Техническая информация
Вредоносные функции:
Отправляет SMS:
- 106901332942: rg|267|AhB3j.S11wiZPLfC4voMlAPLf5l4OMLO8Og5z74T3842om2Odt9gL7hI16TsqpqJhH8IkMR493xOp28isixViaZcDemUpm8uaRmrm08ieC4!
Выполняет код следующих детектируемых угроз:
- Android.Spy.373.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) csk.mc####.com:9003
- TCP(HTTP/1.1) 1####.55.161.68:29092
- TCP(HTTP/1.1) www.gamez####.com:80
- TCP(SSL/3.0) pixel-e####.p####.quants####.net:443
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) p####.everest####.net:443
- TCP(TLS/1.0) www.googlet####.com:443
- TCP(TLS/1.0) d####.a####.com:443
- TCP(TLS/1.0) pugm220####.pubm####.com:443
- TCP(TLS/1.0) tpc.googles####.com:443
- TCP(TLS/1.0) f####.gamez####.com:443
- TCP(TLS/1.0) googl####.g.doublec####.net:443
- TCP(TLS/1.0) odr.moo####.com:443
- TCP(TLS/1.0) pag####.googles####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) fcm####.go####.com:443
- TCP(TLS/1.0) s####.g.doublec####.net:443
- TCP(TLS/1.0) g####.n####.com:443
- TCP(TLS/1.0) aragorn####.in####.com:443
- TCP(TLS/1.0) adser####.go####.nl:443
- TCP(TLS/1.0) pixel-e####.p####.quants####.net:443
- TCP(TLS/1.0) www.face####.com:443
- TCP(TLS/1.0) ssum####.casalem####.com.####.net:443
- TCP(TLS/1.0) cm.g.doublec####.net:443
- TCP(TLS/1.0) f####.google####.com:443
- TCP(TLS/1.0) www.google-####.com:443
- TCP(TLS/1.0) www.gamez####.com:443
- TCP(TLS/1.0) st####.xx.f####.net:443
- TCP(TLS/1.0) id.r####.com:443
- TCP(TLS/1.0) adser####.go####.com:443
Запросы DNS:
- adser####.go####.com
- adser####.go####.nl
- ag.inn####.com
- cm.g.doublec####.net
- cms.quants####.com
- csk.mc####.com
- d.a####.com
- e.dlx.add####.com
- f####.gamez####.com
- f####.google####.com
- f####.gst####.com
- fcm####.go####.com
- fcm####.you####.com
- googl####.g.doublec####.net
- id.r####.com
- im####.pubm####.com
- maomaoc####.funu####.com
- odr.moo####.com
- p####.everest####.net
- pag####.googles####.com
- s####.g.doublec####.net
- ssum####.casalem####.com
- st####.xx.f####.net
- tpc.googles####.com
- www.face####.com
- www.gamez####.com
- www.go####.com
- www.google-####.com
- www.googlea####.com
- www.googlet####.com
- www.gst####.com
Запросы HTTP GET:
- ti####.c####.l####.####.com/
- ti####.c####.l####.####.com/api.min.js?v=####
- ti####.c####.l####.####.com/api/bgplay.png
- ti####.c####.l####.####.com/api/css/embed.css
- ti####.c####.l####.####.com/api/images/logos/gamezhero.com.png
- ti####.c####.l####.####.com/api/js/ads/ads.js
- ti####.c####.l####.####.com/default/js/jquery/cookie/jquery.cookie.min.j...
- ti####.c####.l####.####.com/default/js/jquery/jquery-1.11.3.min.js?v=####
- ti####.c####.l####.####.com/default/js/profile.min.js?v=####
- ti####.c####.l####.####.com/js/app.js?_=####
- ti####.c####.l####.####.com/js/boot.js?_=####
- ti####.c####.l####.####.com/js/cat.js?_=####
- ti####.c####.l####.####.com/js/field_objects.js?_=####
- ti####.c####.l####.####.com/js/load.js?_=####
- ti####.c####.l####.####.com/js/phaser.min.js?_=####
- ti####.c####.l####.####.com/js/screens_windows_buttons.js?_=####
- ti####.c####.l####.####.com/js/util.js?_=####
- ti####.c####.l####.####.com/preloader/bg_rect.png
- www.gamez####.com/?utm_source=####&utm_medium=####&utm_campaign=####
Запросы HTTP POST:
- csk.mc####.com:9003/csk/c_s/g_f.json
- csk.mc####.com:9003/csk/st_c/cn_i_sec.json
- csk.mc####.com:9003/csk/st_c/cn_sk_login.json
- csk.mc####.com:9003/csk/st_c/cn_sk_specialVersion.json
- csk.mc####.com:9003/csk/st_c/cn_sk_tj.json
- csk.mc####.com:9003/csk/st_c/getst_tegy.json
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/app_test.apk
- /data/data/####/brushs.xml
- /data/data/####/bt_bkg.xml
- /data/data/####/bt_grey.xml
- /data/data/####/cds.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/diag_bg.xml
- /data/data/####/diag_cls_ig.png
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/f_00000c
- /data/data/####/f_00000d
- /data/data/####/f_00000e
- /data/data/####/f_00000f
- /data/data/####/f_000010
- /data/data/####/f_000011
- /data/data/####/f_000012
- /data/data/####/f_000013
- /data/data/####/f_000014
- /data/data/####/f_000015
- /data/data/####/f_000016
- /data/data/####/f_000017
- /data/data/####/f_000018
- /data/data/####/f_000019
- /data/data/####/f_00001a
- /data/data/####/f_00001b
- /data/data/####/f_00001c
- /data/data/####/f_00001d
- /data/data/####/f_00001e
- /data/data/####/f_00001f
- /data/data/####/f_000020
- /data/data/####/f_000021
- /data/data/####/f_000022
- /data/data/####/f_000023
- /data/data/####/f_000024
- /data/data/####/f_000025
- /data/data/####/fmoonStore.db
- /data/data/####/fmoonStore.db-journal
- /data/data/####/fpsdktempfile
- /data/data/####/fs_dia_fir_ly.xml
- /data/data/####/fs_dia_fir_ly_old.xml
- /data/data/####/fs_dia_ret_ly.xml
- /data/data/####/fs_dia_snd_ly.xml
- /data/data/####/index
- /data/data/####/order_sp.xml
- /data/data/####/pro_activi_sho.png
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
Другие:
Загружает динамические библиотеки:
- mustang
Использует следующие алгоритмы для шифрования данных:
- AES
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Получает информацию об отправленых/принятых SMS.
