Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.SmsSpy.677.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) aexcep####.b####.qq.com:8011
- TCP(HTTP/1.1) q####.qi1####.com:14302
- TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) q####.qi1####.com:15302
- TCP(HTTP/1.1) zxc####.wann####.com:8200
- TCP(HTTP/1.1) z####.wann####.com:9500
- TCP(HTTP/1.1) hangzho####.oss-cn-####.aliy####.com:80
- TCP(HTTP/1.1) q####.qi1####.com:9600
- TCP(HTTP/1.1) q####.qi1####.com:9500
- TCP(HTTP/1.1) sdk.qi1####.com.####.com:80
- TCP(HTTP/1.1) z####.wann####.com:9600
- TCP(TLS/1.0) 1####.217.168.206:443
Запросы DNS:
- a####.b####.qq.com
- aexcep####.b####.qq.com
- and####.b####.qq.com
- gaand####.talking####.net
- hangzho####.oss-cn-####.aliy####.com
- q####.qi1####.com
- q####.qi1####.com
- sdk.qi1####.com
- z####.wann####.com
- zxc####.wann####.com
Запросы HTTP GET:
- hangzho####.oss-cn-####.aliy####.com/qiyi/client/sdk/so/libzxvps.so
- sdk.qi1####.com.####.com/qiyi/client/sdk/PaySDK-1.2.16.8-UR_yx.jar
Запросы HTTP POST:
- aexcep####.b####.qq.com:8011/rqd/async
- aexcep####.b####.qq.com:8012/rqd/async
- and####.b####.qq.com/rqd/async
- q####.qi1####.com:14302/sdk_login?t=####
- q####.qi1####.com:15302/sdk_login?t=####
- q####.qi1####.com:9500/
- q####.qi1####.com:9600/
- z####.wann####.com:9500/
- z####.wann####.com:9600/
- zxc####.wann####.com:8200/qy/acceptSdkFileReq
- zxc####.wann####.com:8200/qy/getOnlineLoginHttpReq
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/1.png
- /data/data/####/2.png
- /data/data/####/20000.plist
- /data/data/####/20000.png
- /data/data/####/3.png
- /data/data/####/31944f1179abee0485c9eb2d7eaf2994f;account_file.xml
- /data/data/####/4.png
- /data/data/####/5.png
- /data/data/####/Battle.json
- /data/data/####/DialogAward.json
- /data/data/####/DialogDoor.json
- /data/data/####/DialogLoading.json
- /data/data/####/DialogLoading999.json
- /data/data/####/DialogLogin.json
- /data/data/####/DialogNew.json
- /data/data/####/DialogPause.json
- /data/data/####/DialogResult.json
- /data/data/####/DialogShop.json
- /data/data/####/DialogShop2.json
- /data/data/####/DialogTips.json
- /data/data/####/Main.json
- /data/data/####/PaySDK-1.2.16.8-UR_yx.jar
- /data/data/####/award.plist
- /data/data/####/award.png
- /data/data/####/baidu
- /data/data/####/baidu.zip
- /data/data/####/battle.mp3
- /data/data/####/boom.mp3
- /data/data/####/btn_fh.png
- /data/data/####/bugly_db_legu
- /data/data/####/bugly_db_legu-journal
- /data/data/####/bullet_1.png
- /data/data/####/bullet_7.png
- /data/data/####/button_click.mp3
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/config.json
- /data/data/####/config.properties
- /data/data/####/door.mp3
- /data/data/####/door_1.png
- /data/data/####/door_2.png
- /data/data/####/door_3.png
- /data/data/####/fire.mp3
- /data/data/####/fire.plist
- /data/data/####/fire.png
- /data/data/####/freeze.mp3
- /data/data/####/full.plist
- /data/data/####/full.png
- /data/data/####/game.zip
- /data/data/####/getprop
- /data/data/####/gold.mp3
- /data/data/####/gold.plist
- /data/data/####/gold.png
- /data/data/####/hit1.mp3
- /data/data/####/hit_z2.mp3
- /data/data/####/hmfb.plist
- /data/data/####/hmfb.png
- /data/data/####/home.mp3
- /data/data/####/home.plist
- /data/data/####/home.png
- /data/data/####/home_icon_shop.png
- /data/data/####/icon_1.png
- /data/data/####/icon_10.png
- /data/data/####/icon_11.png
- /data/data/####/icon_12.png
- /data/data/####/icon_13.png
- /data/data/####/icon_14.png
- /data/data/####/icon_15.png
- /data/data/####/icon_16.png
- /data/data/####/icon_17.png
- /data/data/####/icon_18.png
- /data/data/####/icon_19.png
- /data/data/####/icon_2.png
- /data/data/####/icon_20.png
- /data/data/####/icon_21.png
- /data/data/####/icon_22.png
- /data/data/####/icon_23.png
- /data/data/####/icon_24.png
- /data/data/####/icon_25.png
- /data/data/####/icon_26.png
- /data/data/####/icon_27.png
- /data/data/####/icon_28.png
- /data/data/####/icon_29.png
- /data/data/####/icon_3.png
- /data/data/####/icon_30.png
- /data/data/####/icon_31.png
- /data/data/####/icon_32.png
- /data/data/####/icon_33.png
- /data/data/####/icon_34.png
- /data/data/####/icon_35.png
- /data/data/####/icon_37.png
- /data/data/####/icon_38.png
- /data/data/####/icon_4.png
- /data/data/####/icon_5.png
- /data/data/####/icon_6.png
- /data/data/####/icon_7.png
- /data/data/####/icon_8.png
- /data/data/####/icon_9.png
- /data/data/####/icon_u_1.png
- /data/data/####/icon_u_2.png
- /data/data/####/icon_u_3.png
- /data/data/####/icon_u_4.png
- /data/data/####/icon_u_5.png
- /data/data/####/icon_u_6.png
- /data/data/####/icon_u_7.png
- /data/data/####/icon_u_8.png
- /data/data/####/img_1.png
