Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.840.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) litchif####.j####.com:80
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) md####.google####.com:443
- TCP(TLS/1.0) safebro####.google####.com:443
- TCP(TLS/1.0) v####.a####.com:443
- TCP(TLS/1.0) 64.2####.161.95:443
- TCP(TLS/1.0) instant####.google####.com:443
- TCP(TLS/1.2) 64.2####.164.113:443
- TCP(TLS/1.2) safebro####.google####.com:443
- TCP(TLS/1.2) 64.2####.161.95:443
- TCP(TLS/1.2) 64.2####.165.95:443
- TCP(TLS/1.2) 1####.250.150.94:443
Запросы DNS:
- a####.fc.mob.com
- and####.google####.com
- api-####.cm.j####.com
- api.s####.mob.com
- d####.d####.mob.com
- i####.cm.j####.com
- instant####.google####.com
- litchif####.j####.com
- md####.google####.com
- pub####.cm.j####.com
- safebro####.google####.com
- stati####.cm.j####.com
- sto####.t####.com
- u####.cm.j####.com
Запросы HTTP POST:
- litchif####.j####.com/registerModule/verifyAppId/63ad1408e33d44fd82b94da...
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.artc_lock
- /data/data/####/.at_lock
- /data/data/####/.dic_lock
- /data/data/####/.du_lock
- /data/data/####/.duid
- /data/data/####/.dvcv_lock
- /data/data/####/.globalLock
- /data/data/####/.im_lock
- /data/data/####/.lesd_lock
- /data/data/####/.lock
- /data/data/####/.mrecord
- /data/data/####/.mrecord (deleted)
- /data/data/####/.mrlock
- /data/data/####/.pa_lock
- /data/data/####/.pkg_lock
- /data/data/####/.pkgs_lock
- /data/data/####/.slw
- /data/data/####/.statistics
- /data/data/####/.vpl_lock
- /data/data/####/6746c7dcb50a16b6b5173462ac60cdc282771e619a42e1c....0.tmp
- /data/data/####/6bBjA7zn_AHPDuIJNbctshmThk8.917068689.tmp
- /data/data/####/HCk4ilWaK8fSamatT-SdTHrG4Wo.861516838.tmp
- /data/data/####/JDkPcYNqz95fclFxxnRH1twwwlg.1986397007.tmp
- /data/data/####/Rn0luBghQRzkRPg1gwBD3DGlwTM.1703475637.tmp
- /data/data/####/ThrowalbeLog.db-journal
- /data/data/####/VqXafwrZ0fjquNtGMRhdXsthFFA.433441671.tmp
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/cXOTSq7xSjNaQIXqecWwLfOour0.1665459907.tmp
- /data/data/####/ccZBHFg2APYKB9iWo39ZpX1LtgQ.1684290033.tmp
- /data/data/####/dafeng.app.jsbc_preferences.xml
- /data/data/####/data.xml
- /data/data/####/data.xml.bak
- /data/data/####/dso_deps
- /data/data/####/dso_lock
- /data/data/####/dso_manifest
- /data/data/####/dso_state
- /data/data/####/f4ab143b0e8091f6eec9315c8ea33e59f654e2faea24275....0.tmp
- /data/data/####/id8b7731dabef77c0
- /data/data/####/ijm_ifr.xml
- /data/data/####/ijm_sharedecryption.xml
- /data/data/####/index_tabs
- /data/data/####/journal.tmp
- /data/data/####/jsbcmast.db-journal
- /data/data/####/libexec.so
- /data/data/####/libexecmain.so
- /data/data/####/libijmDataEncryption.so
- /data/data/####/mASC9MhlhogGBzJGgVZjNb53Nrw.cnt
- /data/data/####/metrics_guid
- /data/data/####/mob_commons_1
- /data/data/####/name-journal
- /data/data/####/proc_auxv
- /data/data/####/share_sdk_1
- /data/data/####/stat_db-journal
- /data/data/####/vsEDo_oetqD6Yuu9_qEqLrcw0CE.1267247960.tmp
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- cat /sys/class/net/wlan0/address
- getprop ro.product.cpu.abi
- sh -c cat /proc/3483/wchan
- sh -c cat /proc/3565/wchan
Использует следующие алгоритмы для шифрования данных:
- AES-ECB-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
