Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.373.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) i.t####.com:80
- TCP(HTTP/1.1) 1####.159.208.192:80
- TCP(TLS/1.0) c####.x####.com:443
Запросы DNS:
- c####.x####.com
- i.t####.com
- unitedp####.lemuel####.com
Запросы HTTP GET:
- i.t####.com/a/3f1015e9bf50ada78026b1c25e124f454
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/1570539277126_2253
- /data/data/####/1570539312011_2711
- /data/data/####/196859fb4c0b6168.jar
- /data/data/####/22dfe6a5c124e7fb.jar
- /data/data/####/265eea6ac15c2aa9.jar
- /data/data/####/29c821c9b1368dde.jar
- /data/data/####/2f54042c8f4dae07.dex
- /data/data/####/2f54042c8f4dae07.jar
- /data/data/####/3bccf73df9423511.jar
- /data/data/####/417f2c8ecb5fae3b.jar
- /data/data/####/4cb20dd7df5b4b54.jar
- /data/data/####/6b3d0ff7cbe788f6.jar
- /data/data/####/89d580a40a6bea53.jar
- /data/data/####/92fd79f2e1d15751.dex
- /data/data/####/92fd79f2e1d15751.jar
- /data/data/####/Archimedes_p4
- /data/data/####/Archimedes_p5
- /data/data/####/Pythagoras_phase.xml
- /data/data/####/TD__Game_Synchronous_Lock__
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/TDpref_game.xml
- /data/data/####/TDpref_longtime.xml
- /data/data/####/TDpref_longtime3.xml
- /data/data/####/U2pbWmNucStJd8hmPKi_IA==.new
- /data/data/####/a73b79523b562dbcafd907e6b012a501;account_file.xml
- /data/data/####/a8fbc21f26f04bd2.jar
- /data/data/####/ba94a165e49c5731.jar
- /data/data/####/c14ec00d8e9454e3.jar
- /data/data/####/c99616cd0c139166.jar
- /data/data/####/codex.so
- /data/data/####/codex.so (deleted)
- /data/data/####/codex_inner.so
- /data/data/####/com.anzhi.usercenter.single.plugin.apk
- /data/data/####/com.anzhi.usercenter.single.plugin.apk.raw
- /data/data/####/com.anzhi.usercenter.single.plugin.apk.raw (deleted)
- /data/data/####/d16ae2251e816e55.jar
- /data/data/####/dfeaa3aae8819241.jar
- /data/data/####/e093ea0eb477897e.jar
- /data/data/####/lemuel_security_inner.so
- /data/data/####/mPBE.xml
- /data/data/####/qryjbq_f.dex
- /data/data/####/qryjbq_f.zip
- /data/data/####/tdid.xml
- /data/media/####/.tcookieid
Другие:
Запускает следующие shell-скрипты:
- getprop
Загружает динамические библиотеки:
- _lemuel_security
- cocos2dcpp
- codex
- codex_inner
- lemuel_security_inner
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
