Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Backdoor.564.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) l####.tbs.qq.com:80
- TCP(HTTP/1.1) cmsap####.ahea####.com:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(TLS/1.0) cmsap####.ahea####.com:443
- TCP(TLS/1.0) dot.wts.xi####.cn:443
- TCP(TLS/1.0) c####.g####.net:443
- TCP(TLS/1.0) connect####.gst####.com:443
- TCP(TLS/1.0) alibaba####.ten####.ali####.com:443
- TCP(TLS/1.0) ti####.c####.l####.####.com:443
- TCP(TLS/1.0) gtc.g####.net:443
- TCP(TLS/1.0) d####.g####.com.####.com:443
- TCP(TLS/1.0) 1####.217.168.234:443
- TCP(TLS/1.0) 1####.217.17.138:443
- TCP(TLS/1.0) al####.u####.com:443
- TCP(TLS/1.2) 1####.250.179.142:443
- TCP(TLS/1.2) 1####.217.17.138:443
- UDP 1####.217.17.138:443
- TCP sdk.o####.t####.####.com:5224
Запросы DNS:
- a####.u####.com
- b####.g####.net
- b####.ge####.com
- c####.ahea####.com
- c####.g####.net
- cm-1####.g####.com
- cmsap####.ahea####.com
- cmswe####.ahea####.com
- connect####.gst####.com
- d####.g####.com
- dot.wts.xi####.cn
- ga####.lotu####.com
- gtc.g####.net
- l####.tbs.qq.com
- log.u####.com
- on####.lotu####.com
- plug####.ahea####.com
- q####.ahea####.com
- qn.res.ahea####.com
- sdk-####.g####.com
- sdk-ope####.g####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.com
- sdk.o####.t####.####.net
- u####.u####.com
Запросы HTTP GET:
- cmsap####.ahea####.com//UploadFile/8908/2018/09-12/0c98e6a9-634f-4ab2-a2...
- cmsap####.ahea####.com//UploadFile/8908/2018/09-12/531cd24d-246a-400c-a5...
- cmsap####.ahea####.com//UploadFile/8908/2018/09-12/6c76a060-84c1-440c-83...
- cmsap####.ahea####.com//UploadFile/8908/2018/09-12/8d4040c2-4178-40e5-be...
- cmsap####.ahea####.com//UploadFile/8908/2018/09-12/8e159b6d-404b-48d8-9e...
- cmsap####.ahea####.com//UploadFile/8908/2018/09-12/98dd7fa9-4dd3-4ca4-92...
- cmsap####.ahea####.com//UploadFile/8908/2018/09-12/a7d3bf58-34b7-447e-b0...
- cmsap####.ahea####.com//UploadFile/8908/2018/09-12/b0fcb36c-7de4-45dd-aa...
- cmsap####.ahea####.com//UploadFile/8908/2018/09-12/e647fc78-373e-4d90-a1...
- cmsap####.ahea####.com//UploadFile/8908/2018/09-20/ed23a854-4cd3-406d-8c...
- cmsap####.ahea####.com//UploadFile/8908/2019/11-25/7e56c58a-47f4-4783-9a...
- cmsap####.ahea####.com//UploadFile/8908/2020/06-02/9c01efc1-8940-4606-ac...
- cmsap####.ahea####.com//UploadFile/8908/2021/06-26/00e629e2-d009-43ba-aa...
- cmsap####.ahea####.com//UploadFile/8908/2021/06-26/09ba59fb-c610-4fd0-aa...
- cmsap####.ahea####.com//UploadFile/8908/2021/06-26/470d46dc-a566-49ac-a7...
- cmsap####.ahea####.com//UploadFile/8908/2021/06-26/4e6fdda3-cf24-42d9-b6...
- cmsap####.ahea####.com//UploadFile/8908/2021/06-26/4e70ceaf-4fff-4ee7-a6...
- cmsap####.ahea####.com//UploadFile/8908/2021/06-26/5ec466dd-827a-4135-86...
- cmsap####.ahea####.com//UploadFile/8908/2021/06-26/ad4848bf-61bf-4580-98...
- cmsap####.ahea####.com//UploadFile/8908/2021/06-26/c8a4cf2d-5ca9-4389-ae...
- cmsap####.ahea####.com//UploadFile/8908/2021/06-26/e7af7c21-3ecd-4fe1-a8...
- cmsap####.ahea####.com//UploadFile/8908/2021/06-26/fb48cdbb-34fb-49fb-a8...
- ti####.c####.l####.####.com/8908/2020/10-15/3c97518bfa6f49e59efc8b08f12c...
- ti####.c####.l####.####.com/8908/2021/01-27/e6c8185a456f4019b634192f00f9...
- ti####.c####.l####.####.com/8908/2021/04-21/0bb61c50250344f5b8b4851a1384...
- ti####.c####.l####.####.com/8908/2021/04-21/36d0fe2b2f844f3690038a1921a9...
