Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.2018
- Android.Triada.373.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 1####.159.18.80:8001
- TCP(HTTP/1.1) sd####.cm####.com:80
- TCP(HTTP/1.1) 1####.89.97.82:8000
- TCP(HTTP/1.1) pb.s####.com:80
- TCP(HTTP/1.1) 1####.159.53.238:80
- TCP(HTTP/1.1) i####.cn.com:80
- TCP(HTTP/1.1) sdk.cm####.com.####.com:80
- TCP(HTTP/1.1) 1####.159.208.192:80
- TCP(HTTP/1.1) gam####.s####.com:80
- TCP(HTTP/1.1) drm.cm####.com:80
- TCP(HTTP/1.1) app####.m####.cn:8080
- TCP(HTTP/1.1) sdk.cm####.com.####.com:8080
- TCP(HTTP/1.1) 2####.111.8.140:8080
- TCP(HTTP/1.1) 1####.159.18.80:8000
- TCP(TLS/1.0) gv1.x####.com:443
Запросы DNS:
- app####.m####.cn
- drm.cm####.com
- gam####.s####.com
- gv1.x####.com
- i####.cn.com
- mt####.go####.com
- pb.s####.com
- pg.x####.com
- s####.cmv####.cn
- sd####.cm####.com
- sdk.cm####.com
- unitedp####.lemuel####.com
- wap.cm####.com
Запросы HTTP GET:
- drm.cm####.com/egsb/game/getclientProvince?tel=####&iccid=####&imsi=####
- drm.cm####.com/egsb/startup/queryConfiguration?channelId=####&contentId=...
- drm.cm####.com/egsb/verification/checkSDKModuleUpdate?sdkVersion=####&co...
- gam####.s####.com/api/dj/v1/app/config?apiToken=####&gid=####&sdkVersion...
- gam####.s####.com/api/dj/v1/device/getDeviceInfo?apiToken=####&deviceId=...
- gam####.s####.com/api/dj/v1/preheat/get?apiToken=####&deviceId=####&gid=...
- i####.cn.com/a/3f565628a54ead6c51c0987c43b0fff91
- pb.s####.com/pv.gif?androidid=####&cpu=####&deviceid=####&gid=####&hosti...
- sdk.cm####.com.####.com/download//moduleVersion/marketing_1132_201808011...
- sdk.cm####.com.####.com:8080/MiguPay.SO30.Lib_082226_9BC201CE716D9B354C4...
- sdk.cm####.com.####.com:8080/MiguPay.Sdk30.Lib_12003084_3BFFC37E286588E1...
Запросы HTTP POST:
- app####.m####.cn:8080/migusdk/tl/tcttl
- app####.m####.cn:8080/migusdk/verification/checkSdkUpdate
- drm.cm####.com/egsb/access/loginNewClient
- drm.cm####.com/egsb/dataPlan/privateSwith
- drm.cm####.com/egsb/discount/getPreQueryResult
- drm.cm####.com/egsb/game/getPaymentCapability
- drm.cm####.com/egsb/gshare/switches
- drm.cm####.com/egsb/message/queryPushMessages
- drm.cm####.com/egsb/otherPay/querySMSInterceptorConf
- drm.cm####.com/egsb/thirdPay/queryThirdPayInfo
- gam####.s####.com/api/dj/v1/device/record
- sd####.cm####.com/behaviorLogging/eventLogging/accept?
