Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Ninebox.4.origin
Содержит типичный для банковских троянов/вирусов код.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) oc.u####.com:80
- TCP(HTTP/1.1) y####.b0.a####.com:80
- TCP(HTTP/1.1) b.nin####.cn:80
- TCP(HTTP/1.1) a####.u####.com.####.com:80
Запросы DNS:
- UrlSer####.sj.91.com
- a####.u####.com
- aos.w####.y####.net
- au.y####.net
- b.nin####.cn
- cfg.ads####.com
- cfg.ads####.mobi
- cfg.ads####.net
- cfg.ads####.org
- oc.gw.y####.net
- oc.u####.com
- r.y####.net
- s####.gw.y####.net
- znm.r####.net
Запросы HTTP GET:
- y####.b0.a####.com/offer/aos/offers.manifest
- y####.b0.a####.com/offer/aos/slient.html?type=####
- y####.b0.a####.com/offer/dist/aos/global/2.0.1/global.js
- y####.b0.a####.com/offer/dist/aos/img/blank.gif
- y####.b0.a####.com/offer/dist/aos/img/sprite-face.png
- y####.b0.a####.com/offer/dist/aos/img/sprite-icons.png
- y####.b0.a####.com/offer/dist/aos/lists/2.0.1/detail.js
- y####.b0.a####.com/offer/dist/aos/lists/2.0.1/lists.css
- y####.b0.a####.com/offer/dist/aos/lists/2.0.1/lists.js
- y####.b0.a####.com/offer/dist/aos/slient/2.0.1/slient.js
Запросы HTTP POST:
- a####.u####.com.####.com/app_logs
- b.nin####.cn/admin/scs.action?requestId=####
- oc.u####.com/check_config_update
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/1628514989006.jar
- /data/data/####/1628514989127.jar
- /data/data/####/1628514989248.jar
- /data/data/####/1628514989423.jar
- /data/data/####/1628514989436.jar
- /data/data/####/1628514999414.jar
- /data/data/####/1628514999829.jar
- /data/data/####/1628515000214.jar
- /data/data/####/1628515001115.jar
- /data/data/####/1628515001157.jar
- /data/data/####/Android.Sdk.Lib_20007_E2CEA8F734371AE25C8E6591C0738B49.jar
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/ApplicationCache.db-journal (deleted)
- /data/data/####/CE94557724F842149D690D0E8CBB1CBD.xml
- /data/data/####/OFFERSCONFIG1.xml
- /data/data/####/P15pKIjsm64m
- /data/data/####/P15pKIjsm64m-journal
- /data/data/####/T1oX0rhhuXWt
- /data/data/####/T1oX0rhhuXWt-journal
- /data/data/####/XKwVoK0huy3R
- /data/data/####/XKwVoK0huy3R-journal
- /data/data/####/app_sdk23930_.jar
- /data/data/####/app_sdk25530_.jar
- /data/data/####/app_sdk26170_.jar
- /data/data/####/app_sdk26300_.jar
- /data/data/####/app_sdk26440_.jar
- /data/data/####/app_sdk26650_.jar
- /data/data/####/baa.xml
- /data/data/####/bah.xml
- /data/data/####/baj.xml
- /data/data/####/bak.xml
- /data/data/####/bid.xml
- /data/data/####/bim.xml
- /data/data/####/cfj.xml
- /data/data/####/cft.xml
- /data/data/####/cix.xml
- /data/data/####/com_umeng__crash.cache
- /data/data/####/d_data_store.dat
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/eid.xml
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/index
- /data/data/####/jqIqJYOT3JpT
- /data/data/####/jqIqJYOT3JpT-journal
- /data/data/####/mobclick_agent_header_org.funship.findsomething...bf.xml
- /data/data/####/mobclick_agent_online_setting_org.funship.finds...bf.xml
- /data/data/####/mobclick_agent_state_org.funship.findsomething....bf.xml
- /data/data/####/pid.xml
- /data/data/####/pim.xml
- /data/data/####/s_data_store.dat
- /data/data/####/sid.xml
- /data/data/####/temp.jar
- /data/data/####/wIU6pTyUBYWX
- /data/data/####/wIU6pTyUBYWX-journal
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/wsUL1uCdKvjD
- /data/data/####/wsUL1uCdKvjD-journal
- /data/media/####/.cssproc2393
- /data/media/####/.cssproc2553
- /data/media/####/.cssproc2617
- /data/media/####/.cssproc2630
- /data/media/####/.cssproc2644
- /data/media/####/.cssproc2665
- /data/media/####/.csstmpc2393 (deleted)
- /data/media/####/.csstmpc2553 (deleted)
- /data/media/####/.csstmpc2617 (deleted)
- /data/media/####/.csstmpc2630 (deleted)
- /data/media/####/.csstmpc2644 (deleted)
- /data/media/####/.csstmpc2665 (deleted)
- /data/media/####/A1CFF58A170B42B30BEC96633A97E005
- /data/media/####/A96D2F4185860013E0F9705273FD5DC8
- /data/media/####/DA630D3D842FAE77C3A06B274506688C
- /data/media/####/MID.DAT
- /data/media/####/null.apk
- /data/media/####/rekoo.data
Другие:
Запускает следующие shell-скрипты:
- ps
- sh -c ps ><SD-Card>/.cssproc2393 2>/dev/null </dev/null
- sh -c ps ><SD-Card>/.cssproc2553 2>/dev/null </dev/null
- sh -c ps ><SD-Card>/.cssproc2617 2>/dev/null </dev/null
- sh -c ps ><SD-Card>/.cssproc2630 2>/dev/null </dev/null
- sh -c ps ><SD-Card>/.cssproc2644 2>/dev/null </dev/null
- sh -c ps ><SD-Card>/.cssproc2665 2>/dev/null </dev/null
Загружает динамические библиотеки:
- game
- megjb
Использует следующие алгоритмы для шифрования данных:
- DES
- PBEWITHMD5andDES
Использует следующие алгоритмы для расшифровки данных:
- DES
- RSA-ECB-PKCS1Padding
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
