Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.906.origin
- Android.Triada.4567
- Android.Triada.482.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) s####.jom####.com:80
- TCP(HTTP/1.1) gm.mm####.com:80
- TCP(HTTP/1.1) j####.g####.vip:80
- TCP(HTTP/1.1) api.g####.vip:80
- TCP(HTTP/1.1) api.lubang####.com:80
- TCP(HTTP/1.1) kou####.a####.top:80
- TCP(HTTP/1.1) 47.1####.211.73:80
- TCP(HTTP/1.1) pm.gydon####.com:8006
- TCP(HTTP/1.1) c.c####.com:80
- TCP(HTTP/1.1) www.5####.cn:80
- TCP(HTTP/1.1) pco####.ta####.com:80
- TCP(HTTP/1.1) tt####.vni####.com:20147
- TCP(HTTP/1.1) www.78####.cc:80
- TCP(HTTP/1.1) api.gug####.com:8935
- TCP(HTTP/1.1) z.c####.com:80
- TCP(HTTP/1.1) jp####.njt####.com:10091
- TCP(HTTP/1.1) 4####.51.37.76:80
- TCP(HTTP/1.1) nsc####.b####.com:80
- TCP(HTTP/1.1) yq####.jn####.ltd:80
- TCP(HTTP/1.1) 1####.228.95.185:80
- TCP(HTTP/1.1) m.pali####.com:80
- TCP(HTTP/1.1) down####.baiyuns####.com:80
- TCP(HTTP/1.1) e4####.0r####.com:10293
- TCP(HTTP/1.1) js.wangy####.cn:80
- TCP(HTTP/1.1) pg####.d2####.com:10273
- TCP(HTTP/1.1) m.36####.cc:80
- TCP(HTTP/1.1) api.yunco####.com:80
- TCP(SSL/3.0) c####.k####.me:443
- TCP(TLS/1.0) www.yuanf####.com:443
- TCP(TLS/1.0) z.c####.com:443
- TCP(TLS/1.0) q####.zhanggu####.com.####.com:443
- TCP(TLS/1.0) c####.k####.me:443
- TCP(TLS/1.0) gm.mm####.com:443
- TCP(TLS/1.0) www.k####.info:443
- TCP(TLS/1.0) c.c####.com:443
- TCP(TLS/1.0) api.g####.vip:443
- TCP(TLS/1.0) fw.privat####.com:443
- TCP(TLS/1.0) gd.a.s####.com:443
Запросы DNS:
- 4s####.8c####.com
- api.g####.vip
- api.gug####.com
- api.lubang####.com
- api.s####.b####.com
- api.yunco####.com
- b####.s####.b####.com
- c####.k####.me
- c####.mm####.com
- c.c####.com
- down####.baiyuns####.com
- e4####.0r####.com
- fw.privat####.com
- j####.g####.vip
- jp####.njt####.com
- jpg.mengbin####.com
- js.wangy####.cn
- kou####.a####.top
- m.36####.cc
- m.pali####.com
- nsc####.b####.com
- p####.zhanz####.b####.com
- pco####.c####.com
- pg####.d2####.com
- pm.gydon####.com
- pv.s####.com
- q####.zhanggu####.com
- s23.c####.com
- s5.c####.com
- tt####.vni####.com
- www.5####.cn
- www.78####.cc
- www.k####.info
- www.yuanf####.com
- yq####.jn####.ltd
- z5.c####.com
- z6.c####.com
- z9.c####.com
Запросы HTTP GET:
- api.g####.vip/cy.js
- api.g####.vip/landing_with_phy.js
- c.c####.com/core.php?web_id=####&t=####
- c.c####.com/z_stat.php?id=####
- down####.baiyuns####.com/365kan/static/css/fonts/iconfont.svg
- down####.baiyuns####.com/365kan/static/css/fonts/iconfont.ttf
- down####.baiyuns####.com/365kan/static/css/style.css
- down####.baiyuns####.com/cy.js
- down####.baiyuns####.com/jquery.min.js
- gm.mm####.com/9.gif?abc=####&rnd=####
- j####.g####.vip/kan.js
- js.wangy####.cn/adnull.js
- kou####.a####.top/kouling.json
- m.36####.cc/movie/hKTmZUL5R0f7UR.html
- m.36####.cc/play/play.html
- m.36####.cc/static/css/list.css
- m.36####.cc/static/css/play.css
- m.36####.cc/static/css/toolbar.css
- m.36####.cc/static/images/logo.png
- m.36####.cc/static/images/weixinfu.jpg
- m.36####.cc/static/images/zhifubao.jpg
- m.36####.cc/static/js/jquery.min.js
- m.36####.cc/static/js/main.js
- m.36####.cc/tv/QLNrb07lRWHsNH.html
- m.pali####.com/mbook_922/3506_1.html
- m.pali####.com/mbook_images/header-back.gif
- m.pali####.com/mbook_images/header-backhome.gif
- m.pali####.com/mbook_js/common.js
- m.pali####.com/mbook_js/index.js
- m.pali####.com/mbook_js/read.js
- m.pali####.com/mbook_js/solid_ad.js
- m.pali####.com/mbook_js/yuedu.js
- m.pali####.com/mbook_js/zepto.min.js
- nsc####.b####.com/v.gif?pid=####&type=####&sign=####&desturl=####&linkid...
