Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.258.origin
Перехватывает входящие SMS и прекращает процесс их передачи обработчикам других приложений.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 1####.224.212.152:80
- TCP(HTTP/1.1) l####.i####.com:9820
- TCP(HTTP/1.1) 1####.74.111.56:9039
- TCP(HTTP/1.1) www.go####.com:80
- TCP(HTTP/1.1) 1####.199.9.227:80
- TCP(HTTP/1.1) sdk.shxz####.cn:8000
- TCP(HTTP/1.1) pay.9####.com:9000
Запросы DNS:
- ip.ch####.com
- l####.i####.com
- pay.9####.com
- sdk.shfy####.cn
- sdk.shxz####.cn
- sdk.szyx####.cn
- sdk.szyy####.cn
- sdk.ye####.top
- up.y####.com
- www.go####.com
- www.huangda####.com
- www.tomax####.com
Запросы HTTP GET:
- pay.9####.com:9000/versionpatch?updVersion=####&crc32=####&version=####&...
- www.go####.com/complete/search?hl=####&client=####&q=####
Запросы HTTP POST:
- l####.i####.com:9820/chnlt/ltpay/pytstart.do
- sdk.shxz####.cn:8000/sp/targetInit.e?pid=####&appid=####&qcid=####
- sdk.shxz####.cn:8000/zpayinit?type=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/Data_sync.db-journal
- /data/data/####/apk.dex (deleted)
- /data/data/####/apk.zip
- /data/data/####/apk.zip (deleted)
- /data/data/####/appstartone.xml
- /data/data/####/appstarttwo.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.lyhtgh.pay.ltplugin.dex
- /data/data/####/libabc
- /data/data/####/libexec.so
- /data/data/####/mj.apk
- /data/data/####/mj.dex
- /data/data/####/mj.dex (deleted)
- /data/data/####/onlineConfig.dat.xml
- /data/data/####/plugin.apk
- /data/data/####/pretw.xml
- /data/data/####/twc.xml
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/uuid.xml
- /data/data/####/webview.db
- /data/data/####/webview.db-journal
- /data/data/####/zpay_db
- /data/data/####/zpay_db-journal
- /data/data/####/zpay_info.xml
- /data/media/####/.nomedia
- /data/media/####/com.lyhtgh.pay.ltplugin.apk
- /data/media/####/plugin.apk_35
- /data/media/####/pooi5241caiy037slek2b86ft4j0c04e
- /data/media/####/qsha_80001_5096.jar
- /data/media/####/qshp_3003_2274.zip
- /data/media/####/tw
- /data/media/####/uid.sys
- /data/media/####/xh88t11i5083t4j3s87ji3yokpb20852
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- cat /sys/block/mmcblk0/device/cid
- getprop ro.product.cpu.abi
Загружает динамические библиотеки:
- cocos2dcpp
- libabc
- libexec
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
- DES-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из SMS.
Получает информацию об отправленых/принятых SMS.
