Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.242.origin
- Android.SmsSend.2064.origin
- Android.Triada.248.origin
- Android.Triada.373.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 1####.159.180.48:8090
- TCP(HTTP/1.1) 1####.78.31.198:8030
- TCP(HTTP/1.1) adl.a####.net:5285
- TCP(HTTP/1.1) bl.f.numbero####.cn:80
- TCP(HTTP/1.1) hd.a####.com:80
- TCP(HTTP/1.1) www.3####.com:8081
- TCP(HTTP/1.1) bl.r.numbero####.cn:80
- TCP(HTTP/1.1) l####.bigb####.com:6099
- TCP(HTTP/1.1) ji####.jieme####.com:8152
- TCP(HTTP/1.1) ot.grb.qin####.com:80
- TCP(HTTP/1.1) g####.mc####.com:9013
- TCP(HTTP/1.1) ot.prs.qin####.com:80
- TCP(HTTP/1.1) 1####.159.152.136:8090
- TCP(HTTP/1.1) fy.bigb####.com:6099
- TCP(HTTP/1.1) bl.c.numbero####.cn:80
- TCP(HTTP/1.1) a####.on####.club:80
- TCP(HTTP/1.1) 1####.100.207.231:80
- TCP(HTTP/1.1) 1####.159.103.205:8090
- TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
- TCP d.angs####.com:9270
Запросы DNS:
- a####.on####.club
- adl.a####.net
- api.qiazhiw####.cn
- bl.c.numbero####.cn
- bl.f.numbero####.cn
- bl.i.numbero####.cn
- bl.r.numbero####.cn
- d.angs####.com
- fy.bigb####.com
- g####.mc####.com
- ifse####.mc####.com
- ji####.dl####.com
- ji####.jieme####.com
- l####.bigb####.com
- nfsjar####.funu####.com
- ot.cor.qin####.com
- ot.grb.qin####.com
- ot.m.qin####.com
- ot.prs.qin####.com
- plb####.u####.com
- u####.u####.com
- w####.cns####.com
- www.3####.com
Запросы HTTP GET:
- a####.on####.club/fileupload/4356fc9d78033b29.jar
- adl.a####.net:5285/dd/a/dl?appId=####
- hd.a####.com/jieplginf/djmdeta29x
Запросы HTTP POST:
- bl.c.numbero####.cn/q3265Xdk/E60g
- bl.f.numbero####.cn/J7Izocp1/FMc7
- bl.f.numbero####.cn/SlAybZh1/rXfV
- bl.r.numbero####.cn/J7Izocp1/FMc7
- bl.r.numbero####.cn/m3fb2crQ/MSfQ
- bl.r.numbero####.cn/m3fb2crQ/a4Xd
- bl.r.numbero####.cn/q3265Xdk/E60g
- fy.bigb####.com:6099/aps/
- g####.mc####.com:9013/nfs/nf_s/u_j
- ji####.jieme####.com:8152/ryf_webserver/payment/checkupdate.html
- l####.bigb####.com:6099/aps/
- ot.grb.qin####.com/JBVZVr/niyaei
- ot.grb.qin####.com/ei6VRb/nvpXut
- ot.grb.qin####.com/zIFvYr/o4UbgN
- ot.prs.qin####.com/7ziimi/vuL5LR
- www.3####.com:8081/e/mmc
Изменения в файловой системе:
Создает следующие файлы:
- /data/anr/traces.txt
- /data/data/####/.edata
- /data/data/####/.imprint
- /data/data/####/1577215287108
- /data/data/####/1577215315843
- /data/data/####/1577215335004
- /data/data/####/DCvnrIxBso3IxxaH.zip
- /data/data/####/FCw8RgZzCzTfIfpeJQFHkw==.new
- /data/data/####/FgEnqpQgq19zzQ5SQH1M0A==
- /data/data/####/JiePay.xml
- /data/data/####/NorPay_SP.xml
- /data/data/####/UM_PROBE_DATA.xml
- /data/data/####/XinZF.xml
- /data/data/####/XinZF_conf.xml
- /data/data/####/XinZFsmspay.db
- /data/data/####/XinZFsmspay.db-journal
- /data/data/####/a4b645a09e1352ed9a43ff469655db6d_3_1_5.zip.tmp
- /data/data/####/app_test.apk
- /data/data/####/cCache.xml
- /data/data/####/cds.xml
- /data/data/####/classes.dex
- /data/data/####/classes.dve
- /data/data/####/classes.jar
- /data/data/####/com.SecShell.tmp2133
- /data/data/####/com.SecShell.tmp2244
- /data/data/####/com.SecShell.tmp2363
- /data/data/####/com.SecShell.tmp2411
- /data/data/####/com.SecShell.tmp2499
- /data/data/####/com.SecShell.tmp2610
- /data/data/####/com.SecShell.tmp2655
- /data/data/####/com.SecShell.tmp2804
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTc3MjE1Mjg3MTE5;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTc3MjE1MzE1ODQ4;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTc3MjE1MzM1MDQ1;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTc3MjE1MzUyMjk4;
- /data/data/####/dzj76ctPpifiSJgo
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f2RitGLUiPtXGnEjRR9Crg==
- /data/data/####/fmoonStore.db
- /data/data/####/fmoonStore.db-journal
- /data/data/####/i==1.2.0&&3.0.0_1577215287155_envelope.log
- /data/data/####/info.xml
- /data/data/####/jiepay_config.xml
- /data/data/####/jiepayplugin.apk
- /data/data/####/jiepayplugin.apkdata
- /data/data/####/jiepaysmspay.db
- /data/data/####/jiepaysmspay.db-journal
- /data/data/####/mqf.bdGUnLq.TSmD_preferences.xml
- /data/data/####/one.dex
- /data/data/####/onePayV3.xml
- /data/data/####/order_sp.xml
- /data/data/####/qs_LcCache.xml
- /data/data/####/r-OntYAlxZV0igH6oc1edQ==.new
- /data/data/####/sbzauq_f.zip
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/ugmarssp.xml
- /data/data/####/uid.f
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_location.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/ydutl.cf
- /data/data/####/zdbdd.jar
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.umm.dat
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- ls /
- ls /sys/class/thermal
- sh -c cat /sys/block/mmcblk0/device/cid
- sh -c cat /sys/class/net/wlan0/address
Загружает динамические библиотеки:
- SecShell
- engine
- fporpoise
- gdx
- libSecShell-x86
- n884e6
- plugManager
Использует следующие алгоритмы для шифрования данных:
- AES
- AES-CBC-PKCS7Padding
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-PKCS7Padding
- DES-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из SMS.
Получает информацию об отправленых/принятых SMS.