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/16dd6cfa531a3e58.jar
- /data/data/####/1b870c7ccce32516.jar
- /data/data/####/2210.dex
- /data/data/####/2210.dex (deleted)
- /data/data/####/3632.dex
- /data/data/####/3632.dex (deleted)
- /data/data/####/3f565628a54ead6c51c0987c43b0fff91;account_file.xml
- /data/data/####/4620.dex
- /data/data/####/4620.dex (deleted)
- /data/data/####/5LIOWt46VB54jwUjIRkD-5m8Wtw=.new
- /data/data/####/8R4yKw9MNqWVHHsThZ6b4w==.new
- /data/data/####/980b7c0e9274d3c4.jar
- /data/data/####/9zleQ6VtxuuS9yWhh22YtG0MQgA=
- /data/data/####/ED.ini
- /data/data/####/H6ZH
- /data/data/####/H6ZH.dex
- /data/data/####/H6ZH.jar
- /data/data/####/I90eFZs-GAz0wP03.dex
- /data/data/####/I90eFZs-GAz0wP03.zip
- /data/data/####/JHNGDl3VoGoomXkV0Q2Q7Q==
- /data/data/####/Lh-iWuKm4EKc1jetSiSciA==.new
- /data/data/####/MiguPay.Sdk30.Lib_12003049_2b7f4055276371c21c62...02.cod
- /data/data/####/MiguPay.Sdk30.Lib_12003049_2b7f4055276371c21c62...02.dat
- /data/data/####/RGhgnGEfjpaO5Z34rvvXCtxGgSdiAji_.new
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/UNITEDPAYACTLIST_
- /data/data/####/Xc5rdfjJ-5NDlKH04h7tTOKAxYWGhF6j.new
- /data/data/####/a1207106ff2a3ca6.dex
- /data/data/####/a1207106ff2a3ca6.jar
- /data/data/####/abc.dex
- /data/data/####/abc.jar
- /data/data/####/abc.jar.temp
- /data/data/####/abc.jpg
- /data/data/####/abc.jpg.temp
- /data/data/####/abc.jpg.temp (deleted)
- /data/data/####/bhRgjXxjYSbPY_1qOvVSQQ==.new
- /data/data/####/codex.so
- /data/data/####/codex_inner.so
- /data/data/####/com.ppds.yytp.sogou.push_service_setting.xml
- /data/data/####/com.ppds.yytp.sogou_preferences.xml
- /data/data/####/dce2a6ff0c522d21.jar
- /data/data/####/ded628c5ae34bc35.dex
- /data/data/####/ded628c5ae34bc35.jar
- /data/data/####/f9bd80052dfe89a7.jar
- /data/data/####/fJluVwV7jACrvp5MQoeOjg==
- /data/data/####/hIw_Dn3EZZ_pKjfhRx6EQe5xvgU=.new
- /data/data/####/journal
- /data/data/####/journal.tmp
- /data/data/####/lemuel_security_inner.so
- /data/data/####/libmgRun_05.22.09_01.so
- /data/data/####/libmiguED.so
- /data/data/####/mgAS.dat
- /data/data/####/mgSS.dat
- /data/data/####/mgid.dat
- /data/data/####/miguGameBillingRequestMonitor.xml
- /data/data/####/mkzfu2PrjYZ09z1p
- /data/data/####/pref_file.xml
- /data/data/####/qrinaa_f.dex
- /data/data/####/qrinaa_f.zip
- /data/data/####/rdata_comppdsyytp.new
- /data/data/####/runner_info.prop.new
- /data/data/####/sdk_prefs
- /data/data/####/sogou_game_sdk.db
- /data/data/####/sogou_game_sdk.db-journal
- /data/data/####/talkingdata_app.db
- /data/data/####/talkingdata_app.db-journal
- /data/data/####/talkingdata_app_process_preferences_file
- /data/data/####/talkingdata_app_version_preferences_file
- /data/data/####/td_database_push
- /data/data/####/td_pefercen_profile.xml
- /data/data/####/tdandroidgame
- /data/data/####/tdid.xml
- /data/data/####/xcngame.xml
- /data/data/####/zlXWGtSm0jzHLETIPEpbQWW9-Gpe0mZn_eb8jr7HZsxqcOr-h
- /data/media/####/.tcookieid
- /data/media/####/1606479516499
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/ShareData.txt
- /data/media/####/deviceId
- /data/media/####/pushDB.txt
- /data/media/####/pushTime.txt
- /data/media/####/pushTotal.txt
- /data/media/####/registerDeviceInfoSingleGame
- /data/media/####/sdk_prefs.txt
Другие:
Запускает следующие shell-скрипты:
- chmod 777 <Package Folder>/files/abc.jar
Загружает динамические библиотеки:
- _lemuel_security
- cocos2dcpp
- codex
- codex_inner
- lemuel_security_inner
- libmiguED
- megjb
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
- DES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
