Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.477.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) msg.p####.5####.net:80
- TCP(HTTP/1.1) a####.exc.mob.com:80
- TCP(HTTP/1.1) pus####.5####.net:80
- TCP(HTTP/1.1) api.v2.sdk.####.cn:80
- TCP(HTTP/1.1) d####.5####.net:80
- TCP(HTTP/1.1) cr.5####.net:80
- TCP(HTTP/1.1) api.htp.hubc####.####.cn:45600
- TCP(HTTP/1.1) j####.lie####.cn:80
- TCP(HTTP/1.1) wi####.5####.net:80
- TCP(HTTP/1.1) api.sdk.f####.cn:80
- TCP(HTTP/1.1) l####.p####.5####.net:80
- TCP(HTTP/1.1) 2####.205.239.188:80
- TCP(TLS/1.0) d####.5####.net:443
- TCP(TLS/1.0) api.voic####.cn:443
- TCP(TLS/1.0) api-####.5####.net:443
- TCP(TLS/1.0) p####.ou####.com:4433
- TCP(TLS/1.0) pushhot####.5####.net:443
- TCP(TLS/1.0) abc.abcdse####.com:8888
- TCP(TLS/1.0) log####.ifl####.com:443
- TCP 1####.146.20.47:12020
- TCP 1####.168.104.254:36946
Запросы DNS:
- a####.exc.mob.com
- abc.abcdse####.com
- api-####.5####.net
- api.htp.hubc####.####.cn
- api.sdk.f####.cn
- api.v2.sdk.####.cn
- api.voic####.cn
- cr.5####.net
- d####.5####.net
- j####.lie####.cn
- l####.p####.5####.net
- log####.ifl####.com
- msg.p####.5####.net
- p####.ou####.com
- pus####.5####.net
- pushhot####.5####.net
- wi####.5####.net
- www.qsh####.com
Запросы HTTP GET:
- api.htp.hubc####.####.cn:45600/mb/external/pkg?platform=####&appid=####&...
- api.sdk.f####.cn/v2/initUrl?appId=####
Запросы HTTP POST:
- a####.exc.mob.com/errconf
- api.htp.hubc####.####.cn:45600/mb/sdk/crash/v1
- api.htp.hubc####.####.cn:45600/mb/sdk/heartbeat/v1
- api.v2.sdk.####.cn/v2/aiList
- cr.5####.net/dc/fa.do
- d####.5####.net/dc/fcompb.pgs
- j####.lie####.cn/v2/cp?appId=####
- l####.p####.5####.net/login/fa.sec
- msg.p####.5####.net/message/fa.sec
- pus####.5####.net/dc/hou.scmd
- wi####.5####.net/news-api/fn.sec
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.duid
- /data/data/####/.lock
- /data/data/####/.updateIV.dat
- /data/data/####/.vpl_lock
- /data/data/####/00O000ll111l_0.dex
- /data/data/####/00O000ll111l_1.dex
- /data/data/####/0OO00l111l1l
- /data/data/####/0OO00l111l1l.lock
- /data/data/####/1004
- /data/data/####/2086810461.jar
- /data/data/####/AdDex.4.0.1.dex
- /data/data/####/FLY_AD_SHARED.xml
- /data/data/####/LY_AD_KEY.xml
- /data/data/####/ShortVideo.xml
- /data/data/####/ThrowalbeLog.db-journal
- /data/data/####/__wk_agent_32_43.xml
- /data/data/####/__wk_agent___l.xml
- /data/data/####/__wk_agent_dcdau
- /data/data/####/__wk_agent_sdk_33.xml
- /data/data/####/__wk_agent_session.xml
- /data/data/####/adhubsdk_config.xml
- /data/data/####/antfeed.xml
- /data/data/####/bugly_db_-journal
- /data/data/####/bugly_db_yaq-journal
- /data/data/####/cn.qshower.qshow_dna.xml
- /data/data/####/crashrecord.xml
- /data/data/####/dft_pushdynamic_v5.jar
- /data/data/####/ehd4t3.lock
- /data/data/####/iflytek_collect_state.xml
- /data/data/####/init_urls.xml
- /data/data/####/libshellx-super.2019.so
- /data/data/####/local_crash_lock
- /data/data/####/log0-20191126-105452
- /data/data/####/log1.xml
- /data/data/####/mob_commons_1
- /data/data/####/mob_sdk_exception_1
- /data/data/####/native_record_lock
- /data/data/####/o0oooOO0ooOo.dat
- /data/data/####/push.xml
- /data/data/####/push_setting.xml
- /data/data/####/sdk_1.xml
- /data/data/####/security_info
- /data/data/####/settings.xml
- /data/data/####/status.json
- /data/data/####/temp_info.xml
- /data/data/####/tosversion
- /data/data/####/webview.db-journal
- /data/data/####/wk__mon_seq_main.xml
- /data/data/####/wk_push_sdk.xml
- /data/data/####/wk_u0d2i2d5.xml
- /data/data/####/wkagent_ce_2.db-journal
- /data/media/####/.artc_lock
- /data/media/####/.bs_lock
- /data/media/####/.di
- /data/media/####/.dic_lock
- /data/media/####/.du_lock
- /data/media/####/.duid
- /data/media/####/.globalLock
- /data/media/####/.gm_lock
- /data/media/####/.im_lock
- /data/media/####/.lesd_lock
- /data/media/####/.mn_1360822780
- /data/media/####/.pkg_lock
- /data/media/####/.pkgs_lock
- /data/media/####/.rc_lock
- /data/media/####/.slw
- /data/media/####/.ss_lock
- /data/media/####/1232D3E8D76FEDBAE5A6B739F99C850F
- /data/media/####/1d8d4335f6ea74be8da99823853458a9.xml
- /data/media/####/crash_2019-11-26 10;11;236.trace
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- /system/bin/sh -c getprop
- cat /sys/class/net/wlan0/address
- getprop
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.fota.version
- getprop ro.gn.sv.version
- getprop ro.miui.ui.version.name
- getprop ro.product.cpu.abi
- getprop ro.smartisan.version
- getprop ro.vivo.os.version
- ls -l /system/bin/su
Загружает динамические библиотеки:
- Bugly
- Bugly-yaq
- ehd4t3
- libshellx-super.2019
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-ECB-PKCS7Padding
- AES-GCM-NoPadding
- Des-ECB-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- AES-ECB-NoPadding
- AES-GCM-NoPadding
- Des-ECB-NoPadding
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
