Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.4567
- Android.Triada.541.origin
Детект на основе машинного обучения.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 13.2####.16.115:8081
- TCP(HTTP/1.1) w0####.iw####.com:12038
- TCP(HTTP/1.1) jz####.mc####.com:12029
- TCP(HTTP/1.1) w####.xiaoshu####.net:80
- TCP(HTTP/1.1) qs####.1k####.com:11027
- TCP(HTTP/1.1) d0####.98####.com:10091
- TCP(HTTP/1.1) ks####.3q####.com:12038
- TCP(HTTP/1.1) 1####.255.201.144:80
- TCP(TLS/1.0) w####.xiaoshu####.net:443
Запросы DNS:
- d0####.98####.com
- jz####.mc####.com
- ks####.3q####.com
- qs####.1k####.com
- w####.xiaoshu####.net
- w0####.iw####.com
Запросы HTTP GET:
- w####.xiaoshu####.net/0807/dt_jz/zhizhijie915.jar
Запросы HTTP POST:
- d0####.98####.com:10091/wisdom/marking
- jz####.mc####.com:12029/lfkdnr/
- ks####.3q####.com:12038/neisdop/
- qs####.1k####.com:11027/kd92kx/
- qs####.1k####.com:11027/mskeww/
- w0####.iw####.com:12038/iowncjk/
- w0####.iw####.com:12038/pwjdaae/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/0437750A541C5BE283568783752E76EF.xml
- /data/data/####/6B59C67F4E3E07A0E22570B1D54BDC87.xml
- /data/data/####/6B59C67F4E3E07A0E22570B1D54BDC87.xml.bak
- /data/data/####/8083FF58735015297E7624C9CFAC3D8C.xml
- /data/data/####/data.jar
- /data/data/####/gameid
- /data/data/####/gameid.zip
- /data/data/####/gl.xml
- /data/data/####/gphdbbwr.jar
- /data/data/####/libzkus.so
- /data/data/####/libzkus.so-32
- /data/data/####/libzkus.so-64
- /data/data/####/m2020071317.apk
- /data/data/####/neSgIn.jar
- /data/data/####/ocbk.png
- /data/data/####/s2020071317.apk
- /data/data/####/sp_rqrkyv.xml
- /data/data/####/sp_rungyy.xml
- /data/data/####/swzq.xml
- /data/data/####/temp.zip (deleted)
- /data/data/####/ver.ini.xml
- /data/data/####/yd_config_c.xml
- /data/media/####/.sgnr
- /data/media/####/.udusid
- /data/media/####/.uldw
- /data/media/####/0ABA8ECB6A1D6D3B51F6626A2166A64A
- /data/media/####/45BF4E4CCCFB8CFAE7A080BA6489F131
- /data/media/####/76D82F05AA57CF2BDED8F107F2B98AF8.jar
- /data/media/####/76D82F05AA57CF2BDED8F107F2B98AF8.temp
- /data/media/####/BDBF12365CCD83E099A7C01B9D82C398.jar
- /data/media/####/BDBF12365CCD83E099A7C01B9D82C398.temp
- /data/media/####/uhtv
- /data/media/####/zpm
Другие:
Запускает следующие shell-скрипты:
- cat /proc/version
- cat /sys/class/net/wlan0/address
- getprop
- getprop ro.board.platform
- getprop ro.product.cpu.abi
- getprop ro.yunos.build.version
Загружает динамические библиотеки:
- BookInit
- libzkus
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES
- RSA-None-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
- RSA-None-PKCS1Padding
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
