Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.205.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) downl####.51####.cn:80
- TCP(HTTP/1.1) img.al####.com:80
- TCP(HTTP/1.1) 1####.226.187.16:80
- TCP(HTTP/1.1) cmsst####.dat####.com.####.cn:80
- TCP(HTTP/1.1) wild####.dat####.com.####.cn:80
- TCP(HTTP/1.1) app####.ff####.com.####.cn:80
- TCP(HTTP/1.1) 60.2####.13.58:80
- TCP(TLS/1.0) app####.ff####.com.####.cn:443
- TCP(TLS/1.0) ironban####.m.ta####.com:443
- TCP(TLS/1.0) cmsst####.dat####.com.####.cn:443
- TCP(TLS/1.0) h5.m.ta####.com:443
- TCP(TLS/1.0) s.c####.ta####.com:443
- TCP(TLS/1.0) na61-####.wagbr####.adverti####.####.com:443
- TCP(TLS/1.0) af.al####.com:443
- TCP(TLS/1.0) gm.mm####.com:443
- TCP(TLS/1.0) api.tui####.b####.com:443
- TCP(TLS/1.0) secgw-n####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) g.al####.com:443
- TCP(TLS/1.0) img.al####.com:443
- TCP(TLS/1.0) log.mm####.com:443
- TCP 39.1####.152.220:18183
Запросы DNS:
- af.al####.com
- api.tui####.b####.com
- app####.ff####.com
- cdn.zs####.cn
- cmsst####.dat####.com
- downl####.51####.cn
- g.al####.com
- gd1.al####.com
- gd2.al####.com
- gd3.al####.com
- gw.al####.com
- h####.m.ta####.com
- h5.m.ta####.com
- img.al####.com
- log.mm####.com
- mos.m.ta####.com
- s.c####.ta####.com
- thumb####.dat####.com
- u####.ta####.com
- wgo.mm####.com
- y####.al####.org
Запросы HTTP GET:
- app####.ff####.com.####.cn/atopic/ffdf87a15c556274/?app_id=####
- app####.ff####.com.####.cn/image/mrbj.png
- app####.ff####.com.####.cn/image/nine.png
- app####.ff####.com.####.cn/image/ranking_and_neww_6.png
- app####.ff####.com.####.cn/image/sxyg.png
- app####.ff####.com.####.cn/index.php?r=####&app_id=####
- app####.ff####.com.####.cn/js/jquery-1.11.1.min.js
- cmsst####.dat####.com.####.cn//web/images/rolling.gif?v=####
- downl####.51####.cn/atopic/ffdf87a15c556274/?app_id=####
- downl####.51####.cn/css/editor.css?v=####
- downl####.51####.cn/css/editor_common.css?v=####
- downl####.51####.cn/index.php?r=####&app_id=####
- downl####.51####.cn/js/editor.js?v=####
- downl####.51####.cn/js/jquery-1.11.1.min.js
- img.al####.com/imgextra/i2/3831559386/O1CN01jNSi972JCq3f6LUsk_!!0-item_p...
