Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.170
- Android.Triada.247.origin
- Android.Triada.248.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) pg.x####.com:80
- TCP(HTTP/1.1) i####.cn.com:80
- TCP(HTTP/1.1) 1####.163.249.17:80
- TCP(HTTP/1.1) bd1.g-s####.com.####.com:80
- TCP(TLS/1.0) 1####.217.20.78:443
Запросы DNS:
- bd1.g-s####.com
- i####.cn.com
- l####.i####.cc
- l.ace####.com
- mt####.go####.com
- p1.i####.cc
- pg.x####.com
Запросы HTTP GET:
- bd1.g-s####.com.####.com/ando-res/m/gqcdDd6PEh2rZvU*K7JPKeSq06v6GMZCtKJd...
- i####.cn.com/a/3f1015e9bf50ada78026b1c25e124f454
Запросы HTTP POST:
- l.ace####.com/ando/x/lis?app_id=####&r=####
- l.ace####.com/ando/x/liv?app_id=####&r=####
- pg.x####.com/api/q/a/3f1015e9bf50ada78026b1c25e124f454
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/00001.plist
- /data/data/####/00001.png
- /data/data/####/3f1015e9bf50ada78026b1c25e124f454;account_file.xml
- /data/data/####/6DnmvkwqtTetzqUmoDdo65fDVvk=.temp
- /data/data/####/8jr-J6iQrwfN_EAG7Dl1JANVs-U=.new
- /data/data/####/AK2xiwFiw60=.jar
- /data/data/####/B2Gnoq4jY1DgPTUN8IjREQ==.new
- /data/data/####/DJ7rn53orQC47RQFqz2K-x6Qq9E=.temp
- /data/data/####/Djhk0xv2bopym5e0MfePDesx6XJbEzwa.new
- /data/data/####/DnHCVjvY2hS8MR9PlSC7ZPkpA0RIwISt.new
- /data/data/####/Gc9jwXo_Xz-MTQVHGj9Jz5ULB1DOGDzhPSl-zQ==.new
- /data/data/####/GlxHo8dW7pQR85WjUYPDgg==.new
- /data/data/####/GuQ0tIspVmTS-miFoEQ4Fg==
- /data/data/####/JodjUbngAxROt6-LdFMMkIyKWqyvUgcQf6ctLZwMAtg=.new
- /data/data/####/KbLSfEaPJraaiPskN4FhItao9R3jRPe__5dv4bX4GycNOG1...ournal
- /data/data/####/KbLSfEaPJraaiPskN4FhItao9R3jRPe__5dv4bX4GycNOG1...yPlD8=
- /data/data/####/KbLSfEaPJraaiPskN4FhItao9R3jRPe__CqMZORiS8Tso5msu
- /data/data/####/KbLSfEaPJraaiPskN4FhItao9R3jRPe__CqMZORiS8Tso5msu-journal
- /data/data/####/KbLSfEaPJraaiPskN4FhItao9R3jRPe__DZIzbkqNZYZt8K...ournal
- /data/data/####/KbLSfEaPJraaiPskN4FhItao9R3jRPe__DZIzbkqNZYZt8Kklu5ZuzQ==
- /data/data/####/KbLSfEaPJraaiPskN4FhItao9R3jRPe__h8uuJDPt15FfQW...ournal
- /data/data/####/KbLSfEaPJraaiPskN4FhItao9R3jRPe__h8uuJDPt15FfQWtArF0pCA==
- /data/data/####/LVB4QPSggazZp6dt.new
- /data/data/####/MaiStore.db
- /data/data/####/MaiStore.db-journal
- /data/data/####/NNNKkaF_m2mVq64qdDqbtSlbK25ximEt.new
- /data/data/####/NvXWUHc3TQAq4pHpZIaI_NTVc2k=.new
- /data/data/####/OfGgxDGjT0TiITXIQn1060wJzlE=.new
- /data/data/####/PLVPEzFHmnMO3tAiD0oL7AI2QzoaO6LAdyDm5rpov4Y=.new
- /data/data/####/SU2dgIs57FNqlfsNa5J0BJbcOrKnl2Xa.new
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/VRZvxTGoNeqhG-mp
- /data/data/####/Wv5EphTQdxDuvspaWF5eCg==.new
- /data/data/####/ZOGv5TA1UdopN_Gt
- /data/data/####/agWGGxfQTCUoKK6NUmm9NA==.new
- /data/data/####/aim_icon.png
- /data/data/####/ani_game.ExportJson
- /data/data/####/ani_game0.plist
- /data/data/####/ani_game0.png
- /data/data/####/baidu
- /data/data/####/button.ogg
- /data/data/####/closet_mohu.png
- /data/data/####/data.dat.tmp
- /data/data/####/effect_word_1.png
- /data/data/####/effect_word_2.png
- /data/data/####/effect_word_3.png
- /data/data/####/effect_word_4.png
- /data/data/####/effect_word_5.png
- /data/data/####/effect_word_6.png
- /data/data/####/effect_word_7.png
- /data/data/####/gRzS_4Hod0CK00jAkZH1Zec_tfaZHQik.new
- /data/data/####/game_bgm.ogg
- /data/data/####/geDNBM6iEyKkEBFU_-adO0vlHB3DoG0y.new
- /data/data/####/girl_cover_1.jpg
- /data/data/####/girl_cover_2.jpg
- /data/data/####/girl_cover_3.jpg
- /data/data/####/girl_cover_4.jpg
- /data/data/####/girl_cover_5.jpg
- /data/data/####/girl_cover_6.jpg
- /data/data/####/girl_map_1.jpg
- /data/data/####/girl_map_2.jpg
- /data/data/####/girl_map_3.jpg
- /data/data/####/girl_map_4.jpg
- /data/data/####/girl_map_5.jpg
