Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.2018
- Android.Triada.373.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 1####.159.53.238:80
- TCP(HTTP/1.1) 1####.159.208.192:80
- TCP(HTTP/1.1) i####.cn.com:80
- TCP(HTTP/1.1) gis.jolo####.com.cn:80
- TCP(TLS/1.0) gv1.x####.com:443
Запросы DNS:
- gis.jolo####.com.cn
- gv1.x####.com
- i####.cn.com
- mt####.go####.com
- pg.x####.com
- unitedp####.lemuel####.com
Запросы HTTP GET:
- i####.cn.com/a/3f565628a54ead6c51c0987c43b0fff91
Запросы HTTP POST:
- gis.jolo####.com.cn/getsdkconfig
- gis.jolo####.com.cn/getwebgamead
- gis.jolo####.com.cn/getwebgamebasic
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-79WpU7Pt8soHQchh0oXpFad0f4NlhT8.new
- /data/data/####/-gTGiypVQ1W5nTAdi28owVZVEaw=.new
- /data/data/####/1c8af6844a08fd35.jar
- /data/data/####/2bdaec3c5a320b7d.jar
- /data/data/####/384ecb0f7aa7bbed.jar
- /data/data/####/39fb4d2eb028906d.jar
- /data/data/####/3c3b1781f57ed6ae.jar
- /data/data/####/3f565628a54ead6c51c0987c43b0fff91;account_file.xml
- /data/data/####/3gztywPDlPDMoM-e.zip
- /data/data/####/4b7cf5d5c172c287.jar
- /data/data/####/4ed56e259772b0e2.jar
- /data/data/####/4ff67c7fbae49fa9.jar
- /data/data/####/503592a379d1256d.jar
- /data/data/####/53fd8128662bdcdc.jar
- /data/data/####/561273af0593b77a.jar
- /data/data/####/61d2b5efa11c7735.jar
- /data/data/####/66948cdd2187ff23.jar
- /data/data/####/7e3658f84860072e.jar
- /data/data/####/7yTeyKKVyp5ghwtSlf0xXWJUFPEZF0t3fu0DQ8vjeFo=.new
- /data/data/####/88575d02da4d9de6.jar
- /data/data/####/8Z34_SkBDWwW8cF7cgQWWgzsogQfpOT9.new
- /data/data/####/Au2Ryg66YQRk_9xdhtBX0pI-kU8uoUYi_Kd1A-9gnSKz8hv...ournal
- /data/data/####/Au2Ryg66YQRk_9xdhtBX0pI-kU8uoUYi_Kd1A-9gnSKz8hvO-6PGPZQ==
- /data/data/####/Au2Ryg66YQRk_9xdhtBX0pI-kU8uoUYi__7TOYU7KsJI5huR7
- /data/data/####/Au2Ryg66YQRk_9xdhtBX0pI-kU8uoUYi__7TOYU7KsJI5huR7-journal
- /data/data/####/Au2Ryg66YQRk_9xdhtBX0pI-kU8uoUYi_dliSA01pHjLXh8...ournal
- /data/data/####/Au2Ryg66YQRk_9xdhtBX0pI-kU8uoUYi_dliSA01pHjLXh8ytcC2ydA==
- /data/data/####/Au2Ryg66YQRk_9xdhtBX0pI-kU8uoUYi_nVln_ryETICIsiyM-journal
- /data/data/####/Au2Ryg66YQRk_9xdhtBX0pI-kU8uoUYi_qn59rgwfrebOeM...76YPY=
- /data/data/####/Au2Ryg66YQRk_9xdhtBX0pI-kU8uoUYi_qn59rgwfrebOeM...ournal
- /data/data/####/C5Ah7-veN-IMShui
- /data/data/####/CbQVuxHZLdWW2yqkLfgjIEcDzF3RtA9vaX32yA==.new
- /data/data/####/EUmMDLcxNkL-CiNpIWvXMkQkFXY=.new
- /data/data/####/GR_w8PoJeof4YGW37Kco9mXeOFk=
- /data/data/####/HJIwY5cl8CQTh61duqdYG87AD0XB3KwM.new
- /data/data/####/I9J1yQjeWMZ3-_1MsY0ueQ==.new
