Техническая информация
Вредоносные функции:
Отправляет SMS:
- 10691009: @8DYL#null,<IMEI>,6000398-1-11-tk11024-0
- 106912114516407: <IMSI>
- 106912114: 201802#null,<IMEI>,6000398-1-11-tk11024-0
Выполняет код следующих детектируемых угроз:
- Android.Backdoor.613.origin
- Android.Triada.258.origin
Перехватывает входящие SMS и прекращает процесс их передачи обработчикам других приложений.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) aser####.1####.cn:80
- TCP(HTTP/1.1) v####.a####.eeric####.com:80
- TCP(HTTP/1.1) v####.api.eeric####.com:80
- TCP(HTTP/1.1) 1####.224.212.152:80
- TCP(HTTP/1.1) sm####.hej####.com:80
- TCP(HTTP/1.1) sdk.hzzr####.com:80
- TCP(HTTP/1.1) s####.hzzr####.com:80
- TCP(HTTP/1.1) pay####.oss-cn-####.aliy####.com:80
- TCP(HTTP/1.1) gd.a.s####.com:80
- TCP(HTTP/1.1) x####.d####.top:20006
- TCP(HTTP/1.1) 1####.199.9.227:80
- TCP(HTTP/1.1) 1####.129.132.111:8001
Запросы DNS:
- aser####.1####.cn
- c####.api.zhifa####.net
- i####.api.zhifa####.net
- i####.api.zhifa####.net
- pay####.oss-cn-####.aliy####.com
- pv.s####.com
- re####.api.zhifa####.net
- s####.hzzr####.com
- sdk.api.zhifa####.net
- sdk.hzzr####.com
- sm####.hej####.com
- v####.a####.eeric####.com
- v####.api.eeric####.com
- www.huangda####.com
- x####.d####.top
Запросы HTTP GET:
- aser####.1####.cn/educloud2/ucenter/activityApporder/dgApp/6554?resId=##...
- aser####.1####.cn/educloud2/ucenter/activityApporder/index/6554?isShare=...
- gd.a.s####.com/cityjson?ie=####
- pay####.oss-cn-####.aliy####.com/sdk/jar/e00e23acc8724bca841961181e1ea70...
- s####.hzzr####.com/SdkNotity.aspx?i=####&v=####&c=####&av=####&dm=####&t...
- sdk.hzzr####.com/getjar.aspx?pno=####
- sm####.hej####.com/getAd.php?apiKey=####&imsi=####&mobile=####&apiKey=##...
- sm####.hej####.com/getError.php?echoName=####&error=####&hKey=####&OS=##...
- sm####.hej####.com/getError.php?echoName=####&error=j####&hKey=####&OS=#...
- sm####.hej####.com/getMobile.php?apiKey=####&imsi=####&n####&n####
- sm####.hej####.com/getSP135.php?echoName=####&appName=####&productName=#...
- v####.a####.eeric####.com/fileupload/e00ac1690539a0b6.jar
- x####.d####.top:20006/SmsPayServer/sdkUpdate/index?
Запросы HTTP POST:
- v####.api.eeric####.com/api/payment/mobileInit.html
- v####.api.eeric####.com/api/payment/payDynamic.html
- v####.api.eeric####.com/api/payment/updateinit_v2
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.fb
- /data/data/####/.fb-journal
- /data/data/####/SP_REPLACE_CLASSLOADER_CLASS_NAME.xml
- /data/data/####/config50240.xml
- /data/data/####/efqh.nbjupz294.pxppyl175.com.pay.db.DBHelper_sm...ournal
- /data/data/####/efqh.nbjupz294.pxppyl175.xml
- /data/data/####/jy_hot_sdk_config.xml
- /data/data/####/new_md.jar
- /data/data/####/onib_clz.jar
- /data/data/####/pay_plg.dex (deleted)
- /data/data/####/pay_plg.jar
- /data/data/####/pretw.xml
- /data/data/####/pz_sharedpre_cmreaderlogininfo.xml
- /data/data/####/webview.db-journal
- /data/data/####/wochi_v4.db-journal
- /data/media/####/WyyyCrashLog_20190816204814_2141.log
- /data/media/####/WyyyCrashLog_20190816204826_2411.log
- /data/media/####/WyyyCrashLog_20190816204833_2524.log
- /data/media/####/WyyyCrashLog_20190816204839_2651.log
- /data/media/####/WyyyCrashLog_20190816204845_2780.log
- /data/media/####/WyyyCrashLog_20190816204852_2909.log
- /data/media/####/WyyyCrashLog_20190816204857_3040.log
- /data/media/####/WyyyCrashLog_20190816204902_3158.log
- /data/media/####/efqh.nbjupz294.pxppyl175_250026699187743_20190816_pay.log
- /data/media/####/jypaysdk.apk
- /data/media/####/qshp_3003_2296.zip
- /data/media/####/tw
Другие:
Запускает следующие shell-скрипты:
- cat /sys/block/mmcblk0/device/cid
Загружает динамические библиотеки:
- cocos2dcpp
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-PKCS5Padding
- DES
- DES-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Содержит функциональность для автоматической отправки SMS.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из SMS.
Получает информацию об отправленых/принятых SMS.
