Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.1007.origin
- Android.RemoteCode.6122
- Android.Triada.4567
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) prelo####.hishen####.com.####.com:80
- TCP(HTTP/1.1) cdn-pre####.yige####.com:80
- TCP(HTTP/1.1) c####.s9####.com:10278
- TCP(HTTP/1.1) c####.6k####.com:10238
- TCP(HTTP/1.1) x####.me####.com:10248
- TCP(HTTP/1.1) prelo####.p####.com:5500
- TCP(HTTP/1.1) y####.k8####.com:80
- TCP(HTTP/1.1) d0####.98####.com:10091
- TCP(TLS/1.0) 1####.217.168.206:443
Запросы DNS:
- c####.6k####.com
- c####.s9####.com
- cdn-pre####.yige####.com
- d0####.98####.com
- prelo####.hishen####.com
- prelo####.p####.com
- x####.me####.com
- y####.k8####.com
Запросы HTTP GET:
- cdn-pre####.yige####.com/project_preloaded/714a9a8c139346a4be321e0a8333d...
- cdn-pre####.yige####.com/project_preloaded/b518394b98d240c3b63b491446cb1...
- prelo####.hishen####.com.####.com/project_preloaded/a5551a3fbc574012bac2...
- y####.k8####.com/dtjz/sealugin20200810.zip
- y####.k8####.com/hwyw/daomiwocwxa.zip
- y####.k8####.com/hwyw/stahwsdomj.zip
- y####.k8####.com/yingyong/TxyaoWUt.zip
- y####.k8####.com/zhuti/DydoWdt.zip
- y####.k8####.com/zhuti/Tdswewwt.zip
- y####.k8####.com/zhuti/YDosdmwee910.zip
- y####.k8####.com/zhuti/h5swn92.zip
- y####.k8####.com/zhuti/tesxdayow3.zip
Запросы HTTP POST:
- c####.6k####.com:10238/2ejolc/
- c####.6k####.com:10238/dts57h/
- c####.6k####.com:10238/z2s8gh/
- c####.s9####.com:10278/42elke/
- c####.s9####.com:10278/jn9zpb/
- d0####.98####.com:10091/wisdom/marking
- prelo####.p####.com:5500/api-log-server/thirdPlugin/save
- prelo####.p####.com:5500/api-plugin-jar/newUser
- prelo####.p####.com:5500/api-plugin-jar/selfUpdate/jars
- prelo####.p####.com:5500/api-plugin-jar/thirdPlugin/jars
- x####.me####.com:10248/iysyxb/
- x####.me####.com:10248/ng1fxo/
- x####.me####.com:10248/pauumd/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/8C8F552939218D4D55F5ACC7505AE2C6.xml
- /data/data/####/9145E4178974FEAFB084264767F30932.xml
- /data/data/####/E796DC7A583043BFD4849DB0067F31E4.xml
- /data/data/####/VpsSDK.jar
- /data/data/####/_p.xml
- /data/data/####/_sh.xml
- /data/data/####/abjfddqd.jar
- /data/data/####/ezcp.xml
- /data/data/####/gameid
- /data/data/####/gameid.zip
- /data/data/####/libjvbc.so
- /data/data/####/libjvbc.so-32
- /data/data/####/libjvbc.so-64
- /data/data/####/libzxvps_32.so
- /data/data/####/libzxvps_64.so
- /data/data/####/proxy.db
- /data/data/####/proxy.db-journal
- /data/data/####/sp_arnub.xml
- /data/data/####/uJElORL.jar
- /data/data/####/unknown.xml
- /data/data/####/wzdb.png
- /data/data/####/yd_config_c.xml
- /data/media/####/.cg
- /data/media/####/.gjuwpnpjlgwszw
- /data/media/####/.lsw
- /data/media/####/.vauid
- /data/media/####/09CC684A4871315ECC6A394C38035B8C.temp
- /data/media/####/09CC684A4871315ECC6A394C38035B8C.zip
- /data/media/####/18D2BDF851B3D54D30A689702D485215
- /data/media/####/1E35218B9AF9C57135B16A4A39BB6F61
- /data/media/####/1EAA24560312A3CC2E05225C7E26FD4A
- /data/media/####/242CB7B15C8571D4EA3D3E825CCE2CC5.temp
- /data/media/####/242CB7B15C8571D4EA3D3E825CCE2CC5.zip
- /data/media/####/40A86C2EA21EA4504497A8ADAAEB17F0.temp
- /data/media/####/40A86C2EA21EA4504497A8ADAAEB17F0.zip
- /data/media/####/94188390D04D316CDC42C8F3C9EBD0D6
- /data/media/####/9946738B07E0F9E0AAAFDE3323FA5564.temp
- /data/media/####/9946738B07E0F9E0AAAFDE3323FA5564.zip
- /data/media/####/9CB1A6E4D648445606B0163794106BDA.temp
- /data/media/####/9CB1A6E4D648445606B0163794106BDA.zip
- /data/media/####/AD5D7BB34056BA64BCDFF2EA0307785E.temp
- /data/media/####/AD5D7BB34056BA64BCDFF2EA0307785E.zip
- /data/media/####/C25B398A9DE2EAA24D35A63A9F51DFE4
- /data/media/####/DB5A95E683AFEC0C559EE7A52930E7B8
- /data/media/####/E36FAB93CB4E285016833DFC4CB2FC55.jar
- /data/media/####/E36FAB93CB4E285016833DFC4CB2FC55.temp
- /data/media/####/EA463EE35D35053E84058554191CA8D8
- /data/media/####/EC91560CA356425EB0D9841482766AA1.jar
- /data/media/####/EC91560CA356425EB0D9841482766AA1.temp
- /data/media/####/F64197105664311EBD965F4C32BFDC12
- /data/media/####/F796F85C2055B41F852E763D93DFD91C
- /data/media/####/FC61E9C5908E3F36154C8245A6E61BBB.temp
- /data/media/####/FC61E9C5908E3F36154C8245A6E61BBB.zip
- /data/media/####/_pn
- /data/media/####/_shn
- /data/media/####/device
- /data/media/####/dvc
Другие:
Запускает следующие shell-скрипты:
- cat /proc/version
- cat /sys/class/net/wlan0/address
- getprop
- getprop ro.board.platform
- getprop ro.product.cpu.abi
- getprop ro.yunos.build.version
Загружает динамические библиотеки:
- instabc
- libjvbc
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- DES
- RSA-None-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- DES
- RSA-None-PKCS1Padding
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