- /data/data/####/ITLKjnffRmJaw-p8EEyzGnWfxb0=.new
- /data/data/####/LcKArrE2Iy0boC_Nji6oyTBhdiadoXbz.new
- /data/data/####/MEOt_gzNeEsPsOXeZ_H6-aJdCe_F7N7p.new
- /data/data/####/McWeDxgqNafXfe9J
- /data/data/####/N1cPYCkIWudYPZpI.new
- /data/data/####/PEkMbJ6dTh3U3z_-wYB5yw==.new
- /data/data/####/QkSf4NXk1X2t-Y8dUL7cEGIzOdPF0k8jSnGWhw==.new
- /data/data/####/SP_CP_FILE_NAME.xml
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/TZF7gVfX2HalFGBEh48nMA==
- /data/data/####/Tqxww97SPQBzwxwpq7N4TJjM5c2oT5QM.new
- /data/data/####/UNITEDPAYACTLIST_
- /data/data/####/WEra6KkidcOzLoPpl3KkieaJiD6thSRJ1s90Hsziajw=.new
- /data/data/####/XQa7Na9n-aQ7ph89XV3MTJfh6O4=.new
- /data/data/####/_YnD9kHaB0KAfAmyyDNDYenquRk=.new
- /data/data/####/channel_htc.xml
- /data/data/####/codex.so
- /data/data/####/codex_inner.so
- /data/data/####/com.ppds.yytp.htc_preferences.xml
- /data/data/####/g9b2breqFN0dgnoYS8tv4JXnMgpLxbmEbjkERieq4Qc=.new
- /data/data/####/hhGcMLZrz6loKcF8b01euQ==.new
- /data/data/####/kX7yjccq6ccXp08Vd4s3qcYin-U=.new
- /data/data/####/lemuel_security_inner.so
- /data/data/####/nzL9jaBM77zBZs5PZk1CzA==
- /data/data/####/oEzv_CdsVUzknULDGP0VMlvdmIE=.new
- /data/data/####/pref_file.xml
- /data/data/####/prefer_floating.xml
- /data/data/####/qrinaa_f.zip
- /data/data/####/rdata_comppdsyytp.new
- /data/data/####/runner_info.prop.new
- /data/data/####/sXNi5HDKqu1DQvgv6PUf3qSShbDc6kJs.new
- /data/data/####/talkingdata_app.db-journal
- /data/data/####/talkingdata_app_process_preferences_file
- /data/data/####/talkingdata_app_version_preferences_file
- /data/data/####/td_pefercen_profile.xml
- /data/data/####/tdid.xml
- /data/data/####/uKaATu2ib9Ngppo7OIaIgfGG_ibC1rU69jKJFg==.new
- /data/data/####/ueXKqKa7AIArTxFGGfoeEPwcY07RWSi7os9BKNZ5ZO4=.new
- /data/data/####/viM0jW7QmaRkIsuG97NS-oESbtj5K5Vn.new
- /data/media/####/.tcookieid
- /data/media/####/.uunique.new
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/jladb.db
- /data/media/####/jladb.db-journal
- /data/media/####/r_pkDgN4OhnkSa0D
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- <Package Folder>/code-941943/McWeDxgqNafXfe9J -p <Package> -c com.ppds.yytp.entity.CactusReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.version
- getprop ro.yunos.version
- sh <Package Folder>/code-941943/McWeDxgqNafXfe9J -p <Package> -c com.ppds.yytp.entity.CactusReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- _lemuel_security
- cocos2dcpp
- codex
- codex_inner
- lemuel_security_inner
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
