Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.1007.origin
- Android.RemoteCode.231.origin
- Android.Triada.4567
- Android.Triada.510.origin
- Android.Triada.573.origin
Детект на основе машинного обучения.
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) dwq.fs####.com:80
- TCP(HTTP/1.1) jz####.mc####.com:12029
- TCP(HTTP/1.1) d####.dd7####.com:80
- TCP(HTTP/1.1) z.c####.com:80
- TCP(HTTP/1.1) hw9####.new####.com:80
- TCP(HTTP/1.1) s####.b####.com:80
- TCP(HTTP/1.1) a####.r####.com:13002
- TCP(HTTP/1.1) api.applove####.com:80
- TCP(TLS/1.0) sto####.google####.com:443
- TCP(TLS/1.0) sup####.go####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) hcap####.com:443
- TCP(TLS/1.0) ch####.go####.com:443
- TCP(TLS/1.0) wcf.seven####.com:443
- TCP(TLS/1.0) enters####.com:443
- TCP(TLS/1.0) fo####.site:443
- TCP(TLS/1.0) p####.go####.com:443
- TCP(TLS/1.0) lh3.googleu####.com:443
- TCP(TLS/1.0) gd.a.s####.com:443
- TCP(TLS/1.0) ssl.google-####.com:443
- TCP(TLS/1.0) a####.go####.com:443
- TCP(TLS/1.0) f####.google####.com:443
- TCP(TLS/1.0) 1####.177.14.95:443
- TCP(TLS/1.0) scon####.clie####.go####.com:443
- TCP(TLS/1.0) www.google-####.com:443
- TCP(TLS/1.0) www.cloudf####.com:443
- TCP(TLS/1.0) 126194b####.tcadsro####.com:443
- TCP(TLS/1.0) android####.go####.com:443
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) 1####.251.1.95:443
- TCP(TLS/1.0) purpl####.net:443
- TCP(TLS/1.2) 64.2####.162.94:443
- TCP(TLS/1.2) 1####.177.14.95:443
- TCP(TLS/1.2) a####.go####.com:443
- TCP(TLS/1.2) 1####.194.73.138:443
- TCP(TLS/1.2) 64.2####.164.95:443
- UDP 64.2####.164.95:443
- UDP r3---sn####.g####.com:443
- UDP 1####.177.14.95:443
Запросы DNS:
- 126194b####.tcadsro####.com
- a####.go####.com
- a####.r####.com
- android####.go####.com
- api.applove####.com
- ch####.go####.com
- d####.dd7####.com
- dwq.fs####.com
- enters####.com
- f####.google####.com
- f####.gst####.com
- fo####.site
- hcap####.com
- hw9####.new####.com
- jz####.mc####.com
- lh3.googleu####.com
- m####.go####.com
- newas####.hcap####.com
- nu####.js####.com
- p####.go####.com
- purpl####.net
- pv.s####.com
- r3---sn####.g####.com
- s####.b####.com
- scon####.clie####.go####.com
- ssl.google-####.com
- ssl.gst####.com
- sto####.google####.com
- sup####.go####.com
- wcf.seven####.com
- www.cloudf####.com
- www.go####.com
- www.google-####.com
- www.gst####.com
- x####.shewan####.net
- x####.shewan####.net.####.8
- z9.c####.com
Запросы HTTP GET:
- api.applove####.com/api/v3/cache/get?osv=####&srnc=####&token=####&ds=##...
- api.applove####.com/api/v3/search/get?osv=####&token=####&pm=####&os=###...
- api.applove####.com/api/v3/template/get?slot_id=####&update_time=####&us...
