Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.4567
- Android.Triada.574.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) i.ia####.com:80
- TCP(HTTP/1.1) 9vy####.lvdi####.com.####.com:80
- TCP(HTTP/1.1) j9####.i####.com.####.com:80
- TCP(HTTP/1.1) s3.amazo####.com:80
- TCP(HTTP/1.1) met####.sd####.com:80
- TCP(TLS/1.0) met####.sd####.com:443
- TCP(TLS/1.0) tpc.googles####.com:443
- TCP(TLS/1.0) googl####.g.doublec####.net:443
- TCP(TLS/1.0) 9vy####.lvdi####.com.####.com:443
- TCP(TLS/1.0) pag####.googles####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) u9####.j####.com.####.com:443
- TCP(TLS/1.0) lh3.googleu####.com:443
- TCP(TLS/1.0) 1####.251.36.35:443
- TCP(TLS/1.0) www.googlet####.com:443
- TCP(TLS/1.0) encrypt####.gst####.com:443
- TCP(TLS/1.0) firebas####.google####.com:443
- TCP(TLS/1.0) app-mea####.com:443
- TCP(TLS/1.0) csi.gst####.com:443
- TCP(TLS/1.0) j9####.i####.com.####.com:443
- TCP(TLS/1.0) rr2---s####.googlev####.com:443
- TCP(TLS/1.0) firebas####.crashly####.com:443
- TCP(TLS/1.2) app-mea####.com:443
- TCP(TLS/1.2) 1####.250.179.195:443
- TCP(TLS/1.2) firebas####.google####.com:443
- TCP(TLS/1.2) 1####.250.179.142:443
- TCP(TLS/1.2) 1####.250.179.170:443
Запросы DNS:
- 9vy####.lvdi####.com
- ao####.j####.com
- app-mea####.com
- csi.gst####.com
- encrypt####.gst####.com
- encrypt####.gst####.com
- encrypt####.gst####.com
- encrypt####.gst####.com
- f####.google####.com
- firebas####.crashly####.com
- firebas####.google####.com
- googl####.g.doublec####.net
- i.ia####.com
- j9####.i####.com
- lh3.googleu####.com
- m####.go####.com
- met####.sd####.com
- pag####.googles####.com
- rr2---s####.googlev####.com
- s3.amazo####.com
- test####.testket####.com
- test####.testket####.com.####.8
- tpc.googles####.com
- u9####.j####.com
- up####.sd####.com
- www.googlet####.com
- www.gst####.com
- xm####.ms####.com
Запросы HTTP GET:
- firebas####.crashly####.com:443/spi/v2/platforms/android/gmp/1:150137808...
- googl####.g.doublec####.net:443/mads/static/mad/sdk/native/production/mr...
- googl####.g.doublec####.net:443/pagead/adview?ai=####&sigh=####&cmd=####...
- googl####.g.doublec####.net:443/pagead/interaction/?ai=####&sigh=####&ci...
- j9####.i####.com.####.com:443/gp/dm/gpopacore.od
- met####.sd####.com/check?app_package_id=####
- met####.sd####.com:443/?{"Andro####&
- rr2---s####.googlev####.com:443/videoplayback?expire=####&ei=####&ip=###...
Запросы HTTP POST:
- 9vy####.lvdi####.com.####.com/wisdom/marking
- 9vy####.lvdi####.com.####.com:443/DLLogic/if
- firebas####.google####.com:443/v1/projects/knife-hit-master-252cb/instal...
- i.ia####.com/ms/ams
- j9####.i####.com.####.com/wisdom/marking
- s3.amazo####.com/
- u9####.j####.com.####.com:443/GPBehavior/bt
- u9####.j####.com.####.com:443/GPLogic/if
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-139605349995085421
- /data/data/####/-1661412709-2019316947
- /data/data/####/020fa92e4151f573_0
- /data/data/####/020fa92e4151f573_1
- /data/data/####/0423d96d4c631bf3_0
- /data/data/####/0870d3c6d26d722e_0
- /data/data/####/0affe383b9758eb8_0
- /data/data/####/0fe010e9219101ca_0
- /data/data/####/103
- /data/data/####/10a2954a8e5d26d4_0
- /data/data/####/10a2954a8e5d26d4_1
- /data/data/####/1624498498047.dex
- /data/data/####/1624498498047.dex.flock (deleted)
- /data/data/####/1624498498047.jar
- /data/data/####/1624498498047.tmp
- /data/data/####/1859fb883ce7549b_0
- /data/data/####/238007b033a72ecb_0
- /data/data/####/27aecdd4707966ec_0
- /data/data/####/30464f3e87388bfd_0
- /data/data/####/30464f3e87388bfd_1
- /data/data/####/3751f2405ae16a9c_0
- /data/data/####/385a44344215038b_0 (deleted)
- /data/data/####/3e793e8ca2531e78_0
- /data/data/####/3e793e8ca2531e78_1
- /data/data/####/3f26acfda2605b5b_0
- /data/data/####/456c15c4c6841a31_0
