####.com/userfile/5/avatars/2018/9/15/134128321/1/cdc8f4cd...
- mhfm92####.cd####.com/3/2649/2649.jpg
- mhfm92####.cd####.com/34/33991/20190322080335_180x240_21.jpg
- mhfm92####.cd####.com/34/33991/20190322080335_480x210_48.jpg
- mhfm92####.cd####.com/34/33991/20190322080421_480x369_72.jpg
- mhfm92####.cd####.com/39/38558/20180427172910_180x240.jpg
- mhfm92####.cd####.com/4/3423/3423_l.jpg
- mhfm92####.cd####.com/4/3735/3735_l.jpg
- mhfm92####.cd####.com/4/3759/3759.jpg
- mhfm92####.cd####.com/42/41666/20180715000445_480x210_49.jpg
- mhfm92####.cd####.com/42/41977/20180508100526_180x240_19.jpg
- mhfm92####.cd####.com/45/44325/20180815090038_180x240.jpg
- mhfm92####.cd####.com/47/46992/20181224085049_180x240.jpg
- mhfm92####.cd####.com/47/46994/20181226094710_180x240.jpg
- mhfm92####.cd####.com/8/7875/7875.jpg
- mhfm92####.cd####.com/tag/manhuaren2/djsf_icon.png
- mhfm92####.cd####.com/tag/manhuaren2/djsf_more_icon.png
- thi####.q####.cn/mmopen/d6wfibpdZAiaS9icrh3H7drHtD11dRYRZd1H75oTv4EkbPtF...
- thi####.q####.cn/mmopen/fWlqT1niaBiacmUrNbnAuSphhwXerlicPYicHpuHV3MSw6fy...
- thi####.q####.cn/mmopen/vi_32/DdKjgQn5C8IEzZicz813pzUWz5PSHyy9XFOEXiaiaK...
Запросы HTTP POST:
- and####.b####.qq.com/rqd/async
- bf####.8p####.com:11039/fevqe
- bf####.8p####.com:11039/qysvz
- ja####.huita####.com:10091/wisdom/marking
- mang####.manhu####.com/v1/public/getStartPageAds3?gat=####&gak=####&gsm=...
- mang####.manhu####.com/v1/user/createAnonyUser2?gat=####&gak=####&gsm=##...
- sdk.qipa####.cn:8088/a.do
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/1BLbrXAwVUvhgPx5qx0-ASVS7a4.-1108068405.tmp
- /data/data/####/4eQnVm-JY7_Xq13_Pan2wpy3bgM.1239927579.tmp
- /data/data/####/68164081
- /data/data/####/7ve1Sippffe9WQFupesiNigWSGg.-945509510.tmp
- /data/data/####/AJ7AWIciMPEALj7pXaeqNA6zr6Q.424483451.tmp
- /data/data/####/BB329387E35EC64A285EDFFB32DC6E12.xml
- /data/data/####/BE64377A23A0130F6C5A82350310E31E.xml
- /data/data/####/EF1F19F5DB18554471C7A30661B046BC.xml
- /data/data/####/EsL6GLeeQMNweAExq7TrivXH1gg.1867012387.tmp
- /data/data/####/GlobalConfigBean
- /data/data/####/LpeusmpxKFbRkmsH7Xo20xrN8yQ.386873990.tmp
- /data/data/####/OvaO5uovF9HQSFbFmM-68D8GYic.-1343972709.tmp
- /data/data/####/Q6TIHLdAocJQCIGvUVDKhg7CNqY.-429932305.tmp
- /data/data/####/UEh50BjGCwgdka9N9FzM-upw2nY.-795632051.tmp
- /data/data/####/Uaz_hTcEFCTzAI8HUxHClekYehg.134391703.tmp
- /data/data/####/VvKGOI0TDfpHiea_pVJOnnYJ3Bs.11354250.tmp
- /data/data/####/abc.xml
- /data/data/####/b6zz3FZptzJ4v9TDBRLA01cR7pk.1622417535.tmp
- /data/data/####/bugly_db_legu-journal
- /data/data/####/cartoon.db
- /data/data/####/cartoon.db-journal
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.dongman.nwdongic_preferences.xml
- /data/data/####/config
- /data/data/####/config.xml
- /data/data/####/detailactivity_looking33991
- /data/data/####/detailactivity_mangadetail33991
- /data/data/####/detailactivity_recommend33991
- /data/data/####/ezpyw.png
- /data/data/####/game_res
- /data/data/####/game_res.zip
- /data/data/####/h1P-0_7nmMwMsYnV76awHsk_F8w.1159505645.tmp
- /data/data/####/homefragment_getHome
- /data/data/####/key_get_start_page_ads
- /data/data/####/libnadwt.so
- /data/data/####/libnadwt.so-32
- /data/data/####/libnadwt.so-64
- /data/data/####/libnfix.so
- /data/data/####/libshella-2.9.1.2.so
- /data/data/####/libufix.so
- /data/data/####/local_crash_lock
- /data/data/####/mhr_anony_user
- /data/data/####/mix.dex
- /data/data/####/mjDnFuBtisKskwNb6bgnSMe-y2w.1499443332.tmp
- /data/data/####/mobclick_agent_cached_com.dongman.nwdongic5
- /data/data/####/moipwqhu.jar
- /data/data/####/multidex.version.xml
- /data/data/####/native_record_lock
- /data/data/####/oWLxXHhYZ9mIBNKPh5JU1ohQ3RQ.-291736744.tmp
- /data/data/####/qFSwhlOWrUUEwxPdC991qjaqDgo.1972998726.tmp
- /data/data/####/security_info
- /data/data/####/sxHDE6G8BGX-wbuDR-DaDQMUOIY.811856830.tmp
- /data/data/####/sync_time
- /data/data/####/tlY1CC3X9AW88j5JdeiCngFchBQ.1011352766.tmp
- /data/data/####/umeng_general_config.xml
- /data/data/####/unWaSeFpj8dcwphV1jtvdgJKqXo.84094088.tmp
- /data/data/####/webview.db-journal
- /data/data/####/wx51kf.apk
- /data/data/####/yURkFxEF8wlHgbEGs4swNaOKGjk.709141800.tmp
- /data/data/####/yd_config_c.xml
- /data/data/####/ydutl.cf
- /data/media/####/.bsgo
- /data/media/####/.nomedia
- /data/media/####/06B724198B7BFFFDB8A27545931D19F7.temp
- /data/media/####/50068dd39b18cbc3878a154856b84be0
- /data/media/####/uu.dat
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.build.rom.id
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- /system/bin/sh -c type su
- cat /proc/version
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/tx_shell/libnfix.so
- chmod 700 <Package Folder>/tx_shell/libshella-2.9.1.2.so
- chmod 700 <Package Folder>/tx_shell/libufix.so
- getprop
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.fingerprint
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lenovo.series
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.product.cpu.abi
- getprop ro.vivo.os.build.display.id
- getprop ro.yunos.version
- logcat -d -v threadtime
Загружает динамические библиотеки:
- Bugly
- bitmaps
- libnadwt
- libnfix
- libshella-2.9.1.2
- libufix
- memchunk
- nfix
- static-webp
- ufix
- webp
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-GCM-NoPadding
- DES
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
- RSA-None-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-GCM-NoPadding
- DES
- RSA-None-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Получает информацию об отправленых/принятых SMS.