- d####.dd7####.com/upload/hw/batdex20191010.jar
- d####.dd7####.com/upload/hw/c1005dex20190527.jar
- d####.dd7####.com/upload/hw/h5rq20191022.jar
- d####.dd7####.com/upload/hw/kklz02dex20200414.jar
- d####.dd7####.com/upload/hw/lsdk20200506.jar
- d####.dd7####.com/upload/hw/mf20200508.jar
- d####.dd7####.com/upload/hw/qcdex20200316.jar
- d####.dd7####.com/upload/plog/cy1105.jar
- d####.dd7####.com/upload/plog/jar20190515.jar
- d####.dd7####.com/upload/plog/jrw20210630.jar
- d####.dd7####.com/upload/plog/kk20201106.jar
- d####.dd7####.com/upload/plog/ps20210219.jar
- d####.dd7####.com/upload/plog/sdk0625.jar
- d####.dd7####.com/upload/plog/sh290_20210810.jar
- d####.dd7####.com/upload/plog/skk20210416.jar
- d####.dd7####.com/upload/plog/xianmm0512.jar
- d####.dd7####.com/upload/plog/yeah0510.jar
- dwq.fs####.com/dtbx/yeahmobi/unsigned.zip
- dwq.fs####.com/dtbx/yunshi/awli-release.zip
- dwq.fs####.com/plugins/applh0723.zip
- dwq.fs####.com/plugins/dp2.zip
- dwq.fs####.com/plugins/yz058Uc30i0913.zip
- fo####.site:443/ewewew/s20211101220628.1
- gd.a.s####.com:443/cityjson
- purpl####.net:443/frozentalented.php?fdate=####
- s####.b####.com/redirect?s=####&at=####&rt=####&s1=####
- sup####.go####.com:443/chrome_webstore/answer/1047776?hl=####&topic=####
- www.cloudf####.com:443/5xx-error-landing
- z.c####.com/stat.htm?id=####&cnzz_eid=####
Запросы HTTP POST:
- a####.r####.com:13002/84gcjmo/
- a####.r####.com:13002/ck0k66o/
- a####.r####.com:13002/v1jyved/
- hw9####.new####.com/api/activite
- hw9####.new####.com/api/back
- hw9####.new####.com/api/offer
- hw9####.new####.com/api/tbdynamic
- hw9####.new####.com/apidata/showeb
- jz####.mc####.com:12029/hfdlls/
- jz####.mc####.com:12029/i3v8nb/
- jz####.mc####.com:12029/lfkdnr/
- wcf.seven####.com:443/AAService.svc/dsaxefdeqwe
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.xu
- /data/data/####/00aaad2144a80a89_0
- /data/data/####/017efd0de45a23ab_0
- /data/data/####/017efd0de45a23ab_1
- /data/data/####/04eca5dcf3bc10a2_0
- /data/data/####/06f27aa7ceba7051_0
- /data/data/####/074196bf699c8e82_0 (deleted)
- /data/data/####/08e12f1616dfd07c_0
- /data/data/####/1858511b6348b2df_0
- /data/data/####/1bf3c69359de58d4_0 (deleted)
- /data/data/####/1c0a675ef6e37c01_0
- /data/data/####/1c30fb8ce90002a2_0
- /data/data/####/1cf6ed6b02488268_0
- /data/data/####/1d338a2b4a5274e0_0
- /data/data/####/262a31594a288433_0
- /data/data/####/263f74ef6c544446_0
- /data/data/####/263f74ef6c544446_1
- /data/data/####/2940195bd9870d6e_0
- /data/data/####/2940195bd9870d6e_1
- /data/data/####/31a5788321d1c727_0
- /data/data/####/32f25cab76348f81_0
- /data/data/####/3e26e43ca1d008eb_0 (deleted)
- /data/data/####/43db1a17005e0cd7_0 (deleted)
- /data/data/####/443c62bb19f07ed8_0
- /data/data/####/443c62bb19f07ed8_1
- /data/data/####/47AB7209AD7ACF4EB1EA636A3039D803
- /data/data/####/4B8D49FB58D68A9143C86DF5979F4158.dex
- /data/data/####/4B8D49FB58D68A9143C86DF5979F4158.dex.flock (deleted)
- /data/data/####/4B8D49FB58D68A9143C86DF5979F4158.temp
- /data/data/####/4B8D49FB58D68A9143C86DF5979F4158.zip
- /data/data/####/525d3e14aaaf4f46_0
- /data/data/####/525d3e14aaaf4f46_1
- /data/data/####/550a309cc3d2e8ed_0 (deleted)
- /data/data/####/5552dc6165c4bddc_0
- /data/data/####/5552dc6165c4bddc_1
- /data/data/####/5A064F2364D48401E82059BE1BFB3FC6
- /data/data/####/5A064F2364D48401E82059BE1BFB3FC6.dex
- /data/data/####/5A064F2364D48401E82059BE1BFB3FC6.dex.flock (deleted)
- /data/data/####/5A064F2364D48401E82059BE1BFB3FC6.jar
- /data/data/####/5A064F2364D48401E82059BE1BFB3FC6.temp
- /data/data/####/6273bbb35430bd69_0
- /data/data/####/6f54bbf1a606885c_0
- /data/data/####/6f756597d4bcdc68_0
- /data/data/####/7269444831313c60_0
- /data/data/####/8488a61f5914acfc_0
- /data/data/####/8a067f6e2fed118f_0
- /data/data/####/8a067f6e2fed118f_1
- /data/data/####/8e75aa365094467e_0
- /data/data/####/8e8dcd288a0d7920_0
