Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.906.origin
- Android.RemoteCode.256.origin
Загружает из Интернета следующие детектируемые угрозы:
- Android.DownLoader.906.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ott.h####.com:8071
- TCP(HTTP/1.1) de.gtp.xy####.com:8844
- TCP(HTTP/1.1) cdn.info####.me:80
- TCP(HTTP/1.1) s####.jom####.com:80
- TCP(HTTP/1.1) down####.ikanc####.com:80
- TCP(HTTP/1.1) co####.ssp.adoc####.com:80
- TCP(HTTP/1.1) log.gtp.xy####.com:80
- TCP(HTTP/1.1) vvv.focusd####.cn:80
- TCP(HTTP/1.1) j####.g####.vip:80
- TCP(HTTP/1.1) api.g####.vip:80
- TCP(HTTP/1.1) d####.f####.top:8080
- TCP(HTTP/1.1) i.ist####.com:8071
- TCP(HTTP/1.1) ff.s####.com:8080
- TCP(HTTP/1.1) p####.api.adoc####.com:80
- TCP(HTTP/1.1) m.ss####.com:80
- TCP(HTTP/1.1) ts.ikanc####.com:80
- TCP(HTTP/1.1) res2####.xqk####.com:80
- TCP(HTTP/1.1) r.ist####.com:8071
- TCP(HTTP/1.1) z.c####.com:80
- TCP(HTTP/1.1) tin####.c####.l####.####.com:80
- TCP(HTTP/1.1) down####.baiyuns####.com:80
- TCP(HTTP/1.1) yun.b####.com:80
- TCP(HTTP/1.1) p.ist####.com:8071
- TCP(HTTP/1.1) php.sho####.com:80
- TCP(HTTP/1.1) r1.baiyuns####.com:80
- TCP(HTTP/1.1) api.yunco####.com:80
- TCP(HTTP/1.1) api.adoc####.com:80
- TCP(HTTP/1.1) p####.sho####.com:80
- TCP(SSL/3.0) w####.jd.com:443
- TCP(TLS/1.0) 1####.217.17.46:443
- TCP(TLS/1.0) s.ikanc####.com:443
- TCP(TLS/1.0) f####.3.cn:443
- TCP(TLS/1.0) wl.jd.com.####.com:443
- TCP(TLS/1.0) u.j####.com:443
- TCP(TLS/1.0) i####.jd.com:443
- TCP(TLS/1.0) ur####.jd.com:443
- TCP(TLS/1.0) api.adoc####.com:443
- TCP(TLS/1.0) api.info####.me:443
- TCP(TLS/1.0) i####.j####.com:443
- TCP(TLS/1.0) m.j####.com:443
- TCP(TLS/1.0) w####.jd.com:443
- TCP(TLS/1.0) m####.m.jd.com:443
- TCP(TLS/1.0) st.ji####.com.####.com:443
- TCP(TLS/1.0) api.g####.vip:443
- TCP(TLS/1.0) gd.a.s####.com:443
- TCP(TLS/1.0) ts.ikanc####.com:443
Запросы DNS:
- api.adoc####.com
- api.g####.vip
- api.info####.me
- api.s####.b####.com
- api.yunco####.com
- cdn####.f####.top
- cdn.info####.me
- co####.ssp.adoc####.com
- d####.f####.top
- de.gtp.xy####.com
- down####.baiyuns####.com
- down####.ikanc####.com
- f####.3.cn
- ff.s####.com
- h####.c####.com
- i####.360bu####.com
- i####.360bu####.com
- i####.jd.com
- i.ist####.com
- im####.jd.com
- j####.g####.vip
- lg.ca####.com
- log.gtp.xy####.com
- m####.m.jd.com
- m.360bu####.com
- m.j####.com
- m.ss####.com
- ott.h####.com
- p####.api.adoc####.com
- p####.sho####.com
- p####.zhanz####.b####.com
- p.ist####.com
- php.sho####.com
- pv.s####.com
- r.ist####.com
- r1.baiyuns####.com
- res2####.xqk####.com
- s.ikanc####.com
- st.360bu####.com
- st.ji####.com
- ts.ikanc####.com
- u.j####.com
- ur####.jd.com
- v.h####.com
- vvv.focusd####.cn
- w####.jd.com
- w####.jd.com
- w####.jd.com
- wq####.jd.com
- wq.360bu####.com
- yun.b####.com
- z12.c####.com
- z3.c####.com
- z6.c####.com
Запросы HTTP GET:
- api.adoc####.com/api/v2/mgmConfig?channelCode=####&version=####
- api.adoc####.com/api/v2/mgmWebviewRatioConfig?channelCode=####&version=#...
- api.g####.vip/landing_with_phy.js
- cdn.info####.me/files/1904b1af30cb9bf1beb4dc4e5d8ecf25
- co####.ssp.adoc####.com/api/v2/SDKCommonConfig?channelCode=####&version=...
