Техническая информация
Вредоносные функции:
Перекрывает экран собственным окном, блокируя доступ к GUI.
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(TLS/1.0) s0.2####.net:443
- TCP(TLS/1.0) instant####.google####.com:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) mo####.adsafep####.com:443
- TCP(TLS/1.0) googl####.g.doublec####.net:443
- TCP(TLS/1.0) tpc.googles####.com:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
- TCP(TLS/1.0) f####.google####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) google####.g.doublec####.net:443
- TCP(TLS/1.0) ade.googles####.com:443
- TCP(TLS/1.0) iest####.adsafep####.com:443
- TCP(TLS/1.0) dt.adsafep####.com:443
- TCP(TLS/1.0) cm.g.doublec####.net:443
- TCP(TLS/1.0) pag####.googles####.com:443
- TCP(TLS/1.0) fw.adsafep####.com:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) bid.g.doublec####.net:443
- TCP(TLS/1.0) s####.search####.spotxch####.####.net:443
- TCP(TLS/1.0) g.geo####.com:443
- TCP(TLS/1.0) 1####.217.20.74:443
- TCP(TLS/1.2) 1####.217.20.74:443
- TCP(TLS/1.2) 1####.217.20.110:443
Запросы DNS:
- ade.googles####.com
- and####.cli####.go####.com
- and####.google####.com
- bid.g.doublec####.net
- cm.g.doublec####.net
- dt.adsafep####.com
- f####.google####.com
- fw.adsafep####.com
- googl####.g.doublec####.net
- google####.g.doublec####.net
- ib.a####.com
- instant####.google####.com
- mo####.adsafep####.com
- p####.google####.com
- pag####.googles####.com
- s####.se####.spotxch####.com
- s0.2####.net
- st####.adsafep####.com
- tpc.googles####.com
- www.gst####.com
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/000003.log
- /data/data/####/09be570f4b7a38a1_0 (deleted)
- /data/data/####/0a5ba7a7fff364e9_0
- /data/data/####/0a5ba7a7fff364e9_1
- /data/data/####/0bb4b76a3d4d3588_0
- /data/data/####/0e993db261db39c8_0
- /data/data/####/10da193417e34ab0_0
- /data/data/####/10da193417e34ab0_1
- /data/data/####/13162248751831778574
- /data/data/####/1518650295230.dex
- /data/data/####/1518650295230.dex.flock (deleted)
- /data/data/####/1518650295230.jar
- /data/data/####/1518650295230.tmp
- /data/data/####/161adb42c9844adf_0
- /data/data/####/161adb42c9844adf_1
- /data/data/####/1714e80093f3cbb9_0
- /data/data/####/1877a62b7984a12f_0
- /data/data/####/18f60a7ff29fb60f_0
- /data/data/####/1d647bf03c576f51_0
- /data/data/####/1ffff1f038dab8dd_0
- /data/data/####/2039fe55433be383_0
- /data/data/####/2299044400594be0_0
- /data/data/####/22a7da8802b02783_0
- /data/data/####/22a7da8802b02783_1
- /data/data/####/26b710413da3cb7f_0
- /data/data/####/2d907d26ae00aedd_0
- /data/data/####/3abd3ba06eead704_0
- /data/data/####/3abd3ba06eead704_1
- /data/data/####/3daae5cb7fab493b_0
- /data/data/####/3daae5cb7fab493b_1
- /data/data/####/3e8e77ebc1f4cf60_0
- /data/data/####/3eb2cfa6f99623ca_0
- /data/data/####/3eb2cfa6f99623ca_1
- /data/data/####/4115c4061602a23c_0
- /data/data/####/436cbc16dcc02649_0
- /data/data/####/45c7ce6f1157700a_0
- /data/data/####/45c7ce6f1157700a_1
- /data/data/####/4627f732b665fffc_0
- /data/data/####/4627f732b665fffc_1
- /data/data/####/4709d29ccb8e8fcb_0 (deleted)
- /data/data/####/48dc5df266bf72a9_0
- /data/data/####/4ade02d53c941f31_0
- /data/data/####/5921366eb04eae25_0
- /data/data/####/6458630a14782b40_0
- /data/data/####/6458630a14782b40_1
- /data/data/####/6ab596437ecce9d2_0
- /data/data/####/6ab596437ecce9d2_1
- /data/data/####/7556c1835650e1d4_0
- /data/data/####/75da19bc000a1fe4_0
- /data/data/####/7d646172d9531291_0 (deleted)
- /data/data/####/9191cd9e47c87b00_0
- /data/data/####/95e1767fe3cb022d_0
- /data/data/####/962a14163852ceb4_0
- /data/data/####/CURRENT
- /data/data/####/Cookies-journal
- /data/data/####/Databases.db-journal
- /data/data/####/LOCK
- /data/data/####/LOG
- /data/data/####/MANIFEST-000001
- /data/data/####/QuotaManager-journal
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/a3b7b5f5269589af_0
- /data/data/####/a4924b32c9d742ea_0
- /data/data/####/a4924b32c9d742ea_1
- /data/data/####/a71e3eb326062b82_0
- /data/data/####/a94831050659e8b2_0
- /data/data/####/a96b98f3503c75bb_0
- /data/data/####/admob.xml
- /data/data/####/b20d6610f807bbbe_0
- /data/data/####/b20d6610f807bbbe_1
- /data/data/####/baf7857c034f2bc3_0
- /data/data/####/baf7857c034f2bc3_1
- /data/data/####/bf5f208127db285f_0
- /data/data/####/bf9e470347a99ee9_0
- /data/data/####/bf9e470347a99ee9_1
- /data/data/####/c2859720850706ba_0
- /data/data/####/c9afd8b484001c4b_0
- /data/data/####/c9afd8b484001c4b_1
- /data/data/####/cab3a01bb407629c_0
- /data/data/####/cd85c3d75821c9f5_0
- /data/data/####/cd85c3d75821c9f5_1
- /data/data/####/cebbf1cc259276eb_0
- /data/data/####/cebbf1cc259276eb_1
- /data/data/####/com.ferraments.alwaysondisplay.amoledwallpapers...es.xml
- /data/data/####/d1717b2a8c0b9d5d_0
- /data/data/####/d59b1d45821d9a95_0
- /data/data/####/d8e7c35334dead38_0
- /data/data/####/dfe6b2497a7513ba_0
- /data/data/####/e660fdacf86c6099_0
- /data/data/####/e66c16055dca974d_0
- /data/data/####/eaa95975caa96a6e_0
- /data/data/####/f169b880ad4484cb_0
- /data/data/####/f1c9a413a59e81a8_0
- /data/data/####/f45aabd4c8fcfc17_0
- /data/data/####/f8c995c9e7ee6eec_0
- /data/data/####/fad0d67daeef9006_0
- /data/data/####/fce9130fe75d4119_0
- /data/data/####/fe4a0f191f0d3e9d_0
- /data/data/####/fe4a0f191f0d3e9d_1
- /data/data/####/https_googleads.g.doubleclick.net_0.localstorage-journal
- /data/data/####/index
- /data/data/####/metrics_guid
- /data/data/####/the-real-index
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86_64 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86_64 --instruction-set-features=default --dex-file=/data/user/0/<Package>/cache/1518650295230.jar --oat-fd=40 --oat-location=/data/user/0/<Package>/cache/1518650295230.dex --compiler-filter=speed
- /system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86_64 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86_64 --instruction-set-features=default --dex-file=/data/user/0/<Package>/cache/1518650295230.jar --oat-fd=42 --oat-location=/data/user/0/<Package>/cache/1518650295230.dex --compiler-filter=speed
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
