Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.396.origin
- Android.DownLoader.576.origin
- Android.DownLoader.675.origin
- Android.DownLoader.698.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) f.you####.com:80
- TCP(HTTP/1.1) ff.t####.com.####.com:80
- TCP(HTTP/1.1) ap####.sj.91.####.com:80
- TCP(HTTP/1.1) pic.if####.com.####.com:80
- TCP(HTTP/1.1) c####.b####.com:80
- TCP(HTTP/1.1) appup####.sj.91.com:80
- TCP(HTTP/1.1) panda####.sj.91.####.com:80
- TCP(TLS/1.0) 1####.217.20.110:443
- TCP s1.u####.com:7701
- TCP k1.yo####.com:7602
- TCP p2.i####.com:7702
- TCP s1.u####.com:7801
- TCP k1.yo####.com:7601
- TCP k1.yo####.com:7803
- TCP b3.v####.com:7703
- TCP k1.yo####.com:7802
- TCP b3.v####.com:7603
- TCP k1.yo####.com:7703
Запросы DNS:
- ap####.sj.91.com
- appup####.sj.91.com
- b1.v####.com
- b2.v####.com
- b3.v####.com
- bcs.9####.com
- c####.b####.com
- f.you####.com
- ff.t####.com
- k1.yo####.com
- logst####.sj.91.com
- p1.i####.com
- p2.i####.com
- p3.i####.com
- panda####.sj.91.com
- pic.if####.com
- s1.u####.com
- s2.u####.com
- s3.u####.com
Запросы HTTP GET:
- f.you####.com/cdn?id=####
- ff.t####.com.####.com/d/3wvg.png
- ff.t####.com.####.com/d/44z7.jpg
- ff.t####.com.####.com/d/451c.jpg
- ff.t####.com.####.com/d/451k.jpg
- ff.t####.com.####.com/d/456a.jpg
- ff.t####.com.####.com/d/456b.jpg
- ff.t####.com.####.com/d/456e.png
- ff.t####.com.####.com/d/456h.jpg
- panda####.sj.91.####.com/Android/GetData.aspx?action=####&iconPage=####&...
- panda####.sj.91.####.com/Theme.ashx/BDHotKeyv3?mt=####&pid=####&tfv=####...
- panda####.sj.91.####.com/commonuse/clientconfig.ashx?cname=####
- panda####.sj.91.####.com/commonuse/clientconfig.ashx?cname=####&ver=####
- pic.if####.com.####.com/rbpiczy/commonpics/2014/9/22/c8366ad92e484c098a6...
- pic.if####.com.####.com/rbpiczy/commonpics/2014/9/3/cd20dfd6333947828442...
- pic.if####.com.####.com/rbpiczy/commonpics/2015/4/30/45ee4274a5b6459cbad...
- pic.if####.com.####.com/rbpiczy/pic/2015/12/31/aa72938bb63b48b08501676ab...
- pic.if####.com.####.com/rbpiczy/sj91/upload/2015/02/16/bf49e55126c9410da...
- pic.if####.com.####.com/rbpiczy/sj91/upload/2016/03/01/05723d433c6047d5b...
- pic.if####.com.####.com/rbpiczy/sj91/upload/2016/03/01/40f3c2151b31441da...
- pic.if####.com.####.com/rbpiczy/sj91/upload/2016/03/01/a1f6f8bde52b48c78...
- pic.if####.com.####.com/rbpiczy/sj91/upload/2016/03/01/aa47539cf49d47d89...
- pic.if####.com.####.com/rbpiczy/sj91/upload/2016/03/01/aa857682132a4eb99...
- pic.if####.com.####.com/rbpiczy/sj91/upload/2016/03/01/d892dc6c356b485b9...
- pic.if####.com.####.com/rbpiczy/sj91/upload/2016/03/01/f8da632b097c464a8...
- pic.if####.com.####.com/rbpiczy/sj91/upload/2016/09/13/7f289b6f06894a0b9...
- pic.if####.com.####.com/rbreszy/theme/app/activity/58icon20160128.png
- pic.if####.com.####.com/rbreszy/theme/app/activity/weipinhui20151209.png
Запросы HTTP POST:
- ap####.sj.91.####.com/api2.ashx
- appup####.sj.91.com/service.ashx?act=####&platform=####&fw=####&imei=###...
- c####.b####.com/batsdk/api_int/newsync2
- panda####.sj.91.####.com/Android/GetData.aspx?action=####&iconPage=####&...
