Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.570.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) www.xu####.link:80
- TCP(HTTP/1.1) ff.t####.com.####.com:80
- TCP(HTTP/1.1) l####.c####.q####.####.com:80
- TCP(HTTP/1.1) f.you####.com:80
- TCP(HTTP/1.1) t####.dmp.y####.net:80
- TCP(HTTP/1.1) s####.gw.y####.net:80
- TCP(HTTP/1.1) s.y####.net:80
- TCP(TLS/1.0) s####.we####.com:443
- TCP(TLS/1.0) sharec####.qq.com:443
- TCP y1.ey####.com:7072
- TCP y1.ey####.com:7073
- TCP y1.ey####.com:7071
Запросы DNS:
- 4####.nd####.y####.com
- f.you####.com
- ff.t####.com
- r.y####.net
- s####.gw.y####.net
- s####.we####.com
- s.y####.net
- sdk.st####.y####.com
- sharec####.qq.com
- t####.dmp.y####.net
- www.xu####.link
- y1.ey####.com
- y2.ey####.com
- y3.ey####.com
Запросы HTTP GET:
- f.you####.com/cdn?id=####
- ff.t####.com.####.com/d/3wvg.png
- ff.t####.com.####.com/d/44z7.jpg
- ff.t####.com.####.com/d/451c.jpg
- ff.t####.com.####.com/d/451k.jpg
- ff.t####.com.####.com/d/455w.jpg
- ff.t####.com.####.com/d/456a.jpg
- ff.t####.com.####.com/d/456b.jpg
- l####.c####.q####.####.com/core/aos-dex/1608/6440/26b46b6e.jar
- s####.gw.y####.net/aos/v3/initf?s=####
- s####.gw.y####.net/stat/v3/udt2?appid=####&s=####
- s.y####.net/spot/aos/v2/reqv3?s=####
- s.y####.net/stat/aos/v3/pkc?s=####
- s.y####.net/stat/aos/v3/pku?s=####
- www.xu####.link/cdrx5/14/1.html
- www.xu####.link/gstv7/735622.html
Запросы HTTP POST:
- t####.dmp.y####.net/v1/android/packages?rt=####&sign=####
- t####.dmp.y####.net/v2/android/pkgtime?rt=####&sign=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/0.jar
- /data/data/####/356507059351895yd.db-journal
- /data/data/####/4c9c0bad305dde40314cd7c8063d0d52
- /data/data/####/4c9c0bad305dde40314cd7c8063d0d52-journal
- /data/data/####/84608866288455483306f7f4fdc70d65
- /data/data/####/84608866288455483306f7f4fdc70d65-journal
- /data/data/####/C0XKJAO3JLZKJPDKJFXLINQCJIOAOD.xml
- /data/data/####/CE94557724F842149D690D0E8CBB1CBD.xml
- /data/data/####/P15pKIjsm64m
- /data/data/####/P15pKIjsm64m-journal
- /data/data/####/T1oX0rhhuXWt
- /data/data/####/T1oX0rhhuXWt-journal
- /data/data/####/XKwVoK0huy3R
- /data/data/####/XKwVoK0huy3R-journal
- /data/data/####/aypa0000.xml
- /data/data/####/aypb0000.xml
- /data/data/####/aypc0000.xml
- /data/data/####/ayqa0000.xml
- /data/data/####/ayqb0000.xml
- /data/data/####/ayqd0000.xml
- /data/data/####/d0ea6dfb14cfa564b9c80c316f06df62-journal
- /data/data/####/jqIqJYOT3JpT
- /data/data/####/jqIqJYOT3JpT-journal
- /data/data/####/spotData.xml
- /data/data/####/wIU6pTyUBYWX
- /data/data/####/wIU6pTyUBYWX-journal
- /data/data/####/webview.db-journal
- /data/data/####/wsUL1uCdKvjD
- /data/data/####/wsUL1uCdKvjD-journal
- /data/data/####/ymdex.jar.new
- /data/data/####/yysa.xml
- /data/data/####/yysa356507059351895.xml
- /data/data/####/yysb356507059351895.xml
- /data/data/####/yysc356507059351895.xml
- /data/data/####/yysd356507059351895.xml
- /data/data/####/yysf356507059351895.xml
- /data/media/####/.zyk
- /data/media/####/3wvg.png.tmp
- /data/media/####/44z7.jpg.tmp
- /data/media/####/451c.jpg.tmp
- /data/media/####/451k.jpg.tmp
- /data/media/####/455w.jpg.tmp
- /data/media/####/456a.jpg.tmp
- /data/media/####/456b.jpg.tmp
- /data/media/####/DXTX902KJZX9JASLDJF
- /data/media/####/DXTX902KJZX9JASLDJF.ymtf
- /data/media/####/i42d45df023jnkdd93la483f9xGFKXI
- /data/media/####/s92TjjdfoP2n3o9dfji2l9s1olkjf0p
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/kernel_max
Загружает динамические библиотеки:
- ag
- ygsiyu
Использует следующие алгоритмы для шифрования данных:
- PBEWITHMD5andDES
Использует следующие алгоритмы для расшифровки данных:
- AES
- PBEWITHMD5andDES
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
