Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.4567
- Android.Triada.510.origin
- Android.Triada.546.origin
Детект на основе машинного обучения.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) c####.s9####.com:10278
- TCP(HTTP/1.1) c####.6k####.com:10238
- TCP(HTTP/1.1) x####.me####.com:10248
- TCP(HTTP/1.1) y####.k8####.com:80
- TCP(HTTP/1.1) d0####.98####.com:10091
- TCP(HTTP/1.1) c####.s9####.com:10238
Запросы DNS:
- c####.6k####.com
- c####.s9####.com
- d0####.98####.com
- x####.me####.com
- y####.k8####.com
Запросы HTTP GET:
- y####.k8####.com/hwyw/stahwsdomj.zip
- y####.k8####.com/hwyw/yuwdynao.zip
- y####.k8####.com/zhuti/DayouuUTzt918.zip
- y####.k8####.com/zhuti/DestwHst98.zip
- y####.k8####.com/zhuti/HdayEUnz844.zip
- y####.k8####.com/zhuti/TxscorDEWt253.zip
- y####.k8####.com/zhuti/YDosdmwee910.zip
- y####.k8####.com/zhuti/h5swn92.zip
Запросы HTTP POST:
- c####.6k####.com:10238/2ejolc/
- c####.6k####.com:10238/dts57h/
- c####.6k####.com:10238/z2s8gh/
- c####.s9####.com:10238/2ejolc/
- c####.s9####.com:10238/z2s8gh/
- c####.s9####.com:10278/42elke/
- c####.s9####.com:10278/jn9zpb/
- d0####.98####.com:10091/wisdom/marking
- x####.me####.com:10248/iysyxb/
- x####.me####.com:10248/ng1fxo/
- x####.me####.com:10248/pauumd/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/8C8F552939218D4D55F5ACC7505AE2C6.xml
- /data/data/####/9145E4178974FEAFB084264767F30932.xml
- /data/data/####/E796DC7A583043BFD4849DB0067F31E4.xml
- /data/data/####/GxM.jar
- /data/data/####/akulkmdi.jar
- /data/data/####/gameid
- /data/data/####/gameid.zip
- /data/data/####/libjvbc.so
- /data/data/####/libjvbc.so-32
- /data/data/####/libjvbc.so-64
- /data/data/####/qn.xml
- /data/data/####/sp_hdkz.xml
- /data/data/####/sp_ryjy.xml
- /data/data/####/wzdb.png
- /data/data/####/xya.xml
- /data/data/####/yd_config_c.xml
- /data/media/####/.bzi
- /data/media/####/.fhg
- /data/media/####/.gjuwpnpjlgwszw
- /data/media/####/0C28D9BA3AEB4DBB629AF378AED396B2.temp
- /data/media/####/0C28D9BA3AEB4DBB629AF378AED396B2.zip
- /data/media/####/17C7451D12011D743A8ED280CE19B6B5.temp
- /data/media/####/17C7451D12011D743A8ED280CE19B6B5.zip
- /data/media/####/18D2BDF851B3D54D30A689702D485215
- /data/media/####/1FB529D5B86CB576CE98288F77DE7CFE.temp
- /data/media/####/1FB529D5B86CB576CE98288F77DE7CFE.zip
- /data/media/####/242CB7B15C8571D4EA3D3E825CCE2CC5.temp
- /data/media/####/242CB7B15C8571D4EA3D3E825CCE2CC5.zip
- /data/media/####/302BD29330108ADFEE3EE975C88014CB
- /data/media/####/334944FA20165476A370992C18BA28B7
- /data/media/####/40A86C2EA21EA4504497A8ADAAEB17F0.temp
- /data/media/####/40A86C2EA21EA4504497A8ADAAEB17F0.zip
- /data/media/####/8E4C44DDC4DB462D8316CDAFCD2BAD89
- /data/media/####/9D6EE3BC12231B716D277CE1C5ECE4C5.jar
- /data/media/####/9D6EE3BC12231B716D277CE1C5ECE4C5.temp
- /data/media/####/CE894A3EA9B474D8577194289B96FB3D
- /data/media/####/CF60CC2AC9C3E8AEE1129B7724EDB215
- /data/media/####/E36FAB93CB4E285016833DFC4CB2FC55
- /data/media/####/E36FAB93CB4E285016833DFC4CB2FC55.jar
- /data/media/####/E36FAB93CB4E285016833DFC4CB2FC55.temp
- /data/media/####/EA463EE35D35053E84058554191CA8D8
- /data/media/####/F796F85C2055B41F852E763D93DFD91C
- /data/media/####/FCC9153290073B970452C537AAF7420E.temp
- /data/media/####/FCC9153290073B970452C537AAF7420E.zip
- /data/media/####/tyi
- /data/media/####/xbiu
Другие:
Запускает следующие shell-скрипты:
- cat /proc/version
- cat /sys/class/net/wlan0/address
- getprop
- getprop ro.board.platform
- getprop ro.product.cpu.abi
- getprop ro.yunos.build.version
Загружает динамические библиотеки:
- BookInit
- libjvbc
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES
- RSA-None-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
- RSA-None-PKCS1Padding
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