- /data/data/####/girl_map_6.jpg
- /data/data/####/girl_right_1.ogg
- /data/data/####/girl_right_2.ogg
- /data/data/####/girl_right_3.ogg
- /data/data/####/girl_right_4.ogg
- /data/data/####/girl_right_5.ogg
- /data/data/####/girl_right_6.ogg
- /data/data/####/girl_worng_1.ogg
- /data/data/####/girl_worng_2.ogg
- /data/data/####/guide_close_btn.png
- /data/data/####/gun_sp_1.png
- /data/data/####/gun_sp_2.png
- /data/data/####/hit_font.png
- /data/data/####/iY1MM-vzeCV3jq6hd8vrerArdd4=
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/kfdh.png
- /data/data/####/labelatlasimg.png
- /data/data/####/libjiagu.so
- /data/data/####/llarISz6o7qYGtQSFv7rIodmvHE=.new
- /data/data/####/main_bgm.ogg
- /data/data/####/mengban.png
- /data/data/####/mj.apk
- /data/data/####/mj.dex
- /data/data/####/mj.dex (deleted)
- /data/data/####/nTKL0weC0LNht8L0wZuS9ajJr5L-ZpPzP87LIQ==.new
- /data/data/####/pic_jk.png
- /data/data/####/pref_file.xml
- /data/data/####/pref_file.xml.bak (deleted)
- /data/data/####/rdata_comvmnsfmnb.new
- /data/data/####/runner_info.prop.new
- /data/data/####/sdk.xml
- /data/data/####/share_data.xml
- /data/data/####/share_data.xml.bak
- /data/data/####/talkingdata_app.db
- /data/data/####/talkingdata_app.db-journal
- /data/data/####/talkingdata_app_process_preferences_file
- /data/data/####/talkingdata_app_version_preferences_file
- /data/data/####/td_pefercen_profile.xml
- /data/data/####/tdid.xml
- /data/data/####/teNRc3FWXFl3Hwj84gVM9YeYods3fzSz3SIRRhyPrGo=.new
- /data/data/####/temobw_f.dex
- /data/data/####/temobw_f.zip
- /data/data/####/test_pay_icon_2.png
- /data/data/####/touming.png
- /data/data/####/ui_GameScene0.plist
- /data/data/####/ui_GameScene0.png
- /data/data/####/ui_GameScene_1.ExportJson
- /data/data/####/ui_Mainscene0.plist
- /data/data/####/ui_Mainscene0.png
- /data/data/####/ui_Mainscene_1.ExportJson
- /data/data/####/ui_fengmian0.plist
- /data/data/####/ui_fengmian0.png
- /data/data/####/ui_fengmian_1.ExportJson
- /data/data/####/ui_fhlb0.plist
- /data/data/####/ui_fhlb0.png
- /data/data/####/ui_fhlb_1.ExportJson
- /data/data/####/ui_gfs0.plist
- /data/data/####/ui_gfs0.png
- /data/data/####/ui_gfs_1.ExportJson
- /data/data/####/ui_jwsl0.plist
- /data/data/####/ui_jwsl0.png
- /data/data/####/ui_jwsl_1.ExportJson
- /data/data/####/ui_nsdhh0.plist
- /data/data/####/ui_nsdhh0.png
- /data/data/####/ui_nsdhh_1.ExportJson
- /data/data/####/ui_nsdsf0.plist
- /data/data/####/ui_nsdsf0.png
- /data/data/####/ui_nsdsf_1.ExportJson
- /data/data/####/ui_pause0.plist
- /data/data/####/ui_pause0.png
- /data/data/####/ui_pause_1.ExportJson
- /data/data/####/ui_photo0.plist
- /data/data/####/ui_photo0.png
- /data/data/####/ui_photo_1.ExportJson
- /data/data/####/ui_success0.plist
- /data/data/####/ui_success0.png
- /data/data/####/ui_success_1.ExportJson
- /data/data/####/vSDHeMzDRBunCBQ_Upl5XLtK3Dg_UC2G.new
- /data/data/####/vmvG6slrCAJw7aRKDw-T6zVOjNJJu7Hxv5DK0A==.new
- /data/data/####/webview.db
- /data/data/####/webview.db-journal
- /data/data/####/zZl7u27zPDwW6QId.zip
- /data/media/####/.tcookieid
- /data/media/####/.uunique.new
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/7dcf4895-04d5-4457-9c1f-32cf4f34d6af.res
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/r_pkDgN4OhnkSa0D
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-8430737/VRZvxTGoNeqhG-mp -p <Package> -c com.vmns.fmnb.vyrbg.a.a.d.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- sh <Package Folder>/code-8430737/VRZvxTGoNeqhG-mp -p <Package> -c com.vmns.fmnb.vyrbg.a.a.d.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- cocos2dcpp
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Получает информацию об отправленых/принятых SMS.
