Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.242.origin
- Android.SmsSend.2064.origin
- Android.Triada.248.origin
- Android.Triada.373.origin
- Android.Xiny.1513
Загружает из Интернета следующие детектируемые угрозы:
- Android.Xiny.1513
Предлагает установить сторонние приложения.
Перехватывает входящие SMS и прекращает процесс их передачи обработчикам других приложений.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) hd.a####.com:80
- TCP(HTTP/1.1) 47.1####.48.111:9013
- TCP(HTTP/1.1) 1####.159.152.136:8090
- TCP(HTTP/1.1) 1####.159.103.205:8090
- TCP(HTTP/1.1) 1####.152.193.60:8008
- TCP(HTTP/1.1) 1####.74.142.118:8152
- TCP(HTTP/1.1) sd####.cm####.com:80
- TCP(HTTP/1.1) 1####.78.31.198:8030
- TCP(HTTP/1.1) 1####.100.207.233:80
- TCP(HTTP/1.1) f.peiz####.cn:5284
- TCP(HTTP/1.1) 1####.159.180.48:8090
- TCP(HTTP/1.1) pa.yunj####.cn:8002
- TCP(HTTP/1.1) adl.a####.net:5285
- TCP(HTTP/1.1) 58.2####.68.98:8765
- TCP(HTTP/1.1) ot.prs.qin####.com:80
- TCP(HTTP/1.1) bl.c.numbero####.cn:80
- TCP(HTTP/1.1) a####.peiz####.cn:5285
- TCP(HTTP/1.1) d.angs####.com:5284
- TCP(HTTP/1.1) fy.bigb####.com:6099
- TCP(HTTP/1.1) 1####.25.187.234:8013
- TCP(HTTP/1.1) www.3####.com:8081
- TCP(HTTP/1.1) bl.r.numbero####.cn:80
- TCP(HTTP/1.1) l####.bigb####.com:6099
- TCP(HTTP/1.1) ot.grb.qin####.com:80
- TCP(HTTP/1.1) 1####.79.164.245:80
- TCP(HTTP/1.1) 2####.111.8.140:8080
- TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
- TCP d.angs####.com:9270
- TCP 2####.22.114.106:9920
Запросы DNS:
- a####.peiz####.cn
- adl.a####.net
- api.qiazhiw####.cn
- bl.c.numbero####.cn
- bl.f.numbero####.cn
- bl.i.numbero####.cn
- bl.r.numbero####.cn
- d.angs####.com
- f.peiz####.cn
- fy.bigb####.com
- ji####.dl####.com
- l####.bigb####.com
- ot.cor.qin####.com
- ot.grb.qin####.com
- ot.m.qin####.com
- ot.prs.qin####.com
- pa.yunj####.cn
- plb####.u####.com
- sd####.cm####.com
- u####.u####.com
- www.3####.com
Запросы HTTP GET:
- a####.peiz####.cn:5285/AppDownLoad/apk/downloadAPK?appId=####
- adl.a####.net:5285/dd/a/dl?appId=####
- hd.a####.com/jieplginf/djmdeta29x
Запросы HTTP POST:
- bl.c.numbero####.cn/q3265Xdk/E60g
- bl.r.numbero####.cn/J7Izocp1/FMc7
- bl.r.numbero####.cn/SlAybZh1/rXfV
- bl.r.numbero####.cn/m3fb2crQ/MSfQ
- bl.r.numbero####.cn/m3fb2crQ/a4Xd
- bl.r.numbero####.cn/q3265Xdk/E60g
- d.angs####.com:5284/android.frontserver/collect/error
- f.peiz####.cn:5284/android.frontserver/pcsvc
- f.peiz####.cn:5284/android.frontserver/pcsvc?r=####
- fy.bigb####.com:6099/aps/
- l####.bigb####.com:6099/aps/
- ot.grb.qin####.com/JBVZVr/niyaei
- ot.grb.qin####.com/ei6VRb/nvpXut
- ot.grb.qin####.com/zIFvYr/o4UbgN
- ot.prs.qin####.com/7ziimi/vuL5LR
- pa.yunj####.cn:8002/pps
- sd####.cm####.com/behaviorLogging/eventLogging/accept
- sd####.cm####.com/behaviorLogging/eventLogging/acceptCommon.do
- www.3####.com:8081/e/mmc
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.edata
- /data/data/####/.imprint
- /data/data/####/1572933792182
- /data/data/####/1572933806921
- /data/data/####/4oUStKpfN_Af8zWPtawM0SlzG0g=.new
- /data/data/####/8Z-IV74S5Q-SPZJ4Z_4gH5FWH0HKXfIL.new
- /data/data/####/DslSjVGqi_etLQyxwSfTFMcsaT2Cag_Z_o6C6LFUPHrFUJArv-journal
- /data/data/####/F85C58A2196623557E8A00D8A4680702
- /data/data/####/GfmQpvGO8-N9BzRSmq-6Og==.new
- /data/data/####/JiePay.xml
- /data/data/####/NCzdQXGXe40hu1Ow
- /data/data/####/NorPay_SP.xml
- /data/data/####/NtPwqyJ6zLn8zPK1CnbpZA==.new
- /data/data/####/R_LXo33HyIzLRD3y.new
- /data/data/####/UM_PROBE_DATA.xml
- /data/data/####/VBjUHTMD77Zwd2pUhVwKx9wtJ7o=.new
- /data/data/####/VxnDXMabrHpGjZHM.dex
- /data/data/####/VxnDXMabrHpGjZHM.zip
- /data/data/####/XinZF.xml
- /data/data/####/XinZF_conf.xml
- /data/data/####/XinZFsmspay.db
- /data/data/####/XinZFsmspay.db-journal
- /data/data/####/a4b645a09e1352ed9a43ff469655db6d_3_1_5.dex