- ti####.c####.l####.####.com/8908/2021/06-10/ef91fbd42c2e4634b775425ab613...
- ti####.c####.l####.####.com/8908/2021/06-27/bd92354d089042ac89491ba7f298...
- ti####.c####.l####.####.com/8908/2021/06-27/e32ea740b0994fb88ebe3f1bcbe6...
- ti####.c####.l####.####.com/8908/2021/06-28/8501bbde94044e7ba15b88aeb9d7...
- ti####.c####.l####.####.com/8908/2021/06-29/b7216babc7c4415fb39d393a557f...
- ti####.c####.l####.####.com/8908/2021/07-17/012480db86dc4040938b1e06cb25...
- ti####.c####.l####.####.com/8908/2021/07-20/027ac032110a44319b4f8454d1d1...
- ti####.c####.l####.####.com/8908/2021/07-24/2f84f2f903ef467496e5fe0a4319...
- ti####.c####.l####.####.com/8908/2021/07-24/529cfecf0cc74aecbd79015834c4...
- ti####.c####.l####.####.com/8908/2021/07-24/8229570caad04f4e8dc9a5aa3018...
- ti####.c####.l####.####.com/8908/2021/07-24/96547167be7d43de9d27603401ea...
- ti####.c####.l####.####.com/8908/2021/07-24/e5c7eeac53404a10b33bba19ebfe...
- ti####.c####.l####.####.com/8908/2021/07-24/e71873c068864986ba56e7bf2fb7...
Запросы HTTP POST:
- l####.tbs.qq.com/ajax?c=####&k=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.cl
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/030b6fae1591eeab4ddf34da8151239d
- /data/data/####/08c403f13510303fd103a9e8ef5e9d066d83270edfa0c50....0.tmp
- /data/data/####/1c309ea3db1e617d4e4c2e1ad7c0ad220f45697e836174a....0.tmp
- /data/data/####/1d887106eff98f1faf0f834286fb19ef01388574b8065eb....0.tmp
- /data/data/####/1dbceb8472d773c7ad65da179a49f6172e98261edc5e92e....0.tmp
- /data/data/####/1e99f0025faac2b51428afeedda47bd00ada88f8e5f25dc...e866.0
- /data/data/####/21e872f5da339cfb6c34d4ab100ca3d1a793a1c5dc528a5....0.tmp
- /data/data/####/2a2170be213ff645c9449d80dbc099d94abc02ffd5e5d80....0.tmp
- /data/data/####/2b5d64b8c8089e5debd564a519f328d67c36a4ef14e064d...2f5c.0
- /data/data/####/2b80bb645793af541084ddf0d5d350af90dac4493045969....0.tmp
- /data/data/####/355e550f6720bb94f04edbbd6e952745cc52bbe767c642f...2a27.0
- /data/data/####/3cf75426a75c3a030606827e474727e3
- /data/data/####/3d064cf433c49ff77e775ed8a85063d0d3b6f17110123f9....0.tmp
- /data/data/####/3dbba8080d3f215cf7dfd8eb4cc359b9223d8bb3ff22d84....0.tmp
- /data/data/####/42ec47d66f9828ec67c44e86804d8a3a6b4d61424726a45....0.tmp
- /data/data/####/449078a4be7c85ec350eb255ea203e1bed07b77a7fdeb75....0.tmp
- /data/data/####/483b78a23fa147be2e8e7bbebaa430e5025a375565f9a84...7ad0.0
- /data/data/####/5974ae0a4cd8938f43aeb8fbe166319b19ee2ca2265c44a....0.tmp
- /data/data/####/5ea61f6daa37bb617f2ef101df3d3287aa45997bc58c0e3....0.tmp
- /data/data/####/64b8f044ae7dcfd8d85b2ff5886bf4793428272e6fb50c0....0.tmp
- /data/data/####/67644169151af03d823566ef1c826f48b548dee044b321a....0.tmp
- /data/data/####/72212bbbdeb56c8375a694488826c92b3ad88993f45814f....0.tmp
- /data/data/####/7a484c795452e6d0c0556dd9bdbf60f68c049b82282933c....0.tmp
- /data/data/####/7ed57b40a5605631ee941daa73a6efaf461bfe1d44a9881....0.tmp
- /data/data/####/861a81c19145c7da2c36c57edf05d7fb402e712f88a3bf3....0.tmp
- /data/data/####/88ae93feb974cd50861e5d67b83e0d6a45222adfa299529....0.tmp
- /data/data/####/8ca010c37241c3ea3d01fa4a58050504b25c3f4064ccb24....0.tmp
- /data/data/####/908891cd71d2ba3ce6e79209e0520a8430d9601f1d6b868....0.tmp
- /data/data/####/97698ce9ca7c77eab326c6d604c44a7b6cf015e29f446ab....0.tmp
- /data/data/####/9c1ae512cd55db2a2ac8efff0be522eae29b4cc22ddf38c...777c.0
- /data/data/####/9f02c3aef739a8a9b0120d137fb8d55538146d9e1dda004....0.tmp
- /data/data/####/AheadNews280.db-journal
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/PrefsFile.xml
- /data/data/####/UM_PROBE_DATA.xml
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/_tmp_PRIORITIZED_3484_1627166667975
- /data/data/####/_tmp_PRIORITIZED_3484_1627166670619