- /data/data/####/456c15c4c6841a31_1
- /data/data/####/45b3f60d12a17510_0
- /data/data/####/474e8222ae2c0e94_0
- /data/data/####/47c207ac978dbab1_0
- /data/data/####/47c207ac978dbab1_1
- /data/data/####/4a49188ca1071931_0
- /data/data/####/4bbca76312f90aad_0
- /data/data/####/4bbca76312f90aad_1
- /data/data/####/57569dfed298dfb5_0
- /data/data/####/57569dfed298dfb5_1
- /data/data/####/60ef4a402d68b9e3_0
- /data/data/####/6f0a76b44d7e938a_0
- /data/data/####/6f0a76b44d7e938a_1
- /data/data/####/7ce82ee5e3a98074_0
- /data/data/####/874eefd374f0a002_0
- /data/data/####/8cdce694e29dde63_0
- /data/data/####/9757914b668af1db_0
- /data/data/####/9757914b668af1db_1
- /data/data/####/98b855d41431919d_0
- /data/data/####/9b231126522ff46c_0 (deleted)
- /data/data/####/9c9fadad1290e767_0
- /data/data/####/Cocos2dxPrefsFile.xml
- /data/data/####/Cocos2dxPrefsFile.xml.bak
- /data/data/####/Cookies-journal
- /data/data/####/FirebaseAppHeartBeat.xml
- /data/data/####/FirebaseAppHeartBeat.xml.bak
- /data/data/####/PersistedInstallation1769548077tmp
- /data/data/####/PersistedInstallation2035569093tmp
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/a48a453b5b26c9b2_0
- /data/data/####/ab18b6cac6f8222f_0
- /data/data/####/admob.xml
- /data/data/####/androidx.work.workdb-journal (deleted)
- /data/data/####/app.json
- /data/data/####/appsflyer-data.xml
- /data/data/####/audience_network.dex
- /data/data/####/audience_network.dex.flock (deleted)
- /data/data/####/c34ba1ed52a92c0b_0
- /data/data/####/c354aef7ff69807a_0
- /data/data/####/c4ca4238a0b923820dcc509a6f75849b.dex
- /data/data/####/c4ca4238a0b923820dcc509a6f75849b.dex.flock (deleted)
- /data/data/####/c4ca4238a0b923820dcc509a6f75849b.jar
- /data/data/####/c4ca4238a0b923820dcc509a6f75849b.oc
- /data/data/####/com.google.android.datatransport.events-journal
- /data/data/####/com.google.android.gms.measurement.prefs.xml
- /data/data/####/com.google.firebase.crashlytics.xml
- /data/data/####/com.knife.hitmaster.adssettings.xml
- /data/data/####/com.knife.hitmaster.promotion.xml
- /data/data/####/com.knife.hitmaster_preferences.xml
- /data/data/####/crashlytics-userlog-61704D9C00BF00010EE2E63FAD7...mp.tmp
- /data/data/####/d07f2858fcab6218_0
- /data/data/####/d553f2f7bd93b1ee_0
- /data/data/####/de7a2ecfa3de31b7_0
- /data/data/####/device.json
- /data/data/####/dfe6b2497a7513ba_0
- /data/data/####/evfjhxex.dex
- /data/data/####/evfjhxex.dex.flock (deleted)
- /data/data/####/evfjhxex.jar
- /data/data/####/f038e94cb33282ab_0
- /data/data/####/f9a0bd2bd74bc943_0
- /data/data/####/f9a0bd2bd74bc943_1
- /data/data/####/fa2dcd1bcdf97d5a_0
- /data/data/####/fa2dcd1bcdf97d5a_1
- /data/data/####/fairbid.privacy.xml
- /data/data/####/fcca4a6372c59927_0
- /data/data/####/gameid
- /data/data/####/gameid.zip
- /data/data/####/generatefid.lock
- /data/data/####/gfhp.png
- /data/data/####/google_app_measurement_local.db
- /data/data/####/google_app_measurement_local.db-journal
- /data/data/####/https_googleads.g.doubleclick.net_0.localstorage-journal
- /data/data/####/index
- /data/data/####/info.db
- /data/data/####/initialization_marker
- /data/data/####/kngggdsalj11444
- /data/data/####/knifedsaljdnz1
- /data/data/####/knifedsaljdserr
- /data/data/####/libyxed.so
- /data/data/####/libyxed.so-32
- /data/data/####/libyxed.so-64
- /data/data/####/metrics_guid
- /data/data/####/os.json
- /data/data/####/proc_auxv
- /data/data/####/report
- /data/data/####/sdkbox_track
- /data/data/####/session.json
- /data/data/####/the-real-index
- /data/data/####/tracking_mask.xml
- /data/data/####/yd_config_c.xml
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- cat /proc/version
- cat /sys/class/net/wlan0/address
- getprop
- getprop ro.board.platform
- getprop ro.product.cpu.abi
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
