Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.1248
- Android.Triada.2018
- Android.Triada.373.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) api.g####.m####.com:80
- TCP(HTTP/1.1) i####.cn.com:80
- TCP(HTTP/1.1) 1####.159.53.238:80
- TCP(HTTP/1.1) 1####.159.208.192:80
- TCP(HTTP/1.1) 1uxip####.m####.com.####.com:80
- TCP(TLS/1.0) gv1.x####.com:443
- TCP(TLS/1.0) servic####.m####.com:443
Запросы DNS:
- api.g####.m####.com
- gv1.x####.com
- i####.cn.com
- l.ace####.com
- pg.x####.com
- servic####.m####.com
- u####.m####.com
- u.m####.com
- unitedp####.lemuel####.com
- uxip####.m####.com
Запросы HTTP GET:
- 1uxip####.m####.com.####.com/resource/v3/config/1VET833CAHCBCPDG9R5M7V0L
- i####.cn.com/a/3fc2a1053f475ae10e1f2398394c52ecb
Запросы HTTP POST:
- api.g####.m####.com/game/notice/list
- gv1.x####.com:443/g/d?crc=####
- servic####.m####.com:443/interface/locate
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-GXYd-oyaSTKIeGYkSXeC9ZStlQ=.new
- /data/data/####/.jg.ic
- /data/data/####/.udid
- /data/data/####/3WXjt77AEZI7zvx6ozg3A9Ilpwj_bh-FKEB8lQ==.new
- /data/data/####/3fc2a1053f475ae10e1f2398394c52ecb;account_file.xml
- /data/data/####/3t7dSFTKPwkD_MhMsBsa_vZKKUuvUPgTW_2Vi-rmEHY=.new
- /data/data/####/5Reiac51tLIRCTPkDBOIqYlYyZg=
- /data/data/####/5VRhPdTsWpGvaOlh.zip
- /data/data/####/74306d4eaadb45b0.jar
- /data/data/####/DHA_rGS_rJ6lmZSg-Q4Rlh_EMyKCwks_.new
- /data/data/####/EahH4SHGtN1vuYlYm6M9LOvu1FkjBTrl.new
- /data/data/####/GameService.apk
- /data/data/####/HFx560ciskOM3q2nG2_zNLQXVfRDxNpu.new
- /data/data/####/Id4oiBlhKASh_PHIpwe4SDrT2gg=.new
- /data/data/####/NxelgKjea993QMc9gwKcRC25ACrb-6pjRbYl5ciI5y7Rcyw...41kQ==
- /data/data/####/NxelgKjea993QMc9gwKcRC25ACrb-6pjRbYl5ciI5y7Rcyw...ETdU0z
- /data/data/####/NxelgKjea993QMc9gwKcRC25ACrb-6pjRbYl5ciI5y7Rcyw...G1ZQ==
- /data/data/####/NxelgKjea993QMc9gwKcRC25ACrb-6pjRbYl5ciI5y7Rcyw...ONItc=
- /data/data/####/NxelgKjea993QMc9gwKcRC25ACrb-6pjRbYl5ciI5y7Rcyw...ournal
- /data/data/####/P4kAH7yzJtN2IZQh0UeYeNtw8QiJEwHid-U8_w==.new
- /data/data/####/P__wjVNT4ibpkETJqQMoDcB1qyY=.new
- /data/data/####/SGfXbJgfYfFVtbSRLFRzKqLogS194Bvi.new
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/UNITEDPAYACTLIST_
- /data/data/####/WOcyHJ1rbLlIL2ODlwdjJhd_sxY=.new
- /data/data/####/XC1E0CDVHLQlRYRjZCnXdA==.new
- /data/data/####/Y0JUlyF1rW0u_twgHK1U7A==.new
- /data/data/####/Z1pNcRyzwn5mOZb1kQKI7PcYUeQyoeDI.new
- /data/data/####/ZCeoEgqwdALRzN9gFbEsrw==
- /data/data/####/_JQrYEpD7yRQUTdDgoVY86qFhgIspsIQc1leplPf670=.new
- /data/data/####/_t6okSoF6oxe-4Xz5r4XRn4mwwo=.new
- /data/data/####/a08d9bdd9bb63f00.jar
- /data/data/####/announcement_pref.xml
- /data/data/####/ceee1ced6b3c5712.jar
- /data/data/####/codex.so
- /data/data/####/codex_inner.so
- /data/data/####/com.meizu.statsapp.v3.httpkey.xml
- /data/data/####/com.meizu.statsapp.v3.lib.plugin.apk
