Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Locker.34.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) www.gst####.com:80
- TCP(HTTP/1.1) getmeup####.com:80
- TCP(HTTP/1.1) w####.getmeup####.com:80
- TCP(HTTP/1.1) www.go####.com:80
- TCP(SSL/3.0) www.lnrglob####.nl:443
- TCP(TLS/1.0) ev####.god####.com.####.net:443
- TCP(TLS/1.0) www.google-####.com:443
- TCP(TLS/1.0) ev####.par####.god####.com:443
- TCP(TLS/1.0) wildcar####.god####.com.####.net:443
- TCP(TLS/1.0) afs.googleu####.com:443
- TCP(TLS/1.0) cpclick####.com:443
- TCP(TLS/1.0) api.par####.god####.com:443
- TCP(TLS/1.0) d1hi41n####.cloudf####.net:443
- TCP(TLS/1.0) global-####.w####.com.####.net:443
- TCP(TLS/1.0) www.go####.nl:443
- TCP(TLS/1.0) www.googlet####.com:443
- TCP(TLS/1.0) s####.g.doublec####.net:443
- TCP(TLS/1.0) www.lnrglob####.nl:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) www-####.god####.com.####.net:443
Запросы DNS:
- afs.googleu####.com
- api.par####.god####.com
- cpclick####.com
- d1hi41n####.cloudf####.net
- ev####.god####.com
- ev####.par####.god####.com
- getmeup####.com
- i####.w####.com
- nl.god####.com
- s####.g.doublec####.net
- w####.getmeup####.com
- www.go####.com
- www.go####.nl
- www.god####.com
- www.google-####.com
- www.googlet####.com
- www.gst####.com
- www.lnrglob####.nl
Запросы HTTP GET:
- getmeup####.com/?p=bBqsw####
- getmeup####.com/flashplayerupdate.html
- w####.getmeup####.com/?&searchbox=####&showDomain=####&tdfs=####
- w####.getmeup####.com/?&searchbox=####&showDomain=####&tdfs=####&query=#...
- www.go####.com/aclk?sa=L&ai=DChcSEwji_O6YzJTiAhXJ4ncKHTLuDoQYABABGgJlZg&...
- www.go####.com/adsense/domains/caf.js
- www.go####.com/afs/ads/i/iframe.html
- www.go####.com/dp/ads?r=m&domain_name=getmeupdatenow.com&client=dp-namem...
- www.gst####.com/domainads/tracking/caf.gif?ts=####&rid=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/classes.dex
- /data/data/####/classes.dex (deleted)
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/f_00000c
- /data/data/####/f_00000d
- /data/data/####/f_00000e
- /data/data/####/f_00000f
- /data/data/####/f_000010
- /data/data/####/index
- /data/data/####/michel.png
- /data/data/####/s.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh
- stat /data/local/bin/su
- stat /data/local/su
- stat /data/local/xbin/su
- stat /sbin/su
- stat /system/bin/failsafe/su
- stat /system/bin/su
- stat /system/sd/xbin/su
- stat /system/xbin/su
Использует следующие алгоритмы для шифрования данных:
- AES
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Осуществляет доступ к интерфейсу камеры.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Получает информацию о входящих/исходящих звонках.