- d####.f####.top:8080/ttad/api/getAd/yrGJFOioPACCsKoHXvjzqA==
- down####.baiyuns####.com/cy.js
- down####.baiyuns####.com/jquery.lazyload.min.js
- down####.baiyuns####.com/jquery.min.js
- down####.ikanc####.com/resikanapk/sg_SDK_200111_release_1578727929000.jar
- ff.s####.com:8080/ttad/api/jv5/yrGJFOioPACCsKoHXvjzqA==/c159657daa503498...
- j####.g####.vip/xw.js
- m.ss####.com/mbook_images/header-back.gif
- m.ss####.com/mbook_images/header-backhome.gif
- m.ss####.com/mbook_js/common.js
- m.ss####.com/mbook_js/index.js
- m.ss####.com/mbook_js/read.js
- m.ss####.com/mbook_js/stat.js
- m.ss####.com/mbook_js/yuedu.js
- m.ss####.com/mbook_js/zepto.min.js
- m.ss####.com/mbxw/21016/175_1.html
- m.ss####.com/mbxw/21140/636.html
- m.ss####.com/mbxw/21360/409.html
- m.ss####.com/mbxw/21417/
- m.ss####.com/mbxw/22879/430_1.html
- p####.api.adoc####.com/ip
- res2####.xqk####.com//15/5/我不是五五开/cover.jpg
- s####.jom####.com/push.js
- s####.jom####.com/s.gif?r=####&l=####
- tin####.c####.l####.####.com/TTT050_0023.y
- ts.ikanc####.com/j
- vvv.focusd####.cn/ad/v1/log.action?action=####&package=####&channel=####...
- yun.b####.com/pw/70777777.jpg
- yun.b####.com/pw/765f73646b.jpg
- yun.b####.com/tz/6173.jpg
- yun.b####.com/xtz/3258749305.ico
- z.c####.com/stat.htm?id=####&cnzz_eid=####
Запросы HTTP POST:
- api.yunco####.com/service/rest
- de.gtp.xy####.com:8844/Device/info/
- de.gtp.xy####.com:8844/favicon.ico
- de.gtp.xy####.com:8844/i?ts=####
- i.ist####.com:8071/6.0.1/1510864978/1
- log.gtp.xy####.com/sdk
- ott.h####.com:8071/api/10
- p####.sho####.com/index.php?r=####
- p.ist####.com:8071/1
- p.ist####.com:8071/7
- php.sho####.com/index.php?r=####
- r.ist####.com:8071/6.0.1/163832107/2
- r1.baiyuns####.com/service/rest
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.ef0b4ddacc046d054f437ba0af966623
- /data/data/####/2a02b077baa09b3b178b64e03536627e.xml
- /data/data/####/6901029832
- /data/data/####/9618302918.xml
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/IM.xml
- /data/data/####/IM.xml.bak
- /data/data/####/SMF.xml
- /data/data/####/app.manager-journal
- /data/data/####/bfb0e63a6c4e352158be3df98d18dae5.xml
- /data/data/####/btBox.xml
- /data/data/####/cfg.config.service.xml
- /data/data/####/cfg.database.ad-journal
- /data/data/####/config.service.xml
- /data/data/####/data.zip
- /data/data/####/data.zip (deleted)
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/download.info
- /data/data/####/download.tmp
- /data/data/####/dwsawwsjb.data-journal
- /data/data/####/dwscsdss.data-journal
- /data/data/####/f83ac72b93bd48ec5c33124b7c4b689e.jar
- /data/data/####/f83ac72b93bd48ec5c33124b7c4b689e.jar_tempfile1
- /data/data/####/f83ac72b93bd48ec5c33124b7c4b689e.jar_tempfile2
- /data/data/####/f83ac72b93bd48ec5c33124b7c4b689e.jar_tempfile3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/im.database.ad-journal
- /data/data/####/index
- /data/data/####/inter.xml
- /data/data/####/m2.jar
- /data/data/####/m3.jar
- /data/data/####/m4.jar
- /data/data/####/m5.jar
- /data/data/####/m6.jar
- /data/data/####/m7.jar
- /data/data/####/owsedza.xml
- /data/data/####/plugin.xml
- /data/data/####/rq_file.xml
- /data/data/####/rq_p.xml
- /data/data/####/sub_group_db-journal
- /data/data/####/sunn.jar
- /data/data/####/sunn.tmp (deleted)
- /data/data/####/sunn.x
- /data/data/####/swiekghf.data-journal
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/wedwsax.xml
- /data/data/####/wivdesf.xml
- /data/media/####/.6173.apk
- /data/media/####/.70777777.apk
- /data/media/####/.765f73646b.apk
- /data/media/####/.ef0b4ddacc046d054f437ba0af966623
- /data/media/####/.nomedia
- /data/media/####/date40003000700
- /data/media/####/pidfile.txt
Другие:
Запускает следующие shell-скрипты:
- cat /proc/bus/input/devices
- getprop
- getprop ro.build.display.id
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.build.display.id
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- DES-ECB-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