- /data/data/####/com.meizu.statsapp.v3.plugin_dex.xml
- /data/data/####/com.meizu.statsapp.v3.request_feq_restrict.xml
- /data/data/####/com.meizu.statsapp.v3.serverconfig.xml
- /data/data/####/com.meizu.statsapp.v3.simple_crypto_AES.xml
- /data/data/####/dbR5Vusam6p9IP0nFthe0Acp2WAItpWF.new
- /data/data/####/djr66HK3iq6qGwH1-uEKGI2u3GlD8VvSjKXo1m0V6Bc=.new
- /data/data/####/ins_plugin_ver.xml
- /data/data/####/jOufsbvpZ2oi_h9OerH295eJm2M=.new
- /data/data/####/lWLAXC0qGfdOoSBsV7ZB-Q==.new
- /data/data/####/lemuel_security_inner.so
- /data/data/####/libentryexpro.so
- /data/data/####/libind-pay-secure.so
- /data/data/####/libjiagu1537809139.so
- /data/data/####/libmzgamesdk.so
- /data/data/####/libplugin_phone.so
- /data/data/####/libuptsmaddon.so
- /data/data/####/p1R0kwz8RLCAXDtx
- /data/data/####/p7HDccfmp5Kjw_Rz
- /data/data/####/pref_file.xml
- /data/data/####/qHdU3jl8dEqOuM8M5cxTsA==
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/qujevg_f.zip
- /data/data/####/rdata_yykxglhnearmegamecenter.new
- /data/data/####/rp5u3cUrK2NIfcVQO7Ed5qQhhb0LGgCLz0sZ_NWMq1Q=.new
- /data/data/####/runner_info.prop.new
- /data/data/####/sCgEJXX5uOIaFMO7D5WNQznQlZ6KbwIV2hTLRw==.new
- /data/data/####/statsapp_v3.db
- /data/data/####/statsapp_v3.db-journal
- /data/data/####/talkingdata_app.db-journal
- /data/data/####/talkingdata_app_process_preferences_file
- /data/data/####/talkingdata_app_version_preferences_file
- /data/data/####/td_pefercen_profile.xml
- /data/data/####/tdid.xml
- /data/data/####/tvrvrbqTWgahjbhfdwtnEaI7usrWQfvp.new
- /data/data/####/ufkrwQEJMczI3Ds6UQtQWJI07qqu-I-q.new
- /data/data/####/yyk.xglh.mz_preferences.xml
- /data/media/####/-1969128579-804224413
- /data/media/####/.nomedia
- /data/media/####/.tcookieid
- /data/media/####/21370260171475755583
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/CrashLog_2021-09-09.txt
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/gslb_log.txt
- /data/media/####/r_pkDgN4OhnkSa0D
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-9598886/p7HDccfmp5Kjw_Rz -p <Package> -c yyk.xglh.nearme.gamecenter.entity.HollyReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- chmod 755 <Package Folder>/.jiagu/libjiagu1537809139.so
- sh <Package Folder>/code-9598886/p7HDccfmp5Kjw_Rz -p <Package> -c yyk.xglh.nearme.gamecenter.entity.HollyReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- _lemuel_security
- cocos2dlua
- codex
- codex_inner
- lemuel_security_inner
- libjiagu1537809139
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES
- RSA-ECB-PKCS1Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Получает информацию о привязанных к устройству аккаунтах (Google, Facebook и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из SMS.
Запрашивает разрешение на отображение системных уведомлений.
