Техническая информация
Вредоносные функции:
Скрывает свою иконку с экрана.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) develo####.goldc####.net:80
- TCP(HTTP/1.1) 1.p####.ms####.net:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) b####.com:80
- TCP(HTTP/1.1) www2-bi####.dual-a-####.a-ms####.net:80
- TCP(HTTP/1.1) 1878410####.clo.footpri####.com:80
- TCP(HTTP/1.1) 07e446a####.clo.footpri####.com:80
- TCP(HTTP/1.1) www.c####.xyz:80
- TCP(HTTP/1.1) api.goldc####.net:80
- TCP(TLS/1.0) l####.msa.msiden####.com:443
- TCP(TLS/1.0) www2-bi####.dual-a-####.a-ms####.net:443
- TCP(TLS/1.0) www.mbsuper####.com:443
- TCP(TLS/1.0) 1####.217.20.78:443
Запросы DNS:
- 07e446a####.clo.footpri####.com
- 1878410####.clo.footpri####.com
- 80a6214####.clo.footpri####.com
- a####.u####.com
- api.goldc####.net
- b####.com
- develo####.goldc####.net
- fp.ms####.net
- l####.l####.com
- mt####.go####.com
- w####.b####.com
- www.b####.com
- www.c####.xyz
- www.mbsuper####.com
Запросы HTTP GET:
- 07e446a####.clo.footpri####.com/apc/trans.gif
- 07e446a####.clo.footpri####.com/apc/trans.gif?07e446a####
- 1.p####.ms####.net/apc/trans.gif
- 1.p####.ms####.net/apc/trans.gif?80a6214####
- 1.p####.ms####.net/r.gif?&MonitorID=####&rid=####&w3c=####&prot=####&v=#...
- 1878410####.clo.footpri####.com/apc/trans.gif
- 1878410####.clo.footpri####.com/apc/trans.gif?1878410####
- b####.com/Passport.aspx?popup=####
- b####.com/fd/ls/l?IG=####&CID=####&Type=####&DATA=####&P=####&DA=####
- b####.com/ipv6test/test?FORM=####
- b####.com/rb/16/cj,nj/1b7dfb88/cc8437ad.js?bu=####
- b####.com/rb/5n/cj,nj/13153932/ee9f5ae1.js?bu=####
- b####.com/rms/VideoAnswer_Bundle/ic/61505d92/25ddf288.png?bu=####
- b####.com/rs/32/2B/cj,nj/d9d4493a/ac151446.js
- b####.com/rs/32/2i/cj,nj/8d784342/dbeb434c.js
- b####.com/rs/6m/l2/cj,nj/6240f061/6fb5e8ee.js
- b####.com/rs/6m/ln/cj,nj/54603a84/41886d99.js
- b####.com/rs/6m/mL/cj,nj/656c2153/f08ce0bf.js
- b####.com/rs/6m/mY/cj,nj/a39a5113/359dc660.js
- b####.com/rs/6m/n4/cj,nj/439f7fcf/b771e748.js
- b####.com/rs/6o/zi/cj,nj/01de8cec/248ada4c.js
- b####.com/s/bnp/bingLogo.png
- b####.com/sa/simg/SharedSpriteMobile_2018_07_12.png
- b####.com/search?q=####&PC=####
- b####.com/th?id=####&w=####&h=####&c=####&rs=####&p=####&pid=####&qlt=####
- develo####.goldc####.net/q.php?sub=####
- www.c####.xyz/autojs.js
- www2-bi####.dual-a-####.a-ms####.net/ipv6test/test
Запросы HTTP POST:
- a####.u####.com/app_logs
- api.goldc####.net/index.php?r=####&appVer=####&os=####&imei=####&appId=#...
- b####.com/fd/ls/lsp.aspx
- b####.com/fd/ls/lsp.aspx?
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-166676774-1546136398
- /data/data/####/-9553007861234962704
- /data/data/####/.imprint
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.cloundlnine.photoeditor.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/evernote_jobs.db-journal
- /data/data/####/evernote_jobs.xml
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f_000001
- /data/data/####/index
- /data/data/####/smt.db-journal
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
Другие:
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
