Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.566.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) api.applove####.com:80
- TCP(TLS/1.0) al####.u####.com:443
- TCP(TLS/1.0) api.x####.com:443
- TCP(TLS/1.0) api.appsf####.com:443
- TCP(TLS/1.0) gd.a.s####.com:443
- TCP(TLS/1.0) www.a.sh####.com:443
- TCP(TLS/1.0) sconten####.xx.f####.net:443
- TCP(TLS/1.0) api.anythin####.com:443
- TCP(TLS/1.0) t.appsf####.com:443
- TCP(TLS/1.0) api.face####.com:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
- TCP(TLS/1.0) x8files####.f####.myqc####.com:443
- TCP(TLS/1.0) wcf.seven####.com:443
- TCP(TLS/1.0) 1####.250.102.95:443
- TCP(TLS/1.0) alibaba####.ten####.ali####.com:443
- TCP(TLS/1.0) fo####.site:443
- TCP(TLS/1.0) da.anythin####.com:443
- TCP(TLS/1.2) 1####.250.27.95:443
- TCP(TLS/1.2) 1####.250.102.94:443
- TCP(TLS/1.2) 1####.250.102.95:443
- UDP 1####.250.27.95:443
Запросы DNS:
- a####.u####.com
- al####.u####.com
- and####.cli####.go####.com
- api.anythin####.com
- api.applove####.com
- api.appsf####.com
- api.x####.com
- da.anythin####.com
- fo####.site
- g####.face####.com
- m####.go####.com
- pv.s####.com
- sconten####.xx.f####.net
- t.appsf####.com
- wcf.seven####.com
- www.b####.com
- x8files####.f####.myqc####.com
Запросы HTTP GET:
- api.applove####.com/api/v3/cache/get?osv=####&srnc=####&token=####&ds=##...
- api.applove####.com/api/v3/search/get?osv=####&token=####&pm=####&os=###...
- api.applove####.com/api/v3/template/get?slot_id=####&update_time=####&us...
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/1.acc.apk
- /data/data/####/1.acc.dex
- /data/data/####/1.acc.dex.flock (deleted)
- /data/data/####/1.touch.apk
- /data/data/####/1.touch.dex
- /data/data/####/1.touch.dex.flock (deleted)
- /data/data/####/Cocos2dxPrefsFile.xml
- /data/data/####/DATA_DETECTION_ADDRESS_1
- /data/data/####/OCEANWAR.xml
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/a==9.3.8+000&&1.70_1627766631000_dW5pZnlfbG9ncw==;.log
- /data/data/####/ad_config.xml
- /data/data/####/anythink.db-journal
- /data/data/####/anythink_agent_log
- /data/data/####/anythink_placement_strategy_update_check.xml
- /data/data/####/anythink_sdk.xml
- /data/data/####/anythink_sdk.xml.bak
- /data/data/####/anythink_temp_log
- /data/data/####/appsflyer-data.xml
- /data/data/####/appsflyer-data.xml.bak
- /data/data/####/c34a4c3h54e6_TYUYRTTYT
- /data/data/####/classes.dex
- /data/data/####/classes.dex.flock (deleted)
- /data/data/####/cloud_config.xml
- /data/data/####/cloud_config.xml.bak
- /data/data/####/com.facebook.internal.MODEL_STORE.xml
- /data/data/####/com.facebook.internal.PURCHASE.xml
- /data/data/####/com.facebook.internal.SKU_DETAILS.xml
- /data/data/####/com.facebook.internal.preferences.APP_GATEKEEPERS.xml
- /data/data/####/com.facebook.internal.preferences.APP_SETTINGS.xml
- /data/data/####/com.facebook.sdk.USER_SETTINGS.xml
- /data/data/####/com.facebook.sdk.appEventPreferences.xml
- /data/data/####/com.facebook.sdk.attributionTracking.xml
- /data/data/####/com.neptune.domino_ct_default.xml
- /data/data/####/com.neptune.domino_preferences.xml
- /data/data/####/com.neptune.dominoye_after_install_pkg.xml
- /data/data/####/commaincgvvvv.
- /data/data/####/commaincgvvvv.dex (deleted)
- /data/data/####/commaincgvvvv.dex.flock (deleted)
- /data/data/####/exc_log.xml
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/i==9.3.8+000&&1.70_1627766630061_dW5pZnlfbG9ncw==;.log
- /data/data/####/libacc.so
- /data/data/####/libsubstrate.so
- /data/data/####/libumeng-spy.so
- /data/data/####/libx8mt.so
- /data/data/####/metrics_guid
- /data/data/####/mta.apk
- /data/data/####/mta.dex
- /data/data/####/mta.dex.flock (deleted)
- /data/data/####/proc_auxv
- /data/data/####/s1s1k1_c2o3n23f2i3g2.xml
- /data/data/####/s3p43_OIUTIUYT.xml
- /data/data/####/s3p43_OIUTIUYT.xml.bak
- /data/data/####/t==9.3.8+000&&1.70_1627766630832_dW5pZnlfbG9ncw==;.log
- /data/data/####/touch_lib.oct
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_session_id.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_config.xml.bak
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_zcfg_flag
- /data/data/####/umeng_zero_cache.db
- /data/data/####/umeng_zero_cache.db-journal
- /data/data/####/umzid_general_config.xml
- /data/data/####/umzid_general_config.xml.bak
- /data/data/####/uuid.xml
- /data/data/####/x8_misc.xml
- /data/data/####/x8_misc.xml.bak
- /data/data/####/z==1.2.0&&1.70_1627766621237_emNmZw==;.log
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.smartisan.version
- getprop ro.vivo.os.version
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- desede-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
