Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.4567
- Android.Triada.510.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) c####.6k####.com:10238
- TCP(HTTP/1.1) x####.me####.com:10248
- TCP(HTTP/1.1) d0####.98####.com:10091
- TCP(HTTP/1.1) c####.s9####.com:10278
- TCP(HTTP/1.1) y####.k8####.com:80
- TCP(HTTP/1.1) bi####.bi####.com:10238
- TCP(TLS/1.0) 64.2####.164.113:443
- TCP(TLS/1.0) firebas####.google####.com:443
Запросы DNS:
- bi####.bi####.com
- c####.6k####.com
- c####.s9####.com
- d0####.98####.com
- firebas####.google####.com
- mt####.go####.com
- x####.me####.com
- y####.k8####.com
Запросы HTTP GET:
- y####.k8####.com/hwyw/deahexwot.zip
- y####.k8####.com/hwyw/styaoduyar.zip
- y####.k8####.com/zhuti/TwyosdjwjXzt1016.zip
Запросы HTTP POST:
- bi####.bi####.com:10238/fogggnpefw/
- c####.6k####.com:10238/2ejolc/
- c####.6k####.com:10238/dts57h/
- c####.6k####.com:10238/z2s8gh/
- c####.s9####.com:10278/42elke/
- c####.s9####.com:10278/jn9zpb/
- d0####.98####.com:10091/wisdom/marking
- x####.me####.com:10248/iysyxb/
- x####.me####.com:10248/ng1fxo/
- x####.me####.com:10248/pauumd/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/8C8F552939218D4D55F5ACC7505AE2C6.xml
- /data/data/####/9145E4178974FEAFB084264767F30932.xml
- /data/data/####/E796DC7A583043BFD4849DB0067F31E4.xml
- /data/data/####/FirebaseAppHeartBeat.xml
- /data/data/####/NDIOSJD.xml
- /data/data/####/PersistedInstallation-2010328316tmp
- /data/data/####/PersistedInstallation-717520615tmp
- /data/data/####/bEj.jar
- /data/data/####/com.google.android.datatransport.events-journal
- /data/data/####/com.google.android.gms.appid-no-backup
- /data/data/####/com.google.android.gms.appid.xml
- /data/data/####/com.google.android.gms.measurement.prefs.xml
- /data/data/####/fcm_config.xml
- /data/data/####/gameid
- /data/data/####/gameid.zip
- /data/data/####/generatefid.lock
- /data/data/####/google_app_measurement.db-journal
- /data/data/####/google_app_measurement_local.db
- /data/data/####/google_app_measurement_local.db-journal
- /data/data/####/interads.xml
- /data/data/####/lani.png
- /data/data/####/libzvje.so
- /data/data/####/libzvje.so-32
- /data/data/####/libzvje.so-64
- /data/data/####/mdgq.xml
- /data/data/####/smart_config.xml
- /data/data/####/sp_pnmh.xml
- /data/data/####/sp_qyejw.xml
- /data/data/####/tqo.xml
- /data/data/####/xntorxct.jar
- /data/data/####/yd_config_c.xml
- /data/media/####/.gjuwpnpjlgwszw
- /data/media/####/.id
- /data/media/####/.jb
- /data/media/####/.mrq
- /data/media/####/010A49A6E8E3C69CFE25DABA89EDAB8E
- /data/media/####/1D302D3E6464EA39840D761291936A8C
- /data/media/####/2D7A36961E40EF39519F07AA1FA38A5D.temp
- /data/media/####/2D7A36961E40EF39519F07AA1FA38A5D.zip
- /data/media/####/98FDECB17B837318717C64311D2C05D8.jar
- /data/media/####/98FDECB17B837318717C64311D2C05D8.temp
- /data/media/####/9B29C2F5242C6A564DFEF1DF4F020D57.jar
- /data/media/####/9B29C2F5242C6A564DFEF1DF4F020D57.temp
- /data/media/####/C778B3C611955B3F85B5083B51791FB5
- /data/media/####/ef
- /data/media/####/wbqb
Другие:
Запускает следующие shell-скрипты:
- cat /proc/version
- cat /sys/class/net/wlan0/address
- getprop
- getprop ro.board.platform
- getprop ro.product.cpu.abi
- getprop ro.yunos.build.version
Загружает динамические библиотеки:
- BookInit
- libzvje
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES
- RSA-None-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
- RSA-None-PKCS1Padding
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
