Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.510.origin
- Android.Triada.537.origin
- Android.Triada.566.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) log.koapk####.com:80
- TCP(HTTP/1.1) 45.79.2####.252:80
- TCP(HTTP/1.1) api.bi####.com:80
- TCP(HTTP/1.1) 13.2####.16.115:8081
- TCP(HTTP/1.1) api.applove####.com:80
- TCP(TLS/1.0) x8files####.f####.myqc####.com:443
- TCP(TLS/1.0) api.appsf####.com:443
- TCP(TLS/1.0) wcf.seven####.com:443
- TCP(TLS/1.0) api.face####.com:443
- TCP(TLS/1.0) md####.google####.com:443
- TCP(TLS/1.0) alibaba####.ten####.ali####.com:443
- TCP(TLS/1.0) sconten####.xx.f####.net:443
- TCP(TLS/1.0) api.x####.com:443
- TCP(TLS/1.0) fo####.site:443
- TCP(TLS/1.0) t.appsf####.com:443
- TCP(TLS/1.0) www.google####.com:443
- TCP(TLS/1.0) www.a.sh####.com:443
- TCP(TLS/1.0) al####.u####.com:443
- TCP(TLS/1.0) gd.a.s####.com:443
- TCP(TLS/1.2) 1####.250.179.163:443
- TCP(TLS/1.2) www.google####.com:443
- UDP www.google####.com:443
Запросы DNS:
- 3####.i####.com
- a####.u####.com
- al####.u####.com
- api.applove####.com
- api.appsf####.com
- api.bi####.com
- api.s####.com
- api.x####.com
- fo####.site
- g####.face####.com
- log.koapk####.com
- md####.google####.com
- ne####.s####.com
- pv.s####.com
- sconten####.xx.f####.net
- t.appsf####.com
- wcf.seven####.com
- www.b####.com
- www.google####.com
- x8files####.f####.myqc####.com
Запросы HTTP GET:
- api.applove####.com/api/v3/cache/get?osv=####&srnc=####&token=####&ds=##...
- api.applove####.com/api/v3/template/get?slot_id=####&update_time=####&us...
Запросы HTTP POST:
- api.bi####.com/un
- log.koapk####.com/pgm/sr/gm/gy
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/1.acc.apk
- /data/data/####/1.acc.dex
- /data/data/####/1.acc.dex.flock (deleted)
- /data/data/####/1.touch.apk
- /data/data/####/1.touch.dex
- /data/data/####/1.touch.dex.flock (deleted)
- /data/data/####/A690152C11F2E473CA1264F4658AC6C0
- /data/data/####/AJVohiFD.xml
- /data/data/####/DATA_DETECTION_ADDRESS_1
- /data/data/####/F2E2B77256C5B8D15F9E9738F49E5F8A
- /data/data/####/FE7C072A3E9803151B6BFAFEDB0AC33C.dex
- /data/data/####/FE7C072A3E9803151B6BFAFEDB0AC33C.dex.flock (deleted)
- /data/data/####/FE7C072A3E9803151B6BFAFEDB0AC33C.jar
- /data/data/####/MobikokCommonConfig.xml
- /data/data/####/MobikokDeviceConfig.xml
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/a==9.3.8+000&&1.64_1623493473508_dW5pZnlfbG9ncw==;.log
- /data/data/####/ad_config.xml
- /data/data/####/ad_config.xml.bak
- /data/data/####/appsflyer-data.xml
- /data/data/####/appsflyer-data.xml.bak
- /data/data/####/by_rewfrenfio2pj.ertwe
- /data/data/####/by_werjklgewjrfer.xml
- /data/data/####/c34a4c3h54e6_TYUYRTTYT
- /data/data/####/classes.dex
- /data/data/####/classes.dex.flock (deleted)
- /data/data/####/com.cc.fea.fewe.try.の.s3u4b34f3f4_YUIYTRYUT
- /data/data/####/com.facebook.internal.MODEL_STORE.xml
- /data/data/####/com.facebook.internal.PURCHASE.xml
- /data/data/####/com.facebook.internal.SKU_DETAILS.xml
- /data/data/####/com.facebook.internal.preferences.APP_GATEKEEPERS.xml
- /data/data/####/com.facebook.internal.preferences.APP_SETTINGS.xml
- /data/data/####/com.facebook.sdk.USER_SETTINGS.xml
- /data/data/####/com.facebook.sdk.appEventPreferences.xml
- /data/data/####/com.facebook.sdk.attributionTracking.xml
- /data/data/####/com.higgs.domino_ct_default.xml
- /data/data/####/com.higgs.domino_preferences.xml
- /data/data/####/com.higgs.domino_preferences.xml.bak
- /data/data/####/commaincgvvvv.
- /data/data/####/commaincgvvvv.dex (deleted)
- /data/data/####/commaincgvvvv.dex.flock (deleted)
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/gtq
- /data/data/####/i==9.3.8+000&&1.64_1623493471939_dW5pZnlfbG9ncw==;.log
- /data/data/####/iavi.txt.xml
- /data/data/####/iavi.txt.xml.bak
- /data/data/####/libacc.so
- /data/data/####/libnav-6mdw2z.so
- /data/data/####/libsubstrate.so
- /data/data/####/libumeng-spy.so
- /data/data/####/libx8mt.so
- /data/data/####/lob.xml
- /data/data/####/lx.xml
- /data/data/####/metrics_guid
- /data/data/####/mta.apk
- /data/data/####/mta.dex
- /data/data/####/mta.dex.flock (deleted)
- /data/data/####/proc_auxv
- /data/data/####/s1s1k1_c2o3n23f2i3g2.xml
- /data/data/####/s3p43_OIUTIUYT.xml
- /data/data/####/s3p43_OIUTIUYT.xml.bak
- /data/data/####/sp_quin.xml
- /data/data/####/t==9.3.8+000&&1.64_1623493473257_dW5pZnlfbG9ncw==;.log
- /data/data/####/tchi.xml
- /data/data/####/touch_lib.oct
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_session_id.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_config.xml.bak
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_zcfg_flag
- /data/data/####/umeng_zero_cache.db
- /data/data/####/umeng_zero_cache.db-journal
- /data/data/####/umzid_general_config.xml
- /data/data/####/uuid.xml
- /data/data/####/wugan-1.0-2021-06-11-17-29-52.apk
- /data/data/####/wugan-1.0-2021-06-11-17-29-52.dex
- /data/data/####/wugan-1.0-2021-06-11-17-29-52.dex.flock (deleted)
- /data/data/####/x8_misc.xml
- /data/data/####/xbjr
- /data/data/####/z==1.2.0&&1.64_1623493448741_emNmZw==;.log
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- app_process /system/bin com.android.commands.pm.Pm list package -3
- cat /proc/version
- cat /sys/class/net/wlan0/address
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.smartisan.version
- getprop ro.vivo.os.version
- getprop ro.yunos.build.version
- sh
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- RSA-None-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- desede-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