- /data/data/####/8e8dcd288a0d7920_1
- /data/data/####/90FCBC4E72D8C499954E2A48BD6A2C19
- /data/data/####/90FCBC4E72D8C499954E2A48BD6A2C19.dex
- /data/data/####/90FCBC4E72D8C499954E2A48BD6A2C19.dex.flock (deleted)
- /data/data/####/90FCBC4E72D8C499954E2A48BD6A2C19.jar
- /data/data/####/90FCBC4E72D8C499954E2A48BD6A2C19.temp
- /data/data/####/92803EBB7D87B2E67FB0CEF6704D2D24
- /data/data/####/975d610d54f607dc_0
- /data/data/####/975d610d54f607dc_1
- /data/data/####/C3B2481BF31F7E7DF213B1679D8AFC65
- /data/data/####/Cookies-journal
- /data/data/####/E7C8A3F6E0E20F381FF38DF485FCE16E.dex
- /data/data/####/E7C8A3F6E0E20F381FF38DF485FCE16E.dex.flock (deleted)
- /data/data/####/E7C8A3F6E0E20F381FF38DF485FCE16E.temp
- /data/data/####/E7C8A3F6E0E20F381FF38DF485FCE16E.zip
- /data/data/####/F73811C2013B84778D431A6EE070420A.dex
- /data/data/####/F73811C2013B84778D431A6EE070420A.dex.flock (deleted)
- /data/data/####/F73811C2013B84778D431A6EE070420A.jar
- /data/data/####/F73811C2013B84778D431A6EE070420A.temp
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/a94144b7cd0ed128_0
- /data/data/####/aa120b02a4abc561_0
- /data/data/####/afb541782811a7d6_0
- /data/data/####/afbbde.dex
- /data/data/####/afbbde.dex.flock (deleted)
- /data/data/####/afbbde.jar
- /data/data/####/androidxcorefreec7z.
- /data/data/####/androidxcorefreec7z.dex
- /data/data/####/androidxcorefreec7z.dex.flock (deleted)
- /data/data/####/ba1c33eef54dda0b_0
- /data/data/####/baf9b215c54a8eea_0
- /data/data/####/be5f1da69d3345dc_0
- /data/data/####/c8460155075705fa_0
- /data/data/####/ca49e7a8a9323ede_0 (deleted)
- /data/data/####/cadb628c713aac55_0 (deleted)
- /data/data/####/cd23423423423
- /data/data/####/cd3fe16455917615_0
- /data/data/####/cdc42ef12a511766_0 (deleted)
- /data/data/####/cf9013b147d03c75_0
- /data/data/####/core.quest.bitmap.letout_ct_default.xml
- /data/data/####/core.quest.bitmap.letout_preferences.xml
- /data/data/####/core.quest.bitmap.letoutye_after_install_pkg.xml
- /data/data/####/d4da87c98d403eb3_0
- /data/data/####/d5d3c41f399cc6eb_0 (deleted)
- /data/data/####/d8e593852eb35d1c_0 (deleted)
- /data/data/####/dc92dabf65dab167_0
- /data/data/####/df4essr.xml
- /data/data/####/df4essr.xml.bak
- /data/data/####/e1ac4423e7e06d47_0
- /data/data/####/e26bdc34d1db8153_0
- /data/data/####/e3f4r3ed.data-journal
- /data/data/####/e655a77282561cb0_0
- /data/data/####/e655a77282561cb0_1
- /data/data/####/f03686f09c91573a_0 (deleted)
- /data/data/####/f554859bc5ce3d24_0
- /data/data/####/f554859bc5ce3d24_1
- /data/data/####/fc57bd245627f956_0
- /data/data/####/fc57bd245627f956_1
- /data/data/####/fc96a5857a47d74f_0
- /data/data/####/gameid
- /data/data/####/gameid.zip
- /data/data/####/gczt.png
- /data/data/####/https_support.google.com_0.localstorage-journal
- /data/data/####/index
- /data/data/####/jq
- /data/data/####/libkezc.so
- /data/data/####/libkezc.so-32
- /data/data/####/libkezc.so-32 (deleted)
- /data/data/####/libkezc.so-64
- /data/data/####/libsszf.so
- /data/data/####/libsszf.so-32
- /data/data/####/libsszf.so-64
- /data/data/####/metrics_guid
- /data/data/####/ncy.xml
- /data/data/####/ofew.png
- /data/data/####/s1s1k1_c2o3n23f2i3g2.xml
- /data/data/####/s3p43_W12312312.xml
- /data/data/####/s3p43_W12312312.xml.bak
- /data/data/####/sp_dojz.xml
- /data/data/####/sp_dojz.xml.bak (deleted)
- /data/data/####/sp_gvusnr.xml
- /data/data/####/the-real-index
- /data/data/####/tvv.xml
- /data/data/####/wo
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- app_process /system/bin com.android.commands.pm.Pm list package -3
- cat /proc/version
- cat /sys/class/net/wlan0/address
- getprop ro.yunos.build.version
- sh
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
- RSA-None-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
- RSA-None-PKCS1Padding
- desede-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Запрашивает разрешение на отображение системных уведомлений.
