Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.859.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) lenovdo####.c####.l####.####.com:80
- TCP(HTTP/1.1) m.d####.mob.com:80
- TCP(HTTP/1.1) c.d####.mob.com:80
- TCP(HTTP/1.1) a####.exc.mob.com:80
- TCP(HTTP/1.1) t####.dmp.y####.net:80
- TCP(HTTP/1.1) s.y####.net:80
- TCP(HTTP/1.1) pi####.qq.com:80
- TCP(HTTP/1.1) o####.b####.cn:80
- TCP(TLS/1.0) ssl.gst####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) 1025228####.dd.cdn####.com:443
- TCP(TLS/1.0) www.go####.nl:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) adser####.go####.com:443
Запросы DNS:
- 1025228####.dd.cdn####.com
- 12.nd####.y####.com
- a####.exc.mob.com
- adser####.go####.com
- c.d####.mob.com
- m.d####.mob.com
- o####.b####.cn
- o####.b####.cn
- pi####.qq.com
- s####.gw.y####.net
- s.y####.net
- sdk.st####.y####.com
- ssl.gst####.com
- t####.dmp.y####.net
- www.go####.com
- www.go####.nl
- www.gst####.com
Запросы HTTP GET:
- lenovdo####.c####.l####.####.com/core/aos-dex/1911/83214/16fa39af
- lenovdo####.c####.l####.####.com/core/aos-so/1911/83206/a83f59bf.so
- m.d####.mob.com/v4/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
- s.y####.net/aos/v3/initf?s=####
- s.y####.net/stat/aos/v3/pkc?s=####
- s.y####.net/stat/aos/v3/pku?s=####
- s.y####.net/stat/v3/udt2?appid=####&s=####
Запросы HTTP POST:
- a####.exc.mob.com/errconf
- c.d####.mob.com/v3/cdata
- o####.b####.cn/8/find
- o####.b####.cn/8/init
- o####.b####.cn/8/secret
- pi####.qq.com/mstat/report/?index=####
- t####.dmp.y####.net/v1/android/packages?rt=####&sign=####
- t####.dmp.y####.net/v2/android/pkgtime?rt=####&sign=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.lock
- /data/data/####/3fb23a854c5cdc43bad351dde7f9d87c
- /data/data/####/3fb23a854c5cdc43bad351dde7f9d87c-journal
- /data/data/####/C0XKJAO3JLZKJPDKJFXLINQCJIOAOD.xml
- /data/data/####/CE94557724F842149D690D0E8CBB1CBD.xml
- /data/data/####/P15pKIjsm64m
- /data/data/####/P15pKIjsm64m-journal
- /data/data/####/T1oX0rhhuXWt
- /data/data/####/T1oX0rhhuXWt-journal
- /data/data/####/XKwVoK0huy3R
- /data/data/####/XKwVoK0huy3R-journal
- /data/data/####/bdae718725623d28d9fffd8974c00e16
- /data/data/####/bdae718725623d28d9fffd8974c00e16-journal
- /data/data/####/bmob_sp.xml
- /data/data/####/com.example.wenyu1.mid.world.ro.xml
- /data/data/####/com.example.wenyu1_preferences.xml
- /data/data/####/e84cca8f9a258e8ae514dd3838172e29
- /data/data/####/e84cca8f9a258e8ae514dd3838172e29-journal
- /data/data/####/jqIqJYOT3JpT
- /data/data/####/jqIqJYOT3JpT-journal
- /data/data/####/libabcdefgh.so.new
- /data/data/####/libjiagu351269436.so
- /data/data/####/mob_commons_1
- /data/data/####/mob_sdk_exception_1
- /data/data/####/pri_tencent_analysis.db_com.example.wenyu1-journal
- /data/data/####/temp_info.xml
- /data/data/####/temp_info1.xml
- /data/data/####/tencent_analysis.db_com.example.wenyu1-journal
- /data/data/####/top_time_0
- /data/data/####/wIU6pTyUBYWX
- /data/data/####/wIU6pTyUBYWX-journal
- /data/data/####/wsUL1uCdKvjD
- /data/data/####/wsUL1uCdKvjD-journal
- /data/data/####/ymdex.jar
- /data/data/####/ymdex.jar.new
- /data/data/####/z.so
- /data/media/####/.artc_lock
- /data/media/####/.dh-journal
- /data/media/####/.dhlock
- /data/media/####/.di
- /data/media/####/.dic_lock
- /data/media/####/.duid
- /data/media/####/.globalLock
- /data/media/####/.iew
- /data/media/####/.mps
- /data/media/####/.nomedia
- /data/media/####/.nulplt
- /data/media/####/.pkg_lock
- /data/media/####/.rcTag
- /data/media/####/.rc_lock
- /data/media/####/.slw
- /data/media/####/54b2a589f1d9bd701c8805d832332de6.apk
- /data/media/####/DXTX902KJZX9JASLDJF
- /data/media/####/DXTX902KJZX9JASLDJF.ymtf
- /data/media/####/SOX90123JSOALK2098SD
- /data/media/####/SOX90123JSOALK2098SD.ymtf
- /data/media/####/i42d45df023jnkdd93la483f9xGFKXI
- /data/media/####/s92TjjdfoP2n3o9dfji2l9s1olkjf0p
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- /system/bin/cat /sys/devices/system/cpu/kernel_max
- chmod 755 <Package Folder>/.jiagu/libjiagu351269436.so
- sh
Загружает динамические библиотеки:
- MtaNativeCrash_v2
- abcdefgh
- libjiagu351269436
- neh
- z
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS7Padding
- DES
- PBEWITHMD5andDES
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-NoPadding
- DES
- PBEWITHMD5andDES
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
