Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.170
- Android.Triada.247.origin
- Android.Triada.248.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) aexcep####.b####.qq.com:8012
- TCP(HTTP/1.1) 1####.23.222.114:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) api.s####.mob.com:80
- TCP(HTTP/1.1) bd1.g-s####.com.####.com:80
- TCP(TLS/1.0) 2####.58.211.110:443
Запросы DNS:
- a####.u####.com
- aexcep####.b####.qq.com
- and####.b####.qq.com
- api.s####.mob.com
- bd1.g-s####.com
- l.ace####.com
Запросы HTTP GET:
- bd1.g-s####.com.####.com/ando-res/ads/2/23/b8e13ae2-f35c-40f4-a720-ae36a...
- bd1.g-s####.com.####.com/ando-res/ads/6/24/3cd7f706-9eef-4f24-bf3e-fa552...
- bd1.g-s####.com.####.com/ando-res/m/A6EGb*Py4u1FtWQ3Rk0AdTbn3l2VkFbr8rEb...
Запросы HTTP POST:
- a####.u####.com/app_logs
- aexcep####.b####.qq.com:8012/rqd/async
- and####.b####.qq.com/rqd/async
- api.s####.mob.com/conf4
- api.s####.mob.com/conn
- api.s####.mob.com/data2
- api.s####.mob.com/log4
- api.s####.mob.com/snsconf
- l.ace####.com/ando/x/lis?app_id=####&r=####
- l.ace####.com/ando/x/liv?app_id=####&r=####
- l.ace####.com/ando/x/req?app_id=####&r=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-RvNB_JZO6FL-m-whi0v1iUImTZx2e4Ad07bBA==.new
- /data/data/####/.imprint
- /data/data/####/136ac6e5-0eae-4bd8-aab2-95c1269a55d0.res
- /data/data/####/37OcqP1bb_e7qVIYe4lMkYonm5JKNeSbNDrvMambcbM=.new
- /data/data/####/8CR1fLv56qm3vL_5U1xODk8l2_ZwoG2x_KJ0jCZ0Mw6r_zF...ournal
- /data/data/####/8CR1fLv56qm3vL_5U1xODk8l2_ZwoG2x_KJ0jCZ0Mw6r_zFYHQzZP2g==
- /data/data/####/8CR1fLv56qm3vL_5U1xODk8l2_ZwoG2x__GyfOIC3l1mDy90w
- /data/data/####/8CR1fLv56qm3vL_5U1xODk8l2_ZwoG2x__GyfOIC3l1mDy90w-journal
- /data/data/####/8CR1fLv56qm3vL_5U1xODk8l2_ZwoG2x_e_AwDzNb8Vw_ib...ournal
- /data/data/####/8CR1fLv56qm3vL_5U1xODk8l2_ZwoG2x_e_AwDzNb8Vw_ibYaHCderw==
- /data/data/####/8CR1fLv56qm3vL_5U1xODk8l2_ZwoG2x_oPQvvdqUiR_1cv...1Z33I=
- /data/data/####/8CR1fLv56qm3vL_5U1xODk8l2_ZwoG2x_oPQvvdqUiR_1cv...ournal
- /data/data/####/8_A-vCF_BPVPIE5x4FeFWQ==.new
- /data/data/####/Alvin2.xml
- /data/data/####/CY1P_BzK2s9Sl-bc
- /data/data/####/ContextData.xml
- /data/data/####/DHYJ2njEYCdCL4PI03H_uZuDo8T3QPUwepqNlLxTpes=.new
- /data/data/####/ExX-TA_P0u3BWuWsic4pvcQOV9k=.temp
- /data/data/####/FTzjT_7h9Strxb0_.new
- /data/data/####/F_VNd06l1ojnWfHJtaus6w==.new
- /data/data/####/IbnuEu0FJwRJTq2jMgLVgU5KHcwGZ8mM.new
- /data/data/####/InpqnnjR2zoYTyzZCEfFygY2stM=.new
- /data/data/####/Kj4pDlUJmd5ODGUz0s8BbwO2TGtkrYYqh_JCGA==.new
- /data/data/####/L5cvB2RlzD1eBek0MQPJRw==.new
- /data/data/####/Na0WU5rbBqanjv7-iLm-91H-xrw=.new
- /data/data/####/Q7ojC8GXHC6wpL-vmKLB2cWJOtQ=
- /data/data/####/Svj4yPoN7Z9rmjMf1T-9jUJzcyZgXOl_UhU2RdKCeyY=.new
- /data/data/####/Vpj2IZ-1UjkNSbVOL_m8kE0HpGTH8Cqi.new
- /data/data/####/WAnV-oFi4GDttYiaXvIkrr3uYHV6Yu1OhesNKQ==.new
- /data/data/####/Ymk0ESwcfp5iSDGw-weL4ClWyQU=.new
- /data/data/####/ZNTsOmGnivykk1h8xzdVunAIV7Jq3w70.new
- /data/data/####/_Jc_-rqN1Eg9q3lUBggMlUgcoWRxLTS6.new
- /data/data/####/a74d6af9-cb41-44a1-8571-3a122a0aedce.res.temp
- /data/data/####/b4da721f-5cb3-4b92-a7fd-1ede19b88c5c.res
- /data/data/####/bTWLSMYHloa1-cXMoUQLUjB_7T8=.temp
- /data/data/####/bugly_db_legu-journal
