Техническая информация
Вредоносные функции:
Отправляет SMS:
- 10691009: @8DYL#null,<IMEI>,6000239-1-136-wjzz_002-0
- 106912114: 201802#null,<IMEI>,6000239-1-136-wjzz_002-0
Выполняет код следующих детектируемых угроз:
- Android.SmsSend.1848.origin
- Android.Triada.258.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) www.quanzh####.com:8088
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) gd.a.s####.com:80
- TCP(HTTP/1.1) www.m####.com:8088
- TCP(HTTP/1.1) pg.x####.com:80
- TCP(HTTP/1.1) 1####.224.212.152:80
- TCP(HTTP/1.1) i####.cn.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) v####.api.eeric####.com:80
- TCP(HTTP/1.1) re####.api.eji####.com:10003
- TCP(HTTP/1.1) p1.i####.cc:80
- TCP(HTTP/1.1) re####.api.eji####.com:10002
- TCP(HTTP/1.1) 1####.236.18.211:80
- TCP(TLS/1.0) 1####.217.20.110:443
Запросы DNS:
- a####.u####.com
- and####.b####.qq.com
- bg.vas####.cn
- ga.x####.com
- i####.api.eji####.com
- i####.cn.com
- l####.i####.cc
- p1.i####.cc
- pg.x####.com
- pv.s####.com
- re####.api.eji####.com
- v####.api.eeric####.com
- www.huangda####.com
- www.m####.com
- www.quanzh####.com
- www.xx####.com
Запросы HTTP GET:
- gd.a.s####.com/cityjson?ie=####
- i####.cn.com/a/3ab9bceae6543653d83adf50ebf8f860e
- re####.api.eji####.com:10002/v1/sdk/init?net_name=####&imei=####&package...
Запросы HTTP POST:
- a####.u####.com/app_logs
- and####.b####.qq.com/rqd/async?aid=####
- p1.i####.cc/index.php/MC/HB
- pg.x####.com/api/q/a/3ab9bceae6543653d83adf50ebf8f860e
- re####.api.eji####.com:10003/v2/chis
- v####.api.eeric####.com/api/payment/mobileInit.html
- v####.api.eeric####.com/api/payment/updateInit
- www.m####.com:8088/sdk-selector/sdk/select
- www.quanzh####.com:8088/MakeJoyJson/JsonRead
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/1004
- /data/data/####/3ab9bceae6543653d83adf50ebf8f860e;account_file.xml
- /data/data/####/5.0.6.jar
- /data/data/####/MA_epay_db
- /data/data/####/MA_epay_db-journal
- /data/data/####/MaiStore.db-journal
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/b_setting.xml
- /data/data/####/b_share.xml
- /data/data/####/bil_db
- /data/data/####/bil_db-journal
- /data/data/####/bugly_db_-journal
- /data/data/####/crashrecord.xml
- /data/data/####/exchangeIdentity.json
- /data/data/####/libexec.so
- /data/data/####/local_crash_lock
- /data/data/####/mobclick_agent_cached_com.h5game.guangtouqiang.hmc136
- /data/data/####/mpush_game.db-journal
- /data/data/####/mpush_gateway_preferences_file
- /data/data/####/mpush_version_preferences_file
- /data/data/####/nexor.jar
- /data/data/####/nnt_data.xml
- /data/data/####/plus.jar
- /data/data/####/pref_file.xml
- /data/data/####/pretw.xml
- /data/data/####/sdfgh.xml
- /data/data/####/security_info
- /data/data/####/share_data.xml
- /data/data/####/share_ecd.xml
- /data/data/####/share_version.xml
- /data/data/####/shared_file.xml
- /data/data/####/smspay.dbwyzf
- /data/data/####/smspay.dbwyzf-journal
- /data/data/####/td_pefercen_profile.xml
- /data/data/####/tdid.xml
- /data/data/####/twc.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/wyzf_configwyzf.xml
- /data/data/####/zzconfig.xml
- /data/media/####/.tcookieid
- /data/media/####/WyyyCrashLog_20190601032053_2481.log
- /data/media/####/qshp_3001_2277.zip
- /data/media/####/tw
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop
- /system/bin/sh -c type su
- cat /sys/block/mmcblk0/device/cid
- getprop
- getprop ro.product.cpu.abi
Загружает динамические библиотеки:
- Bugly
- a
- game
- libexec
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-GCM-NoPadding
- DES
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-PKCS5Padding
- AES-GCM-NoPadding
- DES
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из SMS.
Получает информацию о входящих/исходящих звонках.
Получает информацию об отправленых/принятых SMS.
