Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.570.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) t####.qq.com:14000
- TCP(HTTP/1.1) fot####.traffic####.net:80
- TCP(HTTP/1.1) cdn.dl.foto####.####.net:80
- TCP(HTTP/1.1) f.you####.com:80
- TCP(HTTP/1.1) d####.fl####.com:80
- TCP(HTTP/1.1) t####.qq.com:443
- TCP(TLS/1.0) d####.fl####.com:443
- TCP(TLS/1.0) sett####.crashly####.com:443
- TCP(TLS/1.0) 1####.217.168.206:443
- TCP v.m####.com:7703
- TCP v.m####.com:7702
- TCP t####.qq.com:14000
- TCP v.m####.com:7701
- TCP t####.qq.com:443
Запросы DNS:
- ad.foto####.com
- api.foto####.com
- cdn.ads.foto####.net
- cdn.api.foto####.net
- d####.fl####.com
- f.you####.com
- fot####.foto####.com
- pi####.qq.com
- re####.foto####.net
- sett####.crashly####.com
- t####.qq.com
- v.m####.com
Запросы HTTP GET:
- cdn.dl.foto####.####.net/Advertise/ads/v2/?os=####&appid=####
- cdn.dl.foto####.####.net/home/ZineMaterial/getLocalTags/?os=####&appid=#...
- cdn.dl.foto####.####.net/home/ZineMaterial/getMaterials/?recommendation=...
- f.you####.com/cdn?id=####
- fot####.traffic####.net/user/group/v1/?openuuid=####&appid=####&os=####&...
Запросы HTTP POST:
- d####.fl####.com/aap.do
- t####.qq.com:14000/203.205.146.122:14000/
- t####.qq.com:443/203.205.146.122:443/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-550077892
- /data/data/####/.FlurrySenderIndex.info.AnalyticsData_J3DP5Q6Y4...X3_170
- /data/data/####/.FlurrySenderIndex.info.AnalyticsMain
- /data/data/####/.flurryagent.-7ed7ce28
- /data/data/####/.flurrydatasenderblock.6caf32bf-d537-4c2a-97ff-...79ebb6
- /data/data/####/.flurrydatasenderblock.a8f8d53e-d5c4-4b56-9bf1-...ae2cca
- /data/data/####/.flurrydatasenderblock.d0d90ef2-5ae9-4bb5-a4bc-...3e4f24
- /data/data/####/.flurrydatasenderblock.f7c50674-6009-49b6-a74c-...6fa2c4
- /data/data/####/.tpns.xml.xml
- /data/data/####/.tpush_mta.xml
- /data/data/####/111.db-journal
- /data/data/####/1833890816
- /data/data/####/5CD61D150139-0001-08E2-D3136C381F6E.cls_temp
- /data/data/####/5CD61D150139-0001-08E2-D3136C381F6EBeginSession.cls_temp
- /data/data/####/5CD61D150139-0001-08E2-D3136C381F6ESessionApp.cls_temp
- /data/data/####/5CD61D150139-0001-08E2-D3136C381F6ESessionCrash.cls_temp
- /data/data/####/5CD61D150139-0001-08E2-D3136C381F6ESessionEvent...s_temp
- /data/data/####/5CD61D150139-0001-08E2-D3136C381F6ESessionOS.cls_temp
- /data/data/####/5CD61D150139-0001-08E2-D3136C381F6ESessionUser.cls_temp
- /data/data/####/5CD61D1F01FA-0001-0919-D3136C381F6EBeginSession.cls_temp
- /data/data/####/5CD61D1F01FA-0001-0919-D3136C381F6ESessionApp.cls_temp
- /data/data/####/5CD61D1F01FA-0001-0919-D3136C381F6ESessionDevice.cls_temp
- /data/data/####/5CD61D1F01FA-0001-0919-D3136C381F6ESessionEvent...s_temp
- /data/data/####/5CD61D1F01FA-0001-0919-D3136C381F6ESessionOS.cls_temp
- /data/data/####/65.jar
- /data/data/####/79.jar
- /data/data/####/97cbb5565c8c56edf361c3a0da15c3ff.xml
- /data/data/####/AdButtonGroup.xml
- /data/data/####/AlertAd.xml
- /data/data/####/FBAdPrefs.xml
- /data/data/####/FirstStartBackcamera3.xml
- /data/data/####/FotoAdStrategy.xml
- /data/data/####/MAGTESTYPE_MANAGER_LIST
- /data/data/####/TphotoMagComposeManager.xml
- /data/data/####/a33.xml
- /data/data/####/a33356507059351895.xml
- /data/data/####/a34356507059351895.xml
- /data/data/####/a35356507059351895.xml
- /data/data/####/a36356507059351895.xml
- /data/data/####/camera_basic_info.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/cn.shrfguy.dgfjh_preferences.xml