Запросы HTTP POST:
- 1####.226.187.16/
- wild####.dat####.com.####.cn/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/0a82f0dfb5499d38f3aad09bb52677864c51a26369b9dba....0.tmp
- /data/data/####/1616d5a1e1111d7c5c451e32bff04da9ed03ef90c637239....0.tmp
- /data/data/####/20eb0e1f8fb86d11200e909326c6871b240a33aded2445e....0.tmp
- /data/data/####/3a06c3e6caf09b6f42ff21f98cf6e3e5cae60fe25bc7808....0.tmp
- /data/data/####/3a06c3e6caf09b6f42ff21f98cf6e3e5cae60fe25bc7808...935f.0
- /data/data/####/3fad9107c0630e924ab39781ccf404ef336ba38141e40e7....0.tmp
- /data/data/####/41a08377dc30c868f1176e230d2113d789f464cb03abf18....0.tmp
- /data/data/####/57I.zip
- /data/data/####/67434eaaf35407d119f035409476130c5aa0328f617457d....0.tmp
- /data/data/####/6ac83081f9c025cfbf06e019f16078a8aaf8d18aaf2ab99....0.tmp
- /data/data/####/7b4ca273efffc75468a4e6776b6f0d850a298f82755febb....0.tmp
- /data/data/####/82a682350ccfc4d6ef2f3be96f0977b164e6103942b0177....0.tmp
- /data/data/####/83eaf35af74d96dcbbd3935631a842b9f590463c38e0a49....0.tmp
- /data/data/####/8ab361a5a671a07bb7f81c4fc341d35cb7bee35068911d0....0.tmp
- /data/data/####/92e9bd42696ae2ca777f01e70bedb742d353771a4061f37....0.tmp
- /data/data/####/AppConfigFirst.xml
- /data/data/####/DownloadAppHelper.xml
- /data/data/####/PopControllerHelper.xml
- /data/data/####/PostAppInfoHelper.xml
- /data/data/####/PushInitHelper.xml
- /data/data/####/PushIntentHelper.xml
- /data/data/####/ViewThemesHelper.xml
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_last_session.json
- /data/data/####/a94734069cbed3b56d07c4ad6d99eb443bb8f102e70534c....0.tmp
- /data/data/####/b001a9918c1c7b48479d325be68aadcd510c34ef5ba57b2....0.tmp
- /data/data/####/com.baidu.pushservice.BIND_CACHE.xml
- /data/data/####/com.baidu.pushservice.app_stat.xml
- /data/data/####/com.datdgahw.asdga.push_sync.xml
- /data/data/####/d4454d2e7554fdb122e7c303519719206f57d1b6a6a361a....0.tmp
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/dataoke.db-journal
- /data/data/####/dtk_stat_log.db
- /data/data/####/dtk_stat_log.db-journal
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/f_00000c
- /data/data/####/f_00000d
- /data/data/####/f_00000e
- /data/data/####/f_00000f
- /data/data/####/f_000010
- /data/data/####/f_000011
- /data/data/####/f_000012
- /data/data/####/f_000013
- /data/data/####/f_000014
- /data/data/####/f_000015
- /data/data/####/f_000016
- /data/data/####/f_000017
- /data/data/####/f_000018
- /data/data/####/f_000019
- /data/data/####/f_00001a
- /data/data/####/f_00001b
- /data/data/####/f_00001c
- /data/data/####/f_00001d
- /data/data/####/f_00001e
- /data/data/####/f_00001f
- /data/data/####/f_000020
- /data/data/####/f_000021
- /data/data/####/f_000022
- /data/data/####/f_000023
- /data/data/####/f_000024
- /data/data/####/f_000025
- /data/data/####/f_000026
- /data/data/####/f_000027
- /data/data/####/f_000028
- /data/data/####/f_000029
- /data/data/####/f_00002a
- /data/data/####/f_00002b
- /data/data/####/f_00002c
- /data/data/####/f_00002d
- /data/data/####/f_00002e
- /data/data/####/f_00002f
- /data/data/####/f_000030
- /data/data/####/f_000031
- /data/data/####/f_000032
- /data/data/####/f_000033
- /data/data/####/f_000034
- /data/data/####/f_000035
- /data/data/####/f_000036
- /data/data/####/f_000037
- /data/data/####/f_000038
- /data/data/####/f_000039
- /data/data/####/f_00003a
- /data/data/####/f_00003b
- /data/data/####/f_00003c
- /data/data/####/f_00003d
- /data/data/####/f_00003e
- /data/data/####/f_00003f
- /data/data/####/f_000040
- /data/data/####/f_000041
- /data/data/####/fa0119646a92186ddee8aef2a890a288ecb15aa6aeed849....0.tmp
- /data/data/####/index
- /data/data/####/journal.tmp
- /data/data/####/libcuid.so
- /data/data/####/multidex.version.xml
- /data/data/####/pst.xml
- /data/data/####/pushinfo.db
- /data/data/####/pushinfo.db-journal
- /data/data/####/pushstat_6.0.0.db
- /data/data/####/pushstat_6.0.0.db-journal
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.confd
- /data/media/####/.confd-journal
- /data/media/####/.cuid2
- /data/media/####/.info
- /data/media/####/.timestamp
Другие:
Запускает следующие shell-скрипты:
- getprop ro.build.display.id
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.smartisan.version
- getprop ro.vivo.os.version
Загружает динамические библиотеки:
- bdpush_V2_9
Использует следующие алгоритмы для шифрования данных:
- AES
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CFB-NoPadding
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