- panda####.sj.91.####.com/action.ashx/distributeaction/5017
- panda####.sj.91.####.com/commonuse/clientconfig.ashx?cname=####&ver=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.lock
- /data/data/####/91Analytics_Config.xml
- /data/data/####/91analytics_v3.db
- /data/data/####/91analytics_v3.db-journal
- /data/data/####/app.db-journal
- /data/data/####/app_distribute.db
- /data/data/####/app_distribute.db-journal
- /data/data/####/app_distribute_sp.xml
- /data/data/####/bao_download.db-journal
- /data/data/####/batsdk_app_life.xml
- /data/data/####/batsdk_crash_switch.xml
- /data/data/####/batsdk_user_info.xml
- /data/data/####/carousel_content_temp
- /data/data/####/channel.ini
- /data/data/####/config.db-journal
- /data/data/####/config.xml
- /data/data/####/configsp.xml
- /data/data/####/dxwidgets.xml
- /data/data/####/dxwidgets.xml.tmp
- /data/data/####/expsp.xml
- /data/data/####/fcut_appInfo_pre.xml
- /data/data/####/fcut_conf_pre.xml
- /data/data/####/launcherDX.db
- /data/data/####/launcherDX.db-journal
- /data/data/####/myphone.db-journal
- /data/data/####/po_download.db-journal
- /data/data/####/recommendappjson
- /data/data/####/settings.xml
- /data/data/####/themes.db-journal
- /data/data/####/trafficmonestats.db-journal
- /data/data/####/upgraderecommendsp.xml
- /data/data/####/ybappInfo_pre.xml
- /data/data/####/ybconf_pre.xml
- /data/data/####/ybinfo_pre.xml
- /data/data/####/ybtrategy_pre.xml
- /data/data/####/yo_fac_pre.xml
- /data/data/####/yo_fconf_pre.xml
- /data/data/####/yo_finfo_pre.xml
- /data/data/####/yoappInfo_pre.xml
- /data/data/####/yoconf_pre.xml
- /data/data/####/yoinfo_pre.xml
- /data/data/####/yop_download.db
- /data/data/####/yop_download.db-journal
- /data/data/####/yotrategy_pre.xml
- /data/media/####/.cuid
- /data/media/####/.nomedia
- /data/media/####/05723d433c6047d5b0d9c8cb60f10af5.a
- /data/media/####/1559421124306u.jar
- /data/media/####/1559421124734q.jar
- /data/media/####/1559421125169u.jar
- /data/media/####/1559421127921u.jar
- /data/media/####/1559421128135q.jar
- /data/media/####/1559421128299u.jar
- /data/media/####/1559421132899b.jar
- /data/media/####/3wvg.png.data
- /data/media/####/40f3c2151b31441da6fb5bd8d505c91c.a
- /data/media/####/44z7.jpg.data
- /data/media/####/451c.jpg.data
- /data/media/####/451k.jpg.data
- /data/media/####/456a.jpg.data
- /data/media/####/456b.jpg.data
- /data/media/####/456e.png.data
- /data/media/####/456h.jpg.data
- /data/media/####/45ee4274a5b6459cbadc720fa7bfb79b.a
- /data/media/####/58icon20160128.a
- /data/media/####/a1f6f8bde52b48c7822ecffa1bf98ab9.a
- /data/media/####/aa47539cf49d47d894e8513a7e407270.a
- /data/media/####/aa72938bb63b48b08501676ab1ab5e2a.a
- /data/media/####/aa857682132a4eb993b5df869337c209.a
- /data/media/####/bf49e55126c9410dacacf9faca5b0c81.a
- /data/media/####/c8366ad92e484c098a69c51c90069fe9.a
- /data/media/####/cd20dfd6333947828442bed0d95be3db.a
- /data/media/####/com.android.development_.Development
- /data/media/####/com.android.inputmethod.latin_.setup.SetupActivity
- /data/media/####/com.android.providers.downloads.ui_.DownloadList
- /data/media/####/com.android.quicksearchbox_.SearchActivity
- /data/media/####/com.android.speechrecorder_.SpeechRecorderActivity
- /data/media/####/com.android.vending_.AssetBrowserActivity
- /data/media/####/com.example.android.notepad_.NotesList
- /data/media/####/com.example.android.rssreader_.RssReader
- /data/media/####/com.google.android.gms_.common.settings.Google...tivity
- /data/media/####/com.wallpaper.locker.app_com.nd.hilauncherdev....uncher
- /data/media/####/d892dc6c356b485b9d9698db7f2b8905.a
- /data/media/####/default_wallpaper_5610.jpg
- /data/media/####/exp_classify.json
- /data/media/####/f8da632b097c464a86f89c198f4708d6.a
- /data/media/####/sogou.mobile.explorer_7f289b6f06894a0b9e11052e27d453c8
- /data/media/####/v611_com_nd_android_pandahome2_manage_shop_the...tivity
- /data/media/####/v611_icon_t9
- /data/media/####/weipinhui20151209.a
- /data/system/####/wallpaper
Другие:
Запускает следующие shell-скрипты:
- /system/bin/bd_demaon
- /system/bin/sh
Загружает динамические библиотеки:
- image
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DESede-CBC-PKCS7Padding
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Получает информацию о входящих/исходящих звонках.
Получает информацию об отправленых/принятых SMS.
Получает информацию о телефонных контактах.
