Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.893.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 1####.43.187.176:7001
- TCP(HTTP/1.1) 1####.43.165.32:8080
- TCP(HTTP/1.1) a####.umengc####.com.####.com:80
- TCP(HTTP/1.1) m####.k####.cn:80
- TCP(HTTP/1.1) i####.k####.k####.####.com:80
- TCP(HTTP/1.1) ip.3####.cn:80
- TCP(HTTP/1.1) gd.a.s####.com:80
- TCP(HTTP/1.1) tv.k####.cn:80
- TCP(HTTP/1.1) a####.u####.com.####.com:80
- TCP(HTTP/1.1) open####.b####.com:80
- TCP(TLS/1.0) cdn.ad####.com:443
- UDP 60.28.2####.13:80
Запросы DNS:
- a####.u####.com
- a####.umengc####.com
- cdn.ad####.com
- i####.k####.k####.cn
- ip.3####.cn
- m####.k####.cn
- open####.b####.com
- pv.s####.com
- tv.k####.cn
Запросы HTTP GET:
- gd.a.s####.com/cityjson
- i####.k####.k####.####.com/star/ksing/mah0/pic/2016/12/14/09ded2b8-befc-...
- i####.k####.k####.####.com/star/ksing/mah0/pic/2016/12/14/5b18e573-a5ae-...
- i####.k####.k####.####.com/star/ksing/mah1/pic/2016/12/14/11d35804-12c1-...
- i####.k####.k####.####.com/star/ksing/mah1/pic/2016/12/14/afc6c483-a132-...
- i####.k####.k####.####.com/star/ksing/mah3/pic/2016/12/14/280af045-906b-...
- i####.k####.k####.####.com/star/ksing/mah7/pic/2016/12/14/7f4ad126-ace1-...
- i####.k####.k####.####.com/star/ksing/mah9/pic/2016/12/14/c065ff2d-1d11-...
- ip.3####.cn/IPShare/info
- m####.k####.cn/regsvr.auth?1####&XwgED1R####
- open####.b####.com/api.php?query=####&resource_id=####&oe=####
- tv.k####.cn/tvkge/mconfig.htm?appname=####&androidTV=####&version=####&c...
- tv.k####.cn/tvkge/musichome.htm?appname=####&androidTV=####&version=####...
Запросы HTTP POST:
- a####.u####.com.####.com/app_logs
- a####.umengc####.com.####.com/app_logs
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/0B40545C53.jar.119418f66e1c472678b2bef014528389
- /data/data/####/0B465D5D50.dex
- /data/data/####/0B465D5D50.jar
- /data/data/####/0a50e0dce415e49fd400a6c1379684ea
- /data/data/####/358734d2b0014b2d674a586bb63e89fc
- /data/data/####/3acdcf6e2746272cedc579da55823e8d
- /data/data/####/AndroidManifest.xml
- /data/data/####/MANIFEST.MF
- /data/data/####/activity_author_main_2.xml
- /data/data/####/activity_launcher_summary.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/ccdx
- /data/data/####/cn.kuwo.music.tv_preferences.xml
- /data/data/####/dialog_author_content_2.xml
- /data/data/####/dialog_content.xml
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f635a1e0566a63250320a5e82a5a05ae
- /data/data/####/fywdl2
- /data/data/####/kwmusictv.db-journal
- /data/data/####/multidex.version.xml
- /data/data/####/no_notice.mp3
- /data/data/####/otto-v60.so
- /data/data/####/resources.arsc
- /data/data/####/selector_btn_2.xml
- /data/data/####/selector_dialog_btn.xml
- /data/data/####/selector_item.xml
- /data/data/####/shape_btn_fouces_2.xml
- /data/data/####/shape_btn_nofouces_2.xml
- /data/data/####/shape_content_bg_2.xml
- /data/data/####/shape_desktop_bg.xml
- /data/data/####/shape_mask_bg.xml
- /data/data/####/shape_pro_ring.xml
- /data/data/####/shape_tag_bg.xml
- /data/data/####/share_date.xml
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_cache_1598043485376.env
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/xml.jar
- /data/media/####/-1071126001.tmp
- /data/media/####/-173658457.tmp
- /data/media/####/-193275373.tmp
- /data/media/####/-1969449456.tmp
- /data/media/####/-99523206.tmp
- /data/media/####/1089330262.tmp
- /data/media/####/1837370945.tmp
- /data/media/####/MAIN_DATA
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/.temp/fywdl2 <Package Folder>/files/.temp/hello2 am startservice --user 0 -a com.google.ACTION.service -n <Package>/tv.heiferd.yvlw.RmcbAofy
- chmod 777 <Package Folder>/files/.temp/otto-v60.so
- sh
- sh <Package Folder>/files/.temp/fywdl2 <Package Folder>/files/.temp/hello2 am startservice --user 0 -a com.google.ACTION.service -n <Package>/tv.heiferd.yvlw.RmcbAofy
Загружает динамические библиотеки:
- RSSupportIO
- librsjni
- otto-v60
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
- RSA
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
