Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.248.origin
- Android.Triada.464.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) oss.m####.g.####.com:80
- TCP(HTTP/1.1) 1####.92.3.38:80
- TCP(HTTP/1.1) 1####.29.29.29:80
- TCP(HTTP/1.1) f.ma####.mi####.####.com:80
- TCP(HTTP/1.1) f####.ma####.xi####.####.net:80
- UDP(NTP) 2.and####.p####.####.org:123
- TCP(TLS/1.0) gv1.x####.com:443
- TCP(TLS/1.0) sdkco####.ad.xi####.com:443
- TCP(TLS/1.0) c####.x####.com:443
- TCP(TLS/1.0) d####.g####.xi####.com:443
- TCP(TLS/1.0) z####.ad.xi####.com:443
- TCP(TLS/1.0) o.d####.mi####.####.com:443
- UDP 2####.255.255.255:67
Запросы DNS:
- 2.and####.p####.####.org
- c####.x####.com
- d####.g####.xi####.com
- d####.mi####.xi####.com
- f1.ma####.xi####.com
- f2.ma####.xi####.com
- f3.ma####.xi####.com
- f4.ma####.mi####.com
- f4.ma####.xi####.com
- f5.ma####.xi####.com
- gv1.x####.com
- l.ace####.com
- mt####.go####.com
- oss.m####.g.####.com
- sdkco####.ad.xi####.com
- z####.ad.xi####.com
Запросы HTTP GET:
- f####.ma####.xi####.####.net/download/AdCenter/06245f583f7ae480e1123dd27...
- f.ma####.mi####.####.com/download/AdCenter/06245f583f7ae480e1123dd279c90...
Запросы HTTP POST:
- oss.m####.g.####.com/ossv2/getbaseinfo
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-6h0kI6jMj_K67iXot7_JYulTuK0-2PGY4RdTA==.new
- /data/data/####/1554177848696_4931
- /data/data/####/1554177853790_4931
- /data/data/####/1554188588480_2288
- /data/data/####/1554188589228_2288
- /data/data/####/1554188589765_2288
- /data/data/####/1554188593095_2405
- /data/data/####/1554188598456_2522
- /data/data/####/1554188603037_2626
- /data/data/####/1554188607697_2730
- /data/data/####/1554188612368_2834
- /data/data/####/1554188617086_2937
- /data/data/####/1554188620350_3041
- /data/data/####/3K8z0FkA4tHa7w2YEs6Q1LH9bDDxXQqz.new
- /data/data/####/64aHEo7rEhxbbxtc9BLnR6n0TLkyGaQ1.new
- /data/data/####/6cb4dde3ff6d2ee4012abb2268f39109;account_file.xml
- /data/data/####/6lTBNGzvxz4yvnQx3yqHPg==
- /data/data/####/81PVE9HlcVWLMI-u6ATMgHwX7FE_lLdE.new
- /data/data/####/87OCBkzZBE52EbhE
- /data/data/####/A1yLHaHWOnbl6b_W0-oBJ-iV8_I=
- /data/data/####/Archimedes_p1
- /data/data/####/Archimedes_p2
- /data/data/####/Archimedes_p3
- /data/data/####/Archimedes_p4
- /data/data/####/Archimedes_p5
- /data/data/####/BrUakosjwaim6YvqGG3hQ1R6cyo=.new
- /data/data/####/BvyLNMX-cOFgtRwpW_8TNw==.new
- /data/data/####/DqAcrpZh2_Zd-DpSnpfp8wA5DHo=.new
- /data/data/####/GameDataCache
- /data/data/####/H6Zu0vFXIwxaoyA3WOGae83et-8=.new
- /data/data/####/HwEda3h5oj_ihQ6BueIcqj2cxx8cIa9N7Z99mKuzK54=.new
- /data/data/####/IZteD-nQhysWRDF2VsRtNbGNaJDxCVUI.new
- /data/data/####/Jo78l81d5vIZL7P-c4oRT4_7XZDiCkRS.new
- /data/data/####/KvhnMlq7M-5vsZBPIRC-tQ==
- /data/data/####/MAaMrV3mQVl_IocMMbDZ8cyf1kP2FvtrdLgGOtWoau4=.new
- /data/data/####/MCfW7HqCOMfBJN9TWOHuGNs-TdzagKif9JSFBmtQWhk=.new
- /data/data/####/MotionEvent.xml
- /data/data/####/RsoinRT0cOUStJs4PBdfd8m7BgIAGYjp9v_1TbswIKc=.new
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/TDpref_cloudcontrol3.xml
- /data/data/####/TDpref_game.xml
- /data/data/####/TDpref_longtime.xml
- /data/data/####/TDpref_longtime3.xml
- /data/data/####/TDpref_shorttime.xml
- /data/data/####/TDpref_shorttime3.xml
- /data/data/####/XQnHW_FVRxlCOOeeNFUrZ6ttGty-hNS__6fv64CAsf2z6Mk...ournal
- /data/data/####/XQnHW_FVRxlCOOeeNFUrZ6ttGty-hNS__6fv64CAsf2z6MkDBMYZeWg==