- /data/data/####/a4b645a09e1352ed9a43ff469655db6d_3_1_5.zip.tmp
- /data/data/####/a==8.0.2&&3.2_1572933792529_envelope.log
- /data/data/####/a==8.0.2&&3.2_1572933806990_envelope.log
- /data/data/####/app_test.apk
- /data/data/####/app_test.dex (deleted)
- /data/data/####/buntutu_data_s.xml
- /data/data/####/cCache.xml
- /data/data/####/cds.xml
- /data/data/####/classes.dex
- /data/data/####/classes.dve
- /data/data/####/classes.jar
- /data/data/####/com.SecShell.tmp2129
- /data/data/####/com.SecShell.tmp2300
- /data/data/####/com.SecShell.tmp2601
- /data/data/####/com.SecShell.tmp3129
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTcyOTMzNzkyMDc5;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTcyOTMzODA0NzQ3;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTcyOTMzODI0MDY1;
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/fmoonStore.db
- /data/data/####/fmoonStore.db-journal
- /data/data/####/fx.xml
- /data/data/####/i==1.2.0&&3.2_1572933792108_envelope.log
- /data/data/####/i==1.2.0&&3.2_1572933804768_envelope.log
- /data/data/####/i==1.2.0&&3.2_1572933824089_envelope.log
- /data/data/####/info.xml
- /data/data/####/jiepay_config.xml
- /data/data/####/jiepayplugin.apk
- /data/data/####/jiepayplugin.apkdata
- /data/data/####/jiepayplugin.dex
- /data/data/####/jiepaysmspay.db
- /data/data/####/jiepaysmspay.db-journal
- /data/data/####/kb_idle.ini
- /data/data/####/mm_nw_app.xml
- /data/data/####/one.dex
- /data/data/####/onePayV3.xml
- /data/data/####/order_sp.xml
- /data/data/####/qb2VllXXbsOolGGtXoEd6A==.new
- /data/data/####/qs.db
- /data/data/####/qs.db-journal
- /data/data/####/qs_LcCache.xml
- /data/data/####/rdata_comtmiowuhf.new
- /data/data/####/sbzauq_f.dex
- /data/data/####/sbzauq_f.zip
- /data/data/####/t==8.0.2&&3.2_1572933792407_envelope.log
- /data/data/####/tkgDhhWE3R0vFwR6HldkZQ==
- /data/data/####/uIum1kVwcIBdMVR5qFau_A==
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/ugmarssp.xml
- /data/data/####/uid.f
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_location.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/ydutl.cf
- /data/data/####/zdbdd.dex
- /data/data/####/zdbdd.jar
- /data/data/####/{6109AB2B-769CFABF}_{AEF2A7F3-0EBBFE27}.P2
- /data/data/####/{AEF2A7F3-0EBBFE27}.P1
- /data/data/####/{AEF2A7F3-0EBBFE27}.P3
- /data/local/####/buntutu_daemon
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.umm.dat
- /data/media/####/.uunique.new
- /data/media/####/0C3E1782C1F853AF.jar.i
- /data/media/####/0C3E1782C1F853AFwh.jar
- /data/media/####/1B3A2967E5FD862EFD957606C65C8122
- /data/media/####/2887A00B589C85A5FF5607D7EB45E7C8
- /data/media/####/30592A6B8B0C769E3F7FDE6E1A033DF5
- /data/media/####/buntutu.jaru
- /data/media/####/cc.dat
- /data/media/####/kb_idle.ini
- /data/media/####/kv_cf.ini
- /data/media/####/pConifg.ini
- /data/media/####/plugin.apk
- /data/media/####/sysid.dat
- /data/media/####/z.jar
- /data/media/####/{BE2355DB-D785E335}.PC1
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- /system/bin/su
- app_process system/bin com.google.provider.vendor.tool.Main /storage/emulated/0/goog1e/data/plugin.apk
- cat /sys/block/mmcblk0/device/cid
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.version
- getprop ro.yunos.version
- ls -l /system/bin/su
- ls /
- ls /sys/class/thermal
- sh
- sh -c cat /sys/block/mmcblk0/device/cid
- sh -c cat /sys/class/net/wlan0/address
Загружает динамические библиотеки:
- SecShell
- engine
- fporpoise
- game
- libSecShell-x86
- n884e6
- plugManager
Использует следующие алгоритмы для шифрования данных:
- AES
- AES-CBC-PKCS7Padding
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-PKCS7Padding
- DES-CBC-PKCS5Padding
Использует повышенные привилегии.
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из SMS.
Получает информацию об отправленых/принятых SMS.