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/d4113e3c-a77d-43cb-94a9-5e328b623ae9.res.temp
- /data/data/####/data.dat.tmp
- /data/data/####/eYYVN1rkBehyLUlAB-9bBvvkGnPNZKcu.new
- /data/data/####/efC194iJzmk=.jar
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/journal.tmp
- /data/data/####/k0BN_WN3kSDFqCrWf71zfNv-iAW1_5GOcpn0Aw==.new
- /data/data/####/libnfix.so
- /data/data/####/libshella-2.10.5.7.so
- /data/data/####/libufix.so
- /data/data/####/local_crash_lock
- /data/data/####/mNIKm4JfgZw67CxM1SjYfQ==.new
- /data/data/####/mix.dex
- /data/data/####/native_record_lock
- /data/data/####/q9o9MvNaOGnIziDSBth7Ed2a7fTkIcDi.new
- /data/data/####/qD2JcxJFjxECg-dAH4QnseKeM4k=.new
- /data/data/####/rdata_comcdbapp.new
- /data/data/####/runner_info.prop.new
- /data/data/####/security_info
- /data/data/####/share_sdk_0.xml
- /data/data/####/sharesdk.db-journal
- /data/data/####/tkzdvq_f.zip
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/ufIA7YedEAA7zYcJkUCyRA==
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/x8kDYfO2FlOuf_zR
- /data/data/####/xpgpcwJD3KBo01me.zip
- /data/data/####/yWEQDXqR-57JNzUsfCvOhS2YNHUSZYON.new
- /data/data/####/ysIt0_yQYNAfEqeBTXHwihWY9tA=.new
- /data/media/####/.ba
- /data/media/####/.dk
- /data/media/####/.uunique
- /data/media/####/.uunique.new
- /data/media/####/1cc2768e-a5c7-4be6-a3a6-f30d971bbc4f.res
- /data/media/####/2117d776-cae9-49bd-b00e-b7051be81499.res
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/ee39252a-3709-4406-a01b-c9b35a77dc54.res
- /data/media/####/r_pkDgN4OhnkSa0D
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop ro.aa.romver
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.build.fingerprint
- /system/bin/sh -c getprop ro.build.nubia.rom.name
- /system/bin/sh -c getprop ro.build.rom.id
- /system/bin/sh -c getprop ro.build.tyd.kbstyle_version
- /system/bin/sh -c getprop ro.build.version.emui
- /system/bin/sh -c getprop ro.build.version.opporom
- /system/bin/sh -c getprop ro.gn.gnromvernumber
- /system/bin/sh -c getprop ro.lenovo.series
- /system/bin/sh -c getprop ro.lewa.version
- /system/bin/sh -c getprop ro.meizu.product.model
- /system/bin/sh -c getprop ro.miui.ui.version.name
- /system/bin/sh -c getprop ro.vivo.os.build.display.id
- /system/bin/sh -c type su
- <Package Folder>/code-584515/CY1P_BzK2s9Sl-bc -p <Package> -c com.cdb.app.vvncva.a.a.d.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- chmod 700 <Package Folder>/tx_shell/libnfix.so
- chmod 700 <Package Folder>/tx_shell/libshella-2.10.5.7.so
- chmod 700 <Package Folder>/tx_shell/libufix.so
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.fingerprint
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lenovo.series
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.build.display.id
- getprop ro.yunos.version
- logcat -d -v threadtime
- sh <Package Folder>/code-584515/CY1P_BzK2s9Sl-bc -p <Package> -c com.cdb.app.vvncva.a.a.d.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- Bugly
- libnfix
- libshella-2.10.5.7
- libufix
- nfix
- ufix
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-NoPadding
- AES-GCM-NoPadding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Управляет Wi-Fi-подключением.