- /data/data/####/com.crashlytics.prefs.xml
- /data/data/####/com.crashlytics.sdk.android;answers;com.crashly...rs.xml
- /data/data/####/com.crashlytics.settings.json
- /data/data/####/com.google.android.gcm.xml
- /data/data/####/com.wantu.android.WantuSetting.xml
- /data/data/####/crash_marker
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/device_id.xml
- /data/data/####/index
- /data/data/####/initialization_marker
- /data/data/####/instamag_archive
- /data/data/####/io.fabric.sdk.android;fabric;atl.xml
- /data/data/####/pri_tpush_tencent_analysis.db_cn.shrfguy.dgfjh;...ournal
- /data/data/####/sa_d95179db-9a94-4305-8c4c-45491fe00232_1557536023863.tap
- /data/data/####/session_analytics.tap
- /data/data/####/session_analytics.tap.tmp
- /data/data/####/signOfIcon.xml
- /data/data/####/tpush_tencent_analysis.db_cn.shrfguy.dgfjh;xg_s...ournal
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/wantu_shareprefsname.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCache.db
- /data/data/####/webviewCache.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.mid.txt
- /data/media/####/.thumbdata3--1967290299
- /data/media/####/0.1.app.log
- /data/media/####/10f438b97156a4bb80b0ce7e6415f0c2.0
- /data/media/####/1557536048871.jpg
- /data/media/####/1557536049483.jpg
- /data/media/####/1557536053197.jpg
- /data/media/####/1557536053760.jpg
- /data/media/####/1557536053846.jpg
- /data/media/####/1557536053954.jpg
- /data/media/####/1ca389db21ca794f197c0268b32345e8.0
- /data/media/####/345da2dddcdf0cc4d835d2881e44232a.0
- /data/media/####/3c4c80b5c851b9335fb0792cd74d6953.0
- /data/media/####/66026a39b799600dea4e03d4a620f9c9.0
- /data/media/####/75b8156274d070995ef10b8dafee1160.0
- /data/media/####/cc36f2b9e7347c09768f026e36583a0d.0
- /data/media/####/d69efcfe931cb0217d8ed443eb3d9867.0
- /data/media/####/journal.tmp
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/lib/libtpnsWatchdog.so <Package>,2100051561; 55375 203.205.128.130 [{"idx":0,"ts":%d,"et":2000,"si":0,"ui":"<IMEI>","ky":"Axg%lu","mid":"0","ev":{"ov":"18","sr":"600*752","md":"<System Property>","lg":"en","sv":"2.37","mf":"unknown","apn":"%s"}}] 0 18
- <Package Folder>/lib/libtpnsWatchdog.so <Package>,2100051561;<Package>,2100051561; 55375 203.205.128.130 [{"idx":0,"ts":%d,"et":2000,"si":0,"ui":"<IMEI>","ky":"Axg%lu","mid":"c80637a207fa2524be1b538fb179d64ca9c29c3e","ev":{"ov":"18","sr":"600*752","md":"<System Property>","lg":"en","sv":"2.37","mf":"unknown","apn":"%s"}}] 0 18
- sh <Package Folder>/lib/libtpnsWatchdog.so <Package>,2100051561; 55375 203.205.128.130 [{ idx :0, ts :%d, et :2000, si :0, ui : <IMEI> , ky : Axg%lu , mid : 0 , ev :{ ov : 18 , sr : 600*752 , md : <System Property> , lg : en , sv : 2.37 , mf : unknown , apn : %s }}] 0 18
- sh <Package Folder>/lib/libtpnsWatchdog.so <Package>,2100051561;<Package>,2100051561; 55375 203.205.128.130 [{ idx :0, ts :%d, et :2000, si :0, ui : <IMEI> , ky : Axg%lu , mid : c80637a207fa2524be1b538fb179d64ca9c29c3e , ev :{ ov : 18 , sr : 600*752 , md : <System Property> , lg : en , sv : 2.37 , mf : unknown , apn : %s }}] 0 18
Загружает динамические библиотеки:
- app_2017
- fotobeautyengine
- tpnsSecurity
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-CFB8-NoPadding
- AES-ECB-PKCS7Padding
- RSA-ECB-PKCS1PADDING
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CFB8-NoPadding
Осуществляет доступ к интерфейсу камеры.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
