Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.571.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(TLS/1.0) mto.multi####.cn:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
Запросы DNS:
- and####.cli####.go####.com
- fo####.ap####.cn
- mto.multi####.cn
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/adSwitcher.xml
- /data/data/####/adSwitcherTime.xml
- /data/data/####/airpushitemnew.db-journal
- /data/data/####/background_resident.xml
- /data/data/####/cache_list.config.tmp
- /data/data/####/classes.dex
- /data/data/####/ctrl_sp_com.excelliance.dualaid.xml
- /data/data/####/download_sp.xml
- /data/data/####/extractInfo.xml
- /data/data/####/global_config.xml
- /data/data/####/hello.xml
- /data/data/####/jrtt_channel.db
- /data/data/####/jrtt_channel.db-journal
- /data/data/####/kxqpChannal.xml
- /data/data/####/kxqpplatform2.jar.lock
- /data/data/####/kxqpplatform2.jar.tmp
- /data/data/####/lb_amcfg
- /data/data/####/lb_packages
- /data/data/####/libkxqpplatform.sinfo
- /data/data/####/libkxqpplatform.so
- /data/data/####/libzvmhelper.so
- /data/data/####/lio_statistics.db-journal
- /data/data/####/lock_app.xml
- /data/data/####/main.jar.tmp
- /data/data/####/pay.jar
- /data/data/####/platform.xml
- /data/data/####/push.xml
- /data/data/####/settings.xml
- /data/data/####/srvtime.xml
- /data/data/####/statistics.xml
- /data/data/####/tmp-1056412640tmp
- /data/data/####/tmp.BH3892
- /data/data/####/tmp.CT3749
- /data/data/####/tmp.Cn3390
- /data/data/####/tmp.Cu4527
- /data/data/####/tmp.DH2507
- /data/data/####/tmp.De2618
- /data/data/####/tmp.EH3403
- /data/data/####/tmp.FH2560
- /data/data/####/tmp.Gq3238
- /data/data/####/tmp.Hs3151
- /data/data/####/tmp.Hy4243
- /data/data/####/tmp.Ie2857
- /data/data/####/tmp.JW2345
- /data/data/####/tmp.Ji3749
- /data/data/####/tmp.KA4602
- /data/data/####/tmp.KB4295
- /data/data/####/tmp.Kd3238
- /data/data/####/tmp.Ky2989
- /data/data/####/tmp.LJ2857
- /data/data/####/tmp.Mh3403
- /data/data/####/tmp.Mt4243
- /data/data/####/tmp.NC2293
- /data/data/####/tmp.NL4396
- /data/data/####/tmp.NQ2618
- /data/data/####/tmp.Nb2681
- /data/data/####/tmp.Nk2419
- /data/data/####/tmp.OQ3645
- /data/data/####/tmp.Oy4050
- /data/data/####/tmp.PM3990
- /data/data/####/tmp.Px2293
- /data/data/####/tmp.QT2681
- /data/data/####/tmp.Qf2345
- /data/data/####/tmp.Qi2802
- /data/data/####/tmp.Rj4295
- /data/data/####/tmp.Rr3133
- /data/data/####/tmp.Rx4354
- /data/data/####/tmp.Ry3661
- /data/data/####/tmp.SO2989
- /data/data/####/tmp.Sm3495
- /data/data/####/tmp.Sp2419
- /data/data/####/tmp.TW4396
- /data/data/####/tmp.Tm3238
- /data/data/####/tmp.Tu2857
- /data/data/####/tmp.UB2507
- /data/data/####/tmp.UE4018
- /data/data/####/tmp.Va3908
- /data/data/####/tmp.Vr3661
- /data/data/####/tmp.Wu4243
- /data/data/####/tmp.YH3661
- /data/data/####/tmp.ZK3892
- /data/data/####/tmp.Zi3238
- /data/data/####/tmp.aW4527
- /data/data/####/tmp.af2560
- /data/data/####/tmp.bP3390
- /data/data/####/tmp.bv3990
- /data/data/####/tmp.ct3151
- /data/data/####/tmp.dd2928
- /data/data/####/tmp.dq2857
- /data/data/####/tmp.eN4396
- /data/data/####/tmp.eZ3495
- /data/data/####/tmp.et3495
- /data/data/####/tmp.fK3990
- /data/data/####/tmp.gp4050
- /data/data/####/tmp.hG4213
- /data/data/####/tmp.hn3645
- /data/data/####/tmp.iN2293
- /data/data/####/tmp.iS4050
- /data/data/####/tmp.iX4295
- /data/data/####/tmp.ix3403
- /data/data/####/tmp.jA3908
- /data/data/####/tmp.jO3908
- /data/data/####/tmp.kO4213
- /data/data/####/tmp.ke2802
- /data/data/####/tmp.lB4542
- /data/data/####/tmp.lI2989
- /data/data/####/tmp.lQ3151
- /data/data/####/tmp.lZ2293
- /data/data/####/tmp.ln4295
- /data/data/####/tmp.mG4602
- /data/data/####/tmp.mL2681
- /data/data/####/tmp.mx2293
- /data/data/####/tmp.mx3151
- /data/data/####/tmp.mz4542
- /data/data/####/tmp.nL4396
- /data/data/####/tmp.nf3133
- /data/data/####/tmp.nf4018
- /data/data/####/tmp.oK2507
- /data/data/####/tmp.of4243
- /data/data/####/tmp.pE3749
- /data/data/####/tmp.pz3495
- /data/data/####/tmp.rr2681
- /data/data/####/tmp.rr3908
- /data/data/####/tmp.sQ2928
- /data/data/####/tmp.sQ3990
- /data/data/####/tmp.tk3403
- /data/data/####/tmp.tu3661
- /data/data/####/tmp.uK4050
- /data/data/####/tmp.un4527
- /data/data/####/tmp.vp3749
- /data/data/####/tmp.wd2989
- /data/data/####/tmp.xp4527
- /data/data/####/tmp.yX2507
- /data/data/####/tmp.ye4354
- /data/data/####/tmp673721026tmp
- /data/data/####/userInfo.xml
- /data/media/####/.idcard
- /data/media/####/com.excelliance.dualaid.png
- /data/media/####/compVersion
- /data/media/####/share.jpg
- /data/media/####/verinfo.cfg
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.platformcache/kxqpplatform2.jar
- chmod 755 <Package Folder>/.platformcache/main.jar
- chmod 755 <Package Folder>/.platformcache/pay.jar
Загружает динамические библиотеки:
- apmeplt
- libkxqpplatform
- libzvmhelper
Использует следующие алгоритмы для шифрования данных:
- AES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
