Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.907
- Android.Triada.248.origin
- Android.Triada.464.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) v####.api.eeric####.com:80
- TCP(HTTP/1.1) 1####.78.31.198:8030
- TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10002
- TCP(HTTP/1.1) l####.bigb####.com:6099
- TCP(HTTP/1.1) ji####.jieme####.com:8152
- TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10201
- TCP(HTTP/1.1) oc.u####.com:80
- TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10001
- TCP(HTTP/1.1) i####.api.qiazhiw####.cn:10003
- TCP(HTTP/1.1) gd.a.s####.com:80
- TCP(HTTP/1.1) wn.qiazhiw####.cn.####.net:80
- TCP(HTTP/1.1) fi####.md####.cn.####.cn:80
- TCP(HTTP/1.1) m####.helpse####.top:2610
- TCP(HTTP/1.1) apc.wjm####.com:80
- TCP(HTTP/1.1) q####.a####.com:80
- TCP(HTTP/1.1) fy.bigb####.com:6099
- TCP(HTTP/1.1) sdk.api.qiazhiw####.cn:10103
Запросы DNS:
- a####.u####.com
- apc.wjm####.com
- bf####.8p####.com
- c####.api.qiazhiw####.cn
- fi####.md####.cn
- fy.bigb####.com
- hx.wjm####.com
- i####.api.qiazhiw####.cn
- i####.api.qiazhiw####.cn
- ji####.dl####.com
- ji####.jieme####.com
- l####.bigb####.com
- l.ace####.com
- m####.helpse####.top
- nc####.6tf####.com
- ny.liz####.com
- oc.u####.com
- pv.s####.com
- re####.api.qiazhiw####.cn
- sdk.api.qiazhiw####.cn
- v####.api.eeric####.com
- wn.qiazhiw####.cn
Запросы HTTP GET:
- fi####.md####.cn.####.cn/resource/gis/60
- gd.a.s####.com/cityjson?ie=####
- q####.a####.com/jieplginf/djmdeta29x
- wn.qiazhiw####.cn.####.net/update/up0520294107
Запросы HTTP POST:
- a####.u####.com/app_logs
- apc.wjm####.com/core/user/initPay
- apc.wjm####.com/fetchMobileService/fetchMobile
- apc.wjm####.com/inte/upResult
- apc.wjm####.com/inte/upSdkCrashLog
- apc.wjm####.com/inte/upSmsCollection
- fy.bigb####.com:6099/aps/
- i####.api.qiazhiw####.cn:10003/v2/chis2
- ji####.jieme####.com:8152/ryf_webserver/payment/checkupdate.html
- l####.bigb####.com:6099/aps/
- m####.helpse####.top:2610/pservers/extract?token=####
- oc.u####.com/v2/check_config_update
- oc.u####.com/v2/get_update_time
- sdk.api.qiazhiw####.cn:10001/v2/bag/monitor?app_id=####&t=####
- sdk.api.qiazhiw####.cn:10001/v2/sdk/init2?app_id=####&t=####
- sdk.api.qiazhiw####.cn:10001/v2/update/check?app_id=####&t=####
- sdk.api.qiazhiw####.cn:10002/v2/callback/message?app_id=####&t=####
- sdk.api.qiazhiw####.cn:10002/v2/log/add?app_id=####&t=####
- sdk.api.qiazhiw####.cn:10103/v3/order/get?app_id=####&t=####
- sdk.api.qiazhiw####.cn:10103/v3/order/scoreget?app_id=####&t=####
- sdk.api.qiazhiw####.cn:10201/v2/sdk/report2?app_id=####&t=####
- sdk.api.qiazhiw####.cn:10201/v2/sdk/report?app_id=####&t=####
- v####.api.eeric####.com/api/payment/mobileInit.html
- v####.api.eeric####.com/api/payment/payDynamic.html
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-680568739.jar
- /data/data/####/.imprint
- /data/data/####/1558488324252
- /data/data/####/1558488337786
- /data/data/####/1558488350034
- /data/data/####/1558488364507
- /data/data/####/1558488378804
- /data/data/####/1_0OewDFfh49J2GQIbJxPsju8BJnfQ_R.new
- /data/data/####/2T1mvK_7R7px-kqberr14ioSpeQ=
- /data/data/####/2T1mvK_7R7px-kqberr14ioSpeQ=.new
