Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.2018
- Android.Triada.373.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) 8.2####.35.113:443
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(TLS/1.0) 1####.217.17.74:443
- TCP(TLS/1.0) 1####.217.19.202:443
- TCP(TLS/1.0) 8.2####.35.113:443
- TCP(TLS/1.2) 1####.250.179.195:443
- TCP(TLS/1.2) 2####.58.214.14:443
- TCP(TLS/1.2) 1####.217.17.74:443
- UDP 1####.217.19.202:443
- UDP p####.google####.com:443
Запросы DNS:
- l.ace####.com
- l.ace####.com.####.8
- loc.map.b####.com
- m####.go####.com
- p####.google####.com
- u####.u####.com
Запросы HTTP POST:
- 8.2####.35.113:443/unify_logs
- loc.map.b####.com/sdk.php
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.hptc.cache_om.ldt.wxdbs.mi
- /data/data/####/.imprint
- /data/data/####/4rO-syev3vYq74Yn6vB0mGVlRxCUlqz2.new
- /data/data/####/5Ocmyfn0Nc9jafVQ2syTNu8wApS6M9Hp6IIN9w13pb8=.new
- /data/data/####/6aeQgaNJv5PJBuzcsGb5wg==
- /data/data/####/6aeQgaNJv5PJBuzcsGb5wg==.new
- /data/data/####/7LmslkprM-VRRlU9FYyt2VKGhfAu4VZU.new
- /data/data/####/8BxWJr0dWNa4srX7c1xZfA==.new
- /data/data/####/8sS-75EZ4vROY3pCgT7XqVBfel5zCs86.new
- /data/data/####/9IieWKg1aQ3gbFNvzfq5MozIQoawt7N-.new
- /data/data/####/C41Kmh1QMi-fd0cip28P__so5drk3g4HZ15NsQ==.new
- /data/data/####/CwvBcPX5DCq8-xRwDhuDL-UWzaXZr3sb.new
- /data/data/####/DIa0ykC7Kyw4L3-T61gigU7RsU80_rSWQ3W3tw==.new
- /data/data/####/DKTEGbBg4Klv1r5CiPYrfbuYT3wh2OULKHlQ1L1KLUA=.new
- /data/data/####/ELqPvP154GgHy-YjtxdAG9Vip3w=.new
- /data/data/####/F-L61UP0msQ4KHwYPrGWCZshPj4WektK.new
- /data/data/####/FiJeAPZGTi2JgI9_xgHaaycy4tU=.new
- /data/data/####/J9hK1jxxDCZmEXKoEtuSGg==
- /data/data/####/MJ8DWWj-1aIkdiPv1rxxybmNwPIGv1ai.new
- /data/data/####/T0pqeF47henMrstJ
- /data/data/####/a==7.5.3&&1.1_1627842596267_envelope.log
- /data/data/####/bUhpUxLU6jHUwjL8QLInfqUqibL18sXi.new
- /data/data/####/bgaacYwZYZ20TkFVyflNtj4aJP0RHzFG.new
- /data/data/####/chpmGygMChOiDRmUnSY1bQAR4xw=.new
- /data/data/####/com.ldt.wxdbs.mi.v2.playerprefs.xml
- /data/data/####/d3jk6ld1lasm9kHmo3OiV-Cz9e8LOxNFUv-h8NMBEs4=.new
- /data/data/####/dW1weF9pbnRlcm5hbF8xNjI3ODQyNTk2MTM3;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNjI3ODQyNjAxMDE3;
- /data/data/####/egEnzDbcn4CgYfsQFzTgCg==.new
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/htWVJWUYNvRjDfYV
- /data/data/####/htWVJWUYNvRjDfYV.lk
- /data/data/####/i==1.2.0&&1.1_1627842597422_envelope.log
- /data/data/####/i==1.2.0&&1.1_1627842601108_envelope.log
- /data/data/####/info.xml
- /data/data/####/libtpgjni_10.8.3_0.so
- /data/data/####/oH7ONOEuLn6EveSNob0Scuzx2vaGXaDomVpCng==_CxscGP...ournal
- /data/data/####/oH7ONOEuLn6EveSNob0Scuzx2vaGXaDomVpCng==_CxscGPlWv7DEXRpn
- /data/data/####/oH7ONOEuLn6EveSNob0Scuzx2vaGXaDomVpCng==_YgagQw...ournal
- /data/data/####/oH7ONOEuLn6EveSNob0Scuzx2vaGXaDomVpCng==_YgagQw...qs3g==
- /data/data/####/oH7ONOEuLn6EveSNob0Scuzx2vaGXaDomVpCng==_f4E5ex...ournal
- /data/data/####/oH7ONOEuLn6EveSNob0Scuzx2vaGXaDomVpCng==_rYRJIw...ournal
- /data/data/####/oH7ONOEuLn6EveSNob0Scuzx2vaGXaDomVpCng==_rYRJIw...wrYcY=
- /data/data/####/oH7ONOEuLn6EveSNob0Scuzx2vaGXaDomVpCng==_y2D_A9...V8gA==
- /data/data/####/oH7ONOEuLn6EveSNob0Scuzx2vaGXaDomVpCng==_y2D_A9...ournal
- /data/data/####/ot09HYwHpSS67LkRveBZwkgXLtU=.new
- /data/data/####/proc_auxv
- /data/data/####/q4oYpGguawp3jyiyuND8nzIf3THNbcmhaMCT0rfiLS8=.new
- /data/data/####/rdata_comwyvjzruyjnv.new
- /data/data/####/runner_info.prop.new
- /data/data/####/sbvG3Rf8F7DpBU62_EI8gb6U8PM=
- /data/data/####/t82zAcjvN09BzFdtEOgM8g==
- /data/data/####/teuoaq_f.dex
- /data/data/####/teuoaq_f.dex.flock
- /data/data/####/teuoaq_f.dex.flock (deleted)
- /data/data/####/teuoaq_f.zip
- /data/data/####/uR0iVxQnzq6yBp6k.dex
- /data/data/####/uR0iVxQnzq6yBp6k.dex.flock (deleted)
- /data/data/####/uR0iVxQnzq6yBp6k.zip
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_config.xml.bak
- /data/data/####/umeng_common_location.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak
- /data/data/####/umeng_general_config.xml.bak (deleted)
- /data/data/####/umeng_it.cache
- /data/data/####/ykQgFBbcyc-yK2J1epNnsTDeZOA=
- /data/data/####/ykQgFBbcyc-yK2J1epNnsTDeZOA=.new
- /data/data/####/z_7OXEoRnO-aA7pNE7bnGip6Yq8z-oZUATeXaw==.new
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.nomedia
- /data/media/####/.umm.dat
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/r_pkDgN4OhnkSa0D
- /data/media/####/sysid.dat
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- /system/lib/arm/houdini /data/user/0/<Package>/code-9017213/htWVJWUYNvRjDfYV /data/user/0/<Package>/code-9017213/htWVJWUYNvRjDfYV -p <Package> -c com.wyvjz.ruyjnv.toffee.CitronReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- app_process /system/bin com.android.commands.am.Am broadcast -n <Package>/com.wyvjz.ruyjnv.toffee.CitronReceiver --es start_bc_send_id com.uu.action.wakeup --include-stopped-packages --user 0
- ls /
- ls /sys/class/thermal
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