- /data/data/####/_tmp_PRIORITIZED_3645_1627166701119
- /data/data/####/_tmp_PRIORITIZED_3645_1627166701120
- /data/data/####/acc0090cd12cd85cdebbce65aa1cbf05dec71436540f777....0.tmp
- /data/data/####/alsn20170807.db
- /data/data/####/alsn20170807.db-journal
- /data/data/####/b4281e17486827bedf5d162ea4597f1f6e8a1f9f60da4ce....0.tmp
- /data/data/####/bcc52d8cf5a8574f20bcb2195a4815aebd17defe1ef269f....0.tmp
- /data/data/####/bd26fd3f69e71bfd57be435f7515d902f2e2d183b8f0f4a....0.tmp
- /data/data/####/bdb4d20e9a323d968551340e834d29e0cf0229065acd558....0.tmp
- /data/data/####/bee76d931a99e7d6b177158207098b9a6cae6e88af14db9....0.tmp
- /data/data/####/bfdfcc0a17706b3fd07355278e9ea3aff7c950ce1a73080....0.tmp
- /data/data/####/bullet_PRIORITIZED_3484_1627166670618
- /data/data/####/bullet_PRIORITIZED_3645_1627166701119
- /data/data/####/bullet_PRIORITIZED_3645_1627166705278
- /data/data/####/bullet_PRIORITIZED_3645_1627166711909
- /data/data/####/cdae7e8c22dd8d319d52eff2e206d122d7628219182f461....0.tmp
- /data/data/####/cedbc5c7ada55cb28af157f6e000caf09a2cf31a90a6448....0.tmp
- /data/data/####/cg.db-journal
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.dex;classes4.dex
- /data/data/####/classes.oat
- /data/data/####/com.honghe.android_preferences.xml
- /data/data/####/com.vivo.push_preferences.appconfig_v1.xml
- /data/data/####/com.vivo.push_preferences.xml
- /data/data/####/core_info
- /data/data/####/dim.db-journal
- /data/data/####/e2aea0d4a4fb1b90ba01bdac2fc4a2c0.0
- /data/data/####/ebc4170523d5c47e7c043510883cb47d81957b100f1a9d7....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f5fdee7db15174a6e1010d8b9bd25b30e82c0376ac9ae04...9dc5.0
- /data/data/####/getui_sp.xml
- /data/data/####/grp.prop
- /data/data/####/gtc3.db-journal
- /data/data/####/hmdb
- /data/data/####/hmdb-journal
- /data/data/####/i==1.2.0&&4.0.14_1627166699323_dW5pZnlfbG9ncw==;.log
- /data/data/####/info.xml
- /data/data/####/init_c1.pid
- /data/data/####/journal
- /data/data/####/journal.tmp
- /data/data/####/k.store
- /data/data/####/libjiagu.so
- /data/data/####/lotuseed.apps
- /data/data/####/lotuseed.lock
- /data/data/####/lotuseed.s
- /data/data/####/lotuseed.task
- /data/data/####/lotuseed_global.xml
- /data/data/####/lotuseed_main.xml
- /data/data/####/metrics_guid
- /data/data/####/proc_auxv
- /data/data/####/pushsdk.db-journal
- /data/data/####/pushservice_umeng_common_config.xml
- /data/data/####/s==7.1.4&&4.0.14_1627166706977_dW1weF9zaGFyZQ==;.log
- /data/data/####/share.db-journal
- /data/data/####/t==9.3.8&&4.0.14_1627166705383_dW5pZnlfbG9ncw==;.log
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbs_download_config.xml.bak
- /data/data/####/tbs_download_stat.xml
- /data/data/####/tbscoreinstall.txt
- /data/data/####/tbslock.txt
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/um_session_id.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/data/####/umeng_zcfg_flag
- /data/data/####/umeng_zero_cache.db
- /data/data/####/umeng_zero_cache.db-journal
- /data/data/####/umzid_general_config.xml
- /data/data/####/umzid_general_config.xml.bak
- /data/data/####/z==1.2.0&&4.0.14_1627166667777_emNmZw==;.log
- /data/data/####/zy_unique_id.bin
- /data/misc/####/primary.prof
- /data/user_de/####/move_to_de_records.xml
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- getprop ro.miui.ui.version.code
- getprop ro.miui.ui.version.name
- getprop ro.product.cpu.abi
- ls /
- ls /sys/class/thermal
- ps
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-CFB-NoPadding
- RSA-ECB-NoPadding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-CFB-NOPADDING
- AES-CFB-NoPadding
- RSA-ECB-PKCS1Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
