Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.226.origin
- Android.Triada.248.origin
- Android.Triada.382.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) 58.2####.181.35:80
- TCP(HTTP/1.1) loc.map.b####.com:80
Запросы DNS:
- l.ace####.com
- loc.map.b####.com
- mt####.go####.com
- www.d####.net
Запросы HTTP POST:
- l.ace####.com/ando/v1/x/ap?app_id=####&r=####
- l.ace####.com/ando/v1/x/lv?app_id=####&r=####
- l.ace####.com/ando/v1/x/qa?app_id=####&r=####
- loc.map.b####.com/sdk.php
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-NMaI_jgIKWBIYv6BIawBg-OC7s=
- /data/data/####/7Oc8QoyqeuwaC_YrcLVW-DUbHzY=.new
- /data/data/####/8362ba8e-a44c-42db-89e6-decad1e520bb.pic
- /data/data/####/8NTlbssV3tLjmX_4X9tLEbcKnE0KbiGL.new
- /data/data/####/9lzTRsjv5-xcXUdgOF3UswA1egk=.new
- /data/data/####/AEN9smjv5rqHSWqvsCNgyPtteGrMk49j.new
- /data/data/####/BqUvQ5pTbPNBtpkvfEuFU8OmTF8=.new
- /data/data/####/G23FQ4JweM6zWy2Aum_7BKlNqvQ=.new
- /data/data/####/INSTALLATION
- /data/data/####/MZ0ndCUwKgxmcBSEPjkqDQeG5JDH4WaM.new
- /data/data/####/NbmywH82ur-IEK--TdgkPg==.new
- /data/data/####/PYzzokFnKLM7dY33.new
- /data/data/####/Qv5-sZ2_BLCs2dFCmpWlav1HASxMlaEj.new
- /data/data/####/UzAppStorage.xml
- /data/data/####/VkZjz5Z-VvyJCshBPbz9tA==.new
- /data/data/####/W_5CZFQq-bTn4_hYZbbnZA==.new
- /data/data/####/XOx-Qbjbt31OfuP8LUA4JfZmmZE8PeG5.new
- /data/data/####/XTInh7RFch78T1dE1gTiFw==
- /data/data/####/YNz_rV8Flc2Yq8A7
- /data/data/####/a21zqmC_HqX-vvYzLtLmJ8a6Wk8=.new
- /data/data/####/aH-cLZctqpfmHDOu
- /data/data/####/aH-cLZctqpfmHDOu.temp
- /data/data/####/com.dyl.pay.ui.apk
- /data/data/####/d4dde193-b217-42be-84ce-0d1ba18d75fa.pic.temp
- /data/data/####/dXGA-oy868Bw8-MkmLYzJmiYJUhHbf0w.new
- /data/data/####/data.dat.tmp
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/dwiRxcozi4KBu48iljnEYBh8tTu27QcciTjgzQ==.new
- /data/data/####/eVtzTa7lHxMJc3mN2--smLD7ItdJlzeo5d6abdYQaBQ=.new
- /data/data/####/file__0.localstorage-journal
- /data/data/####/hyiag_f.zip
- /data/data/####/i0LSjfm6KOsK8CoNDLZE-VqwL6hfMWE5b1fH0g==.new
- /data/data/####/index
- /data/data/####/jWOEvdwiFhzYOR_auvGhaTwqxqHyY8HuGtOb5G3YbfE=.new
- /data/data/####/jji.uacmh.isqkm_preferences.xml
- /data/data/####/kuCDo3p5N6UPzBCrcDpDFokCo9ZzniRy.new
- /data/data/####/oPvXgiFtNvEwGDD2d2BGoq3UaigZp-rrEjj7N9AXJlM=.new
- /data/data/####/rdata_cnsoorqlqz.new
- /data/data/####/runner_info.prop.new
- /data/data/####/s9UGF9LRdP_oRt7uJrfeMZn9ew-P3InF_2DRqW3D3GJxgtG...ournal
- /data/data/####/s9UGF9LRdP_oRt7uJrfeMZn9ew-P3InF_2DRqW3D3GJxgtGyQH9hjZg==
- /data/data/####/s9UGF9LRdP_oRt7uJrfeMZn9ew-P3InF_A-mORBpbkPxNdw...ournal
- /data/data/####/s9UGF9LRdP_oRt7uJrfeMZn9ew-P3InF_A-mORBpbkPxNdw5JaGGUhQ==
- /data/data/####/s9UGF9LRdP_oRt7uJrfeMZn9ew-P3InF_JG_1Jr0WtbU=-journal
- /data/data/####/s9UGF9LRdP_oRt7uJrfeMZn9ew-P3InF_Q-7BMU95OL3fD6GT
- /data/data/####/s9UGF9LRdP_oRt7uJrfeMZn9ew-P3InF_Q-7BMU95OL3fD6GT-journal
- /data/data/####/s9UGF9LRdP_oRt7uJrfeMZn9ew-P3InF_rElBBl1HVKeAP5...2oQzQ=
- /data/data/####/s9UGF9LRdP_oRt7uJrfeMZn9ew-P3InF_rElBBl1HVKeAP5...ournal
- /data/data/####/tL4ALCmmLIw974fQ0peNkJaDy0QA3KDyTw5ijerG3iI=.new
- /data/data/####/u17NPHnQx_5OnQXs.zip
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/data/####/xos1UM-PC9r7yAZukzvmFf9UppGBc2sX.new
- /data/data/####/zFprM5kD4rdfnuocdTDuFsrshQTfL-ewoG3aug==.new
- /data/media/####/.nomedia
- /data/media/####/.uunique
- /data/media/####/.uunique.new
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/INSTALLATION
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/bf6676a1-6e21-42b7-9495-8472ec6eb405.res
- /data/media/####/qshp_3002_2230.zip
- /data/media/####/r_pkDgN4OhnkSa0D
- /data/media/####/tw
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-9869234/YNz_rV8Flc2Yq8A7 -p <Package> -c cn.soor.qlqz.bfmxaw.a.a.c.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- sec
Использует следующие алгоритмы для расшифровки данных:
- DES
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Получает информацию об отправленых/принятых SMS.