- /data/data/####/38DD8B96194AE9A9E42BDA0DE378C3BC.xml
- /data/data/####/3BQpUgzh1llqp5AKCyf0EFBnhIk=.new
- /data/data/####/Arg_80sAueN5xPxD.zip
- /data/data/####/BB329387E35EC64A285EDFFB32DC6E12.xml
- /data/data/####/BDasWDG7-S5-mdHKVIFZskJEd6A=.new
- /data/data/####/BE64377A23A0130F6C5A82350310E31E.xml
- /data/data/####/CB0XqEN9O1giJrTHgShRXQ==.new
- /data/data/####/CLHvS9mJN5k4tyEgrDgEcRfliXubAG7i_alb5F87V9hi8ehGo-journal
- /data/data/####/F29B5FE74986CD64B2DDAEDD2A58B7AA.xml
- /data/data/####/HNnkaBzIn6Io8-bR
- /data/data/####/JiePay.xml
- /data/data/####/Kx1rkOhzIlO6NWaqnALmEA==
- /data/data/####/LpnJGZRoHZlmYvmIMbi2_FRG3sE=.new
- /data/data/####/TCZ1sTnGBexvaN8IUH-GGLlrVF8=.new
- /data/data/####/URo7TVm_aQsHSeBJJugmpg==.new
- /data/data/####/XinZF.xml
- /data/data/####/XinZF_conf.xml
- /data/data/####/XinZFsmspay.db
- /data/data/####/XinZFsmspay.db-journal
- /data/data/####/ZOwWG-bIREPF2Ot3m_iZjQryL9w=.new
- /data/data/####/action.db-journal
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/ck6r3aQPGL6s1wQ0.new
- /data/data/####/com.pzpt.ztyhgrhjf.com.one.sdk.c.amsg.db-journal
- /data/data/####/com.pzpt.ztyhgrhjf.com.sdk.a.a_mseg.db-journal
- /data/data/####/com.pzpt.ztyhgrhjf.xml
- /data/data/####/com.pzpt.ztyhgrhjf_preferences.xml
- /data/data/####/config50083.xml
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/gxuobg_f.zip
- /data/data/####/jiepay_config.xml
- /data/data/####/jiepayplugin.apk
- /data/data/####/jiepayplugin.apkdata
- /data/data/####/jiepaysmspay.db
- /data/data/####/jiepaysmspay.db-journal
- /data/data/####/jx--yvicCtHyMauajVGlhA==
- /data/data/####/loccalCache.xml
- /data/data/####/nRzaPe6R9UvP7jkT-mZd7g==.new
- /data/data/####/new_md.jar
- /data/data/####/onePay.xml
- /data/data/####/onlineconfig_agent_online_setting_com.pzpt.ztyhgrhjf.xml
- /data/data/####/prdopt.xml
- /data/data/####/rdata_comuflwhzd
- /data/data/####/rdata_comuflwhzd.new
- /data/data/####/runner_info.prop.new
- /data/data/####/shunpay_config
- /data/data/####/uK0KwTVGKHePAPn5Y3tRmw==.new
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/uid.f
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/up0520294107
- /data/data/####/up0520294107.jar
- /data/data/####/webview.db-journal
- /data/data/####/zdfc.jar
- /data/media/####/.uunique.new
- /data/media/####/log
- /data/media/####/msg
- /data/media/####/order
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- cat /proc/version
- cat /sys/class/net/wlan0/address
- getprop
- getprop ro.board.platform
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.product.cpu.abi
- getprop ro.vivo.os.version
- getprop ro.yunos.version
Загружает динамические библиотеки:
- cocos2dcpp
- core
- n24b61
- shunpay
Использует следующие алгоритмы для шифрования данных:
- AES
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES
- DES-CBC-PKCS5Padding
- RSA-None-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES
- DES-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Содержит функциональность для автоматической отправки SMS.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из SMS.
Получает информацию об отправленых/принятых SMS.