- /data/data/####/XQnHW_FVRxlCOOeeNFUrZ6ttGty-hNS__KGg-6uGedSfOBZx4
- /data/data/####/XQnHW_FVRxlCOOeeNFUrZ6ttGty-hNS__KGg-6uGedSfOBZx4-journal
- /data/data/####/XQnHW_FVRxlCOOeeNFUrZ6ttGty-hNS__hgZnYowwtpw5OZ...W4f2M=
- /data/data/####/XQnHW_FVRxlCOOeeNFUrZ6ttGty-hNS__hgZnYowwtpw5OZ...ournal
- /data/data/####/XQnHW_FVRxlCOOeeNFUrZ6ttGty-hNS__wkJotJWqrSyoGN...ournal
- /data/data/####/XQnHW_FVRxlCOOeeNFUrZ6ttGty-hNS__wkJotJWqrSyoGNmILHXx_A==
- /data/data/####/XQnHW_FVRxlCOOeeNFUrZ6ttGty-hNS__yk38jI8OVQfXlQC6-journal
- /data/data/####/XQnHW_FVRxlCOOeeNFUrZ6ttGty-hNS__zcITx98XGPaB4iKx-journal
- /data/data/####/YnCkyo6wvSwLFs-JN09x8n4lzGCLc_USl5wb6w==.new
- /data/data/####/__zad_uuid__
- /data/data/####/_db_zad_.xml
- /data/data/####/_device_holder_gamesdkplugin.xml
- /data/data/####/_m_rec.xml
- /data/data/####/ae4c13e075a1fb0ae30ef42e948970b5;account_file.xml
- /data/data/####/analytics.apk.tmp
- /data/data/####/analytics_api.xml
- /data/data/####/analytics_updater.xml
- /data/data/####/ap0pjNMZAosFqH2530g6D4kX1-St68gf.new
- /data/data/####/channel.xml
- /data/data/####/co.xml
- /data/data/####/com.zd.bowman.mi_preferences.xml
- /data/data/####/e1KG2yrfM3yDUtVSqGkONx58Q_w=.new
- /data/data/####/hxzdxa_f.zip
- /data/data/####/i6rnjiFQbtS9ONOUlWcrpA==.new
- /data/data/####/iNISyvO2mg2px0Pi.new
- /data/data/####/iv
- /data/data/####/jYY8TWmvhjFjEtcE3DzrusMNrdkXd9zS.new
- /data/data/####/logdb.db
- /data/data/####/logdb.db-journal
- /data/data/####/milink_channel_account.xml
- /data/data/####/mimo_asset.apk
- /data/data/####/mns_settings_data.xml
- /data/data/####/n-hA6VG7z66wK0Req9c00mJ2lOcf-G0P.new
- /data/data/####/oOqtPv_zYcCQaEOeFwZYkVRX1WE=.new
- /data/data/####/options.for.com.zd.bowman.mi.xml
- /data/data/####/pGjDzEAXybyhjQhSYEz4XBs2OVs=.new
- /data/data/####/pXAPNV1qsZ0EHB5UCijDosWyDyw=.new
- /data/data/####/plugin_updater.xml
- /data/data/####/pref.xml
- /data/data/####/pref_first_channel.xml
- /data/data/####/rdata_comjznbwyzv.new
- /data/data/####/report2.db-journal
- /data/data/####/runner_info.prop.new
- /data/data/####/runtime-dex.jar_temp
- /data/data/####/salt
- /data/data/####/savegame.xml
- /data/data/####/sddQPSzUtgUTl1IOxeJ8FQ==.new
- /data/data/####/tdid.xml
- /data/data/####/tool.egret-labs.org.xml
- /data/data/####/v7nDb1ToZh_CDvE9
- /data/data/####/y3HN7eIJoQe3v_PKu2DazLQJoYI5ltHU8P3s4Q==.new
- /data/data/####/yKtibl-ytIfAuRVj.zip
- /data/data/####/y_0o3xn4lpliaVz5O2oAPwtnKyM=.new
- /data/data/####/zeus_pms.xml
- /data/media/####/.DCIM_ID
- /data/media/####/.DataId
- /data/media/####/.tcookieid
- /data/media/####/.uunique.new
- /data/media/####/1.m.log
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/r_pkDgN4OhnkSa0D
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- <Package Folder>/code-7417186/87OCBkzZBE52EbhE -p <Package> -c com.jznb.wyzv.nougat.WatermelonReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- cat /sys/class/net/wlan0/address
- getprop
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.version
- getprop ro.yunos.version
- sh -c cat /sys/class/net/wlan0/address
- sh <Package Folder>/code-7417186/87OCBkzZBE52EbhE -p <Package> -c com.jznb.wyzv.nougat.WatermelonReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- egret
Использует следующие алгоритмы для шифрования данных:
- AES
- AES-ECB-PKCS5Padding
- RSA-ECB-PKCS1PADDING
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-ECB-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