- /data/data/####/img_10.png
- /data/data/####/img_11.png
- /data/data/####/img_12.png
- /data/data/####/img_2.png
- /data/data/####/img_3.png
- /data/data/####/img_4.png
- /data/data/####/img_5.png
- /data/data/####/img_6.png
- /data/data/####/img_7.png
- /data/data/####/img_8.png
- /data/data/####/img_9.png
- /data/data/####/img_bg.jpg
- /data/data/####/laser.mp3
- /data/data/####/libshella-2.9.0.5.so
- /data/data/####/libufix.so
- /data/data/####/libzxvps.so
- /data/data/####/loading_3.png
- /data/data/####/loading_4.png
- /data/data/####/loading_6.png
- /data/data/####/loading_7.png
- /data/data/####/loading_bg.png
- /data/data/####/loading_icon_3.png
- /data/data/####/loading_title.png
- /data/data/####/local_crash_lock
- /data/data/####/lock.mp3
- /data/data/####/lock.png
- /data/data/####/login_1.png
- /data/data/####/login_2.png
- /data/data/####/login_3.png
- /data/data/####/login_4.png
- /data/data/####/login_5.png
- /data/data/####/login_6.png
- /data/data/####/login_7.png
- /data/data/####/login_8.png
- /data/data/####/login_bg.png
- /data/data/####/login_btn.png
- /data/data/####/login_select.png
- /data/data/####/login_title.png
- /data/data/####/m_1.plist
- /data/data/####/m_1.png
- /data/data/####/m_3.plist
- /data/data/####/m_3.png
- /data/data/####/m_4.plist
- /data/data/####/m_4.png
- /data/data/####/m_6.plist
- /data/data/####/m_6.png
- /data/data/####/m_7.plist
- /data/data/####/m_7.png
- /data/data/####/m_f_5.plist
- /data/data/####/m_f_5.png
- /data/data/####/mix.dex
- /data/data/####/mix.so
- /data/data/####/mobclick_agent_cached_com.ygtyui.ytdrts5002
- /data/data/####/native_record_lock
- /data/data/####/num_1.png
- /data/data/####/num_2.png
- /data/data/####/num_3.png
- /data/data/####/num_4.png
- /data/data/####/num_5.png
- /data/data/####/pause.plist
- /data/data/####/pause.png
- /data/data/####/pid
- /data/data/####/poison.plist
- /data/data/####/poison.png
- /data/data/####/pref_file.xml
- /data/data/####/qy_db_pay
- /data/data/####/qy_db_pay-journal
- /data/data/####/ready.mp3
- /data/data/####/reload.mp3
- /data/data/####/result.plist
- /data/data/####/result.png
- /data/data/####/rocket.plist
- /data/data/####/rocket.png
- /data/data/####/sd.plist
- /data/data/####/sd.png
- /data/data/####/security_info
- /data/data/####/shock.mp3
- /data/data/####/shoot1.mp3
- /data/data/####/shop.plist
- /data/data/####/shop.png
- /data/data/####/td_pefercen_profile.xml
- /data/data/####/tdandroidgame
- /data/data/####/tdid.xml
- /data/data/####/tipsFrames.plist
- /data/data/####/tipsFrames.png
- /data/data/####/tmp_jar
- /data/data/####/tmp_so
- /data/data/####/u_1.plist
- /data/data/####/u_1.png
- /data/data/####/u_2.plist
- /data/data/####/u_2.png
- /data/data/####/u_5.plist
- /data/data/####/u_5.png
- /data/data/####/u_6.plist
- /data/data/####/u_6.png
- /data/data/####/u_7.plist
- /data/data/####/u_7.png
- /data/data/####/u_8.plist
- /data/data/####/u_8.png
- /data/data/####/u_f_3.plist
- /data/data/####/u_f_3.png
- /data/data/####/u_f_6.plist
- /data/data/####/u_f_6.png
- /data/data/####/u_f_8.plist
- /data/data/####/u_f_8.png
- /data/data/####/udeath.mp3
- /data/data/####/umeng_general_config.xml
- /data/data/####/unknown.xml
- /data/data/####/wifi.plist
- /data/data/####/wifi.png
- /data/data/####/zdeath.mp3
- /data/media/####/.cfg
- /data/media/####/.tcookieid
- /data/media/####/device
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.build.rom.id
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- /system/bin/sh -c type su
- app_process /system/bin com.android.commands.am.Am startservice --user 0 -n <Package>/com.google.android.gms.analytics.CampaignTrackingService
- cat /sys/block/mmcblk0/device/cid
- chmod 700 <Package Folder>/tx_shell/libnfix.so
- chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.5.so
- chmod 700 <Package Folder>/tx_shell/libufix.so
- chmod 777 <Package Folder>/lib/helper
- dd if=<Package Folder>/lib/libhelper.so of=<Package Folder>/lib/helper
- df
- getprop
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.fingerprint
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lenovo.series
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.build.display.id
- getprop ro.yunos.version
- logcat -d -v threadtime
- ls -l /system/bin/su
- sh
Загружает динамические библиотеки:
- Bugly
- cocos2dlua
- libhelper
- libnfix
- libshella-2.9.0.5
- libsmsmanager
- libufix
- libzxvps
- nfix
- ufix
Использует следующие алгоритмы для шифрования данных:
- AES-GCM-NoPadding
- DES-ECB-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-GCM-NoPadding
- DES-ECB-NoPadding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из SMS.
Получает информацию об отправленых/принятых SMS.
