Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.4567
- Android.Triada.510.origin
Детект на основе машинного обучения.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) y####.k8####.com:80
- TCP(HTTP/1.1) w0####.iw####.com:12038
- TCP(HTTP/1.1) jz####.mc####.com:12029
- TCP(HTTP/1.1) w####.xiaoshu####.net:80
- TCP(HTTP/1.1) qs####.1k####.com:11027
- TCP(HTTP/1.1) ks####.3q####.com:12038
- TCP(HTTP/1.1) 1e####.23####.com:11027
- TCP(HTTP/1.1) api.applove####.com:80
- TCP(HTTP/1.1) api.dc.tkcre####.com:80
- TCP(HTTP/1.1) V2####.98####.com:10091
- TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) al####.u####.com:443
Запросы DNS:
- 1e####.23####.com
- V2####.98####.com
- api.applove####.com
- api.dc.tkcre####.com
- jz####.mc####.com
- ks####.3q####.com
- plb####.u####.com
- qs####.1k####.com
- u####.u####.com
- w####.xiaoshu####.net
- w0####.iw####.com
- y####.k8####.com
Запросы HTTP GET:
- api.applove####.com/api/v3/template/get?slot_id=####&update_time=####&us...
- w####.xiaoshu####.net/0807/dt_jz/shulshd908.jar
- w####.xiaoshu####.net/0815/app-release_2.zip
- y####.k8####.com/dtjz/start_YYAgbaPhsCvUXUN_8780_0010_dex.jar
Запросы HTTP POST:
- 1e####.23####.com:11027/mskeww/
- V2####.98####.com:10091/wisdom/marking
- api.dc.tkcre####.com/v1/sdklog
- jz####.mc####.com:12029/hfdlls/
- jz####.mc####.com:12029/i3v8nb/
- jz####.mc####.com:12029/lfkdnr/
- ks####.3q####.com:12038/iowncjk/
- ks####.3q####.com:12038/neisdop/
- ks####.3q####.com:12038/pwjdaae/
- qs####.1k####.com:11027/kd92kx/
- w0####.iw####.com:12038/iowncjk/
- w0####.iw####.com:12038/pwjdaae/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/0437750A541C5BE283568783752E76EF.xml
- /data/data/####/6B59C67F4E3E07A0E22570B1D54BDC87.xml
- /data/data/####/8083FF58735015297E7624C9CFAC3D8C.xml
- /data/data/####/UM_PROBE_DATA.xml
- /data/data/####/XYxjwmC.jar
- /data/data/####/afbb.xml
- /data/data/####/bi.xml
- /data/data/####/com.wagd.xiaoan_ct_default.xml
- /data/data/####/dW1weF9pbnRlcm5hbF8xNjAwNDM3MDYwMzYy;
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/gameid
- /data/data/####/gameid.zip
- /data/data/####/hftwbpst.jar
- /data/data/####/i==1.2.0&&1.0_1600437060341_envelope.log
- /data/data/####/info.xml
- /data/data/####/libWebDataEncrypt.so
- /data/data/####/libzkus.so
- /data/data/####/libzkus.so-32
- /data/data/####/libzkus.so-64
- /data/data/####/ocbk.png
- /data/data/####/sp_jovzdp.xml
- /data/data/####/sp_pntvzp.xml
- /data/data/####/t==8.0.0&&1.0_1600437060736_envelope.log
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_location.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/yd_config_c.xml
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.pehc
- /data/media/####/.udusid
- /data/media/####/.umm.dat
- /data/media/####/.vq
- /data/media/####/45BF4E4CCCFB8CFAE7A080BA6489F131
- /data/media/####/52FD8F509468C6AD4AFF66771DC0C6F6
- /data/media/####/75D7538119CE34A78BD125041F04B81B.jar
- /data/media/####/75D7538119CE34A78BD125041F04B81B.temp
- /data/media/####/76DA35E161D779974CB9CBD4F97773D6.temp
- /data/media/####/76DA35E161D779974CB9CBD4F97773D6.zip
- /data/media/####/91F5BFE90A2C4A50ACD6436F1B8309EB
- /data/media/####/DE38BB7D15A7DC6F5FDD4808DE13AAFC.jar
- /data/media/####/DE38BB7D15A7DC6F5FDD4808DE13AAFC.temp
- /data/media/####/azdc
- /data/media/####/mow
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- cat /proc/version
- cat /sys/class/net/wlan0/address
- getprop
- getprop ro.board.platform
- getprop ro.bootimage.build.date.utc
- getprop ro.build.description
- getprop ro.build.fingerprint
- getprop ro.build.product
- getprop ro.build.version.all_codenames
- getprop ro.product.cpu.abi
- getprop ro.sf.lcd_density
- getprop ro.yunos.build.version
- ls /
- ls /sys/class/thermal
- sh
Загружает динамические библиотеки:
- libWebDataEncrypt
- libzkus
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES
- RSA-None-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
- RSA-None-PKCS1Padding
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
