Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.41.origin
- Android.Xiny.20
Загружает из Интернета следующие детектируемые угрозы:
- Android.Xiny.20
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) img.cool####.cn:80
- TCP(HTTP/1.1) adv.jpi####.com:80
- TCP(HTTP/1.1) l.bjsd####.com:80
- TCP(HTTP/1.1) a1.bjsd####.com:80
- TCP(HTTP/1.1) z.c####.com:80
- TCP(HTTP/1.1) z####.heyc####.net:80
- TCP(HTTP/1.1) www.ye####.org:80
- TCP(HTTP/1.1) t.si####.net:80
- TCP(HTTP/1.1) a####.b####.com:80
- TCP(HTTP/1.1) adv.99y####.com:80
- TCP(HTTP/1.1) e.ghe####.net:9908
- TCP(HTTP/1.1) c####.im.qq.com:80
- TCP(TLS/1.0) hotfix####.oss-cn-####.aliy####.com:443
- TCP(TLS/1.0) yun.d####.com:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
- TCP(TLS/1.0) en####.lveha####.com:443
- TCP(TLS/1.0) embe####.d####.com.cn:443
- TCP(TLS/1.0) aliyuns####.oss-cn-####.aliy####.com:443
- TCP(TLS/1.0) aliyuno####.oss-cn-####.aliy####.com:443
- TCP(TLS/1.0) yun.tuia####.com.####.com:443
- TCP(TLS/1.0) yun.tuis####.com:443
Запросы DNS:
- a####.b####.com
- a.bjsd####.com
- a1.bjsd####.com
- acti####.tuia####.com
- adv.99y####.com
- adv.jpi####.com
- aliyuno####.oss-cn-####.aliy####.com
- aliyuns####.oss-cn-####.aliy####.com
- and####.cli####.go####.com
- c####.im.qq.com
- e.ghe####.net
- embe####.d####.com.cn
- en####.lveha####.com
- hotfix####.oss-cn-####.aliy####.com
- img.cool####.cn
- l.bjsd####.com
- mt####.go####.com
- t.si####.net
- www.ye####.org
- yun.d####.com
- yun.tuia####.com
- yun.tuis####.com
- z####.heyc####.net
- z9.c####.com
Запросы HTTP GET:
- a####.b####.com/channl_adong.png
- a####.b####.com/channl_adong2.png
- a####.b####.com/channl_haoqi1.png
- c####.im.qq.com/cgi-bin/cgi_svrtime
- img.cool####.cn/201812/ww9.jar
- z.c####.com/stat.htm?id=####&cnzz_eid=####
Запросы HTTP POST:
- a1.bjsd####.com/index.php?r=####
- adv.99y####.com/adv/pluginReq
- adv.jpi####.com/adv/pluginReq
- e.ghe####.net:9908/e/a/t
- l.bjsd####.com/index.php?r=####
- t.si####.net/t2
- www.ye####.org/i?requestId=####&g=####&ua=####
- z####.heyc####.net/getlist
- z####.heyc####.net/xlogin
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/206e9098d6b063f22741a5308bae988148d6afa919cb484....0.tmp
- /data/data/####/23dd9dac71ea23bd485a342b8ef346ec4b929e36403f76d....0.tmp
- /data/data/####/3G5LF9Czjm.jar
- /data/data/####/53170b01a22b8e24f2e1b81ab0dabc4ce6b9948169582df....0.tmp
- /data/data/####/6b0f74be345624860d656f9b9142b027663bbec7e2588f9....0.tmp
- /data/data/####/8a1d8e6cbcd8f2a4981721f73f159622ff02dee131b8353....0.tmp
- /data/data/####/JSON.xml
- /data/data/####/LlaUhUs7.jar
- /data/data/####/TQPmD4v2.jar
- /data/data/####/W_Key.xml
- /data/data/####/_has_set_default_values.xml
- /data/data/####/abk5dn.jar
- /data/data/####/b0fd93ea1b3ad3c14ff5aaae26c13fbc3e090fe4f872f2b....0.tmp
- /data/data/####/b3cd9a7a9b9fec0b7833c46b7756e3b1f29a71e70ee61fe....0.tmp
- /data/data/####/c0d92f8e5de358670d5d138968732bc4ff6d8026ae3bae2....0.tmp
- /data/data/####/c90024e6a1e0ab55c53f3016aa31d8f54319b34bc43f70b....0.tmp
- /data/data/####/cdsdfdse.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/downloadswc
- /data/data/####/downloadswc-journal
- /data/data/####/dpi
- /data/data/####/e0fc96066b7aefd332556e5f7d2a105d73150f45c0a8bfa....0.tmp
- /data/data/####/e545bd8b37e282fccd00edbe6737770216076215123f409....0.tmp
- /data/data/####/e636c273905a16718e584cd2fc35aac4014288ce903cb0c....0.tmp
- /data/data/####/e7d4f4836e2c05c7b0d94a1319d207d4d2fd8f1d76779ab....0.tmp
- /data/data/####/enirLZy.jar
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/fb5080e61695e9288067fb8f2f1a5ce491cc71c6f6957a8....0.tmp
- /data/data/####/fd6227cd81c3df90b7e412731467ced604f76801fc6595d....0.tmp
- /data/data/####/fdc6c79693b5a8fd4ec93912e67b27e636c9f6f3766f527....0.tmp
- /data/data/####/fe1c8a713c79abaadc03dc9db3186a82be13fdc7b599ddb....0.tmp
- /data/data/####/hid.db
- /data/data/####/index
- /data/data/####/journal.tmp
- /data/data/####/org.tp.tjys_preferences.xml
- /data/data/####/st.xml
- /data/data/####/vgsvfshq.data-journal
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/xx.xml
- /data/media/####/.nid
- /data/media/####/.nomedia
- /data/media/####/5.0ww9.jar.t
- /data/media/####/72kf7d0gwi3puhe0sq7yyn2zu0.tmp
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/restime.dat
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh
- cat /sys/class/android_usb/android0/idProduct
- cat /sys/class/android_usb/android0/idVendor
- getprop
- ls -l /dev
- ls -l /dev/block
- ls -l /dev/block/vold
- ls -l /dev/bus
- ls -l /dev/bus/usb
- ls -l /dev/bus/usb/001
- ls -l /dev/com.android.settings.daemon
- ls -l /dev/cpuctl
- ls -l /dev/cpuctl/apps
- ls -l /dev/cpuctl/apps/bg_non_interactive
- ls -l /dev/graphics
- ls -l /dev/input
- ls -l /dev/log
- ls -l /dev/pts
- ls -l /dev/snd
- ls -l /dev/socket
- ps
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- ARCFOUR
- DES
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