- nsc####.b####.com/v.gif?pid=307&type=3075&l=51667&t=0&s=51667&v=1580&f=0...
- pco####.ta####.com/app.gif?&cna=####
- pm.gydon####.com:8006/apk/img/gg/1576636324.gif
- s####.jom####.com/push.js
- s####.jom####.com/s.gif?r=####&l=####
- s####.jom####.com/s.gif?r=http://m.365kan.cc/film.html?cat=####&pageno=#...
- s####.jom####.com/static/api/css/share_style1_32.css
- s####.jom####.com/static/api/img/share/icons_1_32.png?v=####
- s####.jom####.com/static/api/js/base/tangram.js?v=####
- s####.jom####.com/static/api/js/component/partners.js?v=####
- s####.jom####.com/static/api/js/share.js?v=89860593.js?cdnversion=####
- s####.jom####.com/static/api/js/share/api_base.js
- s####.jom####.com/static/api/js/share/share_api.js?v=####
- s####.jom####.com/static/api/js/trans/logger.js?v=####
- s####.jom####.com/static/api/js/view/share_view.js?v=####
- s####.jom####.com/static/api/js/view/view_base.js
- s####.jom####.com/v.gif
- www.5####.cn/images/loading388.gif
- yq####.jn####.ltd/sy/fdvdar
- yq####.jn####.ltd/zz/401jkmhjhwy.zip
- z.c####.com/stat.htm?id=####&r=####&lg=####&ntime=####&cnzz_eid=####&sho...
Запросы HTTP POST:
- api.gug####.com:8935/
- api.lubang####.com/domain.php
- api.lubang####.com/srp.php
- api.yunco####.com/service/rest
- e4####.0r####.com:10293/widlth/
- e4####.0r####.com:10293/xkeila/
- jp####.njt####.com:10091/wisdom/marking
- pg####.d2####.com:10273/dvjnzt/
- pg####.d2####.com:10273/rnggno/
- pg####.d2####.com:10273/tzvntp/
- tt####.vni####.com:20147/dijc1v/
- www.78####.cc/index/backend/pro_data
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.__mob_ad_data.xml
- /data/data/####/.__mob_ad_data.xml.bak
- /data/data/####/44367F39739CCD6BBF960E91E7DB78B2.xml
- /data/data/####/4B8DB6B83129A65A2EF4DCFC1393C3B0.xml
- /data/data/####/8EAD111D030291821E19A80E344C340A.xml
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/ApplicationCache.db-journal (deleted)
- /data/data/####/XkdjsIx132mM356507059351895comm.xml
- /data/data/####/XkdjsIx132mMskey1.xml
- /data/data/####/_p.xml
- /data/data/####/_sh.xml
- /data/data/####/com.z.hhwks.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/gameid
- /data/data/####/gameid.zip
- /data/data/####/index
- /data/data/####/libpuuqlu.so
- /data/data/####/libpuuqlu.so-32
- /data/data/####/libpuuqlu.so-64
- /data/data/####/mkv.xml
- /data/data/####/oqoyet.png
- /data/data/####/smgnmovc.jar
- /data/data/####/umengCache_17.jar
- /data/data/####/umengDown5_2.jar
- /data/data/####/umeng_down13_2.jar
- /data/data/####/umeng_down18.jar
- /data/data/####/umeng_down25.jar
- /data/data/####/umeng_down3.jar
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/yd_config_c.xml
- /data/media/####/.YiAds.log
- /data/media/####/.YiAds_Net.log
- /data/media/####/.lju
- /data/media/####/.usdis
- /data/media/####/1723D6044EA97DA846C4E3A2E2999116.jar
- /data/media/####/1723D6044EA97DA846C4E3A2E2999116.temp
- /data/media/####/226C6D0262EDF21275151A3830CCD201.temp
- /data/media/####/6067CD2BC58AF269E2045AB73920FC13
- /data/media/####/_pn
- /data/media/####/_shn
Другие:
Запускает следующие shell-скрипты:
- cat /proc/cpuinfo
- cat /proc/version
- cat /sys/class/net/wlan0/address
- getprop
- getprop ro.board.platform
- getprop ro.product.cpu.abi
Загружает динамические библиотеки:
- libpuuqlu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- DES
- DES-CBC-PKCS5Padding
- RSA-None-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- DES
- DES-CBC-PKCS5Padding
- RSA-None-PKCS1Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
