Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.477.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(TLS/1.0) o####.azh####.com:9190
- TCP(TLS/1.0) av1.x####.com:443
- TCP(TLS/1.0) dxp.b####.com:443
- TCP(TLS/1.0) c####.x####.com:443
- TCP(TLS/1.0) 1####.217.20.110:443
Запросы DNS:
- av1.x####.com
- c####.x####.com
- dxp.b####.com
- h####.b####.com
- mt####.go####.com
- o####.azh####.com
- o####.azh####.com
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/1567992429586_2114
- /data/data/####/1567992429837_2149
- /data/data/####/1567992430945_2186
- /data/data/####/1567992431107_2149
- /data/data/####/1567992431469_2186
- /data/data/####/1567992431756_2149
- /data/data/####/1567992432437_2149
- /data/data/####/1567992432482_2186
- /data/data/####/1567992432714_2199
- /data/data/####/1567992433775_2149
- /data/data/####/1567992433823_2186
- /data/data/####/1567992433918_2186
- /data/data/####/1567992433950_2186
- /data/data/####/1567992434154_2186
- /data/data/####/1567992434393_2114
- /data/data/####/1567992434412_2199
- /data/data/####/1567992434527_2199
- /data/data/####/1567992434692_2205
- /data/data/####/1567992434869_2199
- /data/data/####/1567992434945_2114
- /data/data/####/1567992435019_2199
- /data/data/####/1567992435024_2205
- /data/data/####/1567992435059_2114
- /data/data/####/1567992435143_2199
- /data/data/####/1567992435171_2205
- /data/data/####/1567992435232_2114
- /data/data/####/1567992435304_2199
- /data/data/####/1567992435339_2205
- /data/data/####/1567992435358_2199
- /data/data/####/1567992435434_2205
- /data/data/####/1567992435691_2114
- /data/data/####/1567992435743_2114
- /data/data/####/1567992435816_2114
- /data/data/####/1567992435860_2114
- /data/data/####/1567992435942_2114
- /data/data/####/3514859.dex
- /data/data/####/3514859.jar
- /data/data/####/3514894.jar
- /data/data/####/3514931.jar
- /data/data/####/3514944.jar
- /data/data/####/3514950.jar
- /data/data/####/Archimedes_p1
- /data/data/####/Archimedes_p2
- /data/data/####/Archimedes_p3
- /data/data/####/Archimedes_p4
- /data/data/####/Archimedes_p5
- /data/data/####/BNHF__local_last_session.json
- /data/data/####/BNHF__local_stat_cache.json
- /data/data/####/HFNB__local_last_session.json
- /data/data/####/HFNB__local_stat_cache.json
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/TDpref_cloudcontrol1.xml
- /data/data/####/TDpref_longtime.xml
- /data/data/####/TDpref_longtime0.xml
- /data/data/####/TDpref_shorttime0.xml
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml (deleted)
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml.bak
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml.bak (deleted)
- /data/data/####/__local_ap_info_cache.json
- /data/data/####/__local_last_session.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/__send_data_1567992438885
- /data/data/####/__send_data_1567992438957
- /data/data/####/__send_data_1567992438996
- /data/data/####/__send_data_1567992439060
- /data/data/####/__send_data_1567992439065
- /data/data/####/baidu_mtj_sdk_record.xml
- /data/data/####/baidu_mtj_sdk_record.xml (deleted)
- /data/data/####/baidu_mtj_sdk_record.xml.bak
- /data/data/####/baidu_mtj_sdk_record.xml.bak (deleted)
- /data/data/####/base.so
- /data/data/####/dater
- /data/data/####/iv
- /data/data/####/libcuid.so
- /data/data/####/mtj_autoTracker.js
- /data/data/####/salt
- /data/data/####/tdid.xml
- /data/data/####/tdid.xml (deleted)
- /data/data/####/trace_circle.data
- /data/data/####/vks__local_last_session.json
- /data/data/####/vks__local_stat_cache.json
- /data/data/####/vkt__local_last_session.json
- /data/data/####/vkt__local_stat_cache.json
- /data/media/####/.confd
- /data/media/####/.confd-journal
- /data/media/####/.cuid2
- /data/media/####/.timestamp
- /data/media/####/09b5ccc4abe46c1273fa653fc18c3fec.xml
- /data/media/####/28744ab6729422d40de56816f3ee4a4a.xml
- /data/media/####/661260a0d92c5abb259dca7f9de95deb.xml
- /data/media/####/7b597ba49e4b5679cd9ffbb33c37365d.xml
- /data/media/####/dddb391c74fb9dc0c7912ae0a103af7b.xml
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- getprop
- getprop ro.build.display.id
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.smartisan.version
- getprop ro.vivo.os.version
Загружает динамические библиотеки:
- base
- crash_analysis
Использует следующие алгоритмы для шифрования данных:
- AES
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- Des-ECB-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- Des-ECB-NoPadding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Получает информацию о привязанных к устройству аккаунтах (Google, Facebook и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
