Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.BankBot.125
- Android.DownLoader.554.origin
- Android.DownLoader.972.origin
- Android.Spy.373.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) api.g####.com:80
- TCP(HTTP/1.1) ual.u####.a####.com:80
- TCP(HTTP/1.1) sdk.and####.com:80
- TCP(HTTP/1.1) mult####.ug####.com:28077
- TCP(HTTP/1.1) 1####.56.234.77:80
- TCP(HTTP/1.1) u####.a####.com:80
- TCP(HTTP/1.1) ma####.img.a####.####.cn:80
- TCP(TLS/1.0) 1####.217.168.238:443
Запросы DNS:
- api.g####.com
- cdn.yucha####.com
- cf.gdata####.net
- csk.mc####.com
- ma####.apk.a####.com
- msg.u####.a####.com
- mt####.go####.com
- mult####.ug####.com
- rd.gdata####.net
- sdk.and####.com
- sdk.yucha####.com
- u####.a####.com
- ual.u####.a####.com
- wap.zsz####.com
- www.a####.com
- xxa####.funu####.com
Запросы HTTP GET:
- api.g####.com/js.php
- ma####.img.a####.####.cn/data4/patch/201811/06/1541495405_4694_150284853...
Запросы HTTP POST:
- api.g####.com/ucsdk.php
- mult####.ug####.com:28077/
- sdk.and####.com/dow.php
- sdk.and####.com/init.php?t=####
- sdk.and####.com/n.php?t=####
- sdk.and####.com/new_add.php?t=####
- u####.a####.com/web/sdk/v4/randomLoginname
- ual.u####.a####.com/web/sdk/v4/ual
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-3734_com.anzhi.usercenter.single.plugin.apk.go
- /data/data/####/-3734_com.anzhi.usercenter.single.plugin.apk.tmp
- /data/data/####/69303
- /data/data/####/adhmcfg-journal
- /data/data/####/adhmcfg_ke-journal
- /data/data/####/anChina_Province_city_zone
- /data/data/####/anlth.xml
- /data/data/####/anzhi_SDK.xml
- /data/data/####/az_download.db-journal
- /data/data/####/az_ucdb-journal
- /data/data/####/azuc_config.xml.xml
- /data/data/####/b.gif
- /data/data/####/bvozezlurpz.xml
- /data/data/####/cds.xml
- /data/data/####/cfg_qq_stat.xml
- /data/data/####/cjl.jar
- /data/data/####/cnm.apk
- /data/data/####/com.anzhi.usercenter.single.plugin.apk.raw
- /data/data/####/com.mars.fzdzz.anzhi.v2.playerprefs.xml
- /data/data/####/cur_ver_file.xml
- /data/data/####/dataeye_database_FE406BFD580CA64EE16DB9C954091E...ournal
- /data/data/####/dataeye_database_FE406BFD580CA64EE16DB9C954091EFB.db
- /data/data/####/dc.FE406BFD580CA64EE16DB9C954091EFB.preferences.xml
- /data/data/####/dom.db
- /data/data/####/dom.db-journal
- /data/data/####/down.db
- /data/data/####/down.db-journal
- /data/data/####/fjlo
- /data/data/####/hm361_ds.jar
- /data/data/####/hm361_s_p297.dat
- /data/data/####/hm_ad361_hotcfg.xml
- /data/data/####/hm_ad361_kecfg.xml
- /data/data/####/isPower.xml
- /data/data/####/iyup.jar
- /data/data/####/lamr
- /data/data/####/lkie
- /data/data/####/marsprefile.xml
- /data/data/####/mtDedat
- /data/data/####/mtEndat
- /data/data/####/mt_paythird.jar
- /data/data/####/mt_support.jar
- /data/data/####/mta_cfg_db-journal
- /data/data/####/nhl.dex (deleted)
- /data/data/####/nhl.jar
- /data/data/####/qwcs
- /data/data/####/savedata.db
- /data/data/####/savedata.db-journal
- /data/data/####/webview.db-journal
- /data/data/####/wo.jar
- /data/data/####/wula.xml
- /data/media/####/2gHv7vTM+XrrbawuT9puBTR!@#33TM6C8+FaCwGT7M650o=
- /data/media/####/anzhi_push
- /data/media/####/anzhi_push-journal
- /data/media/####/azuc_single_plugin_3734
- /data/media/####/bvozezlurpz.xml
- /data/media/####/log.txt
- /data/media/####/scity.txt
- /data/media/####/ucenter
- /data/media/####/ucenter-journal
- /data/media/####/uid
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh
- ls -l /sbin/su
- ls -l /system/bin/su
- ls -l /system/sbin/su
- ls -l /system/xbin/su
- ls -l /vendor/bin/su
Загружает динамические библиотеки:
- AudioPluginMsHRTF
- AudioPluginOculusSpatializer
- fpgame
- libAudioPluginOculusSpatializer
- libbspatch_az
- main
- megjb
Использует следующие алгоритмы для шифрования данных:
- AES
- DESede
- RSA-None-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- DES
- DES-CBC-PKCS5Padding
- DESede
- RSA-None-PKCS1Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из SMS.
