Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Banker.480.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) 3303####.com:80
- TCP(HTTP/1.1) l####.tbs.qq.com:80
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) z.c####.com:443
- TCP(TLS/1.0) al####.u####.com:443
- TCP(TLS/1.0) r3---sn####.g####.com:443
- TCP(TLS/1.0) gm.mm####.com:443
- TCP(TLS/1.0) r5---sn####.g####.com:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) c.c####.com:443
- TCP(TLS/1.0) 3303####.com:443
- TCP(TLS/1.0) def####.duals####.cn.####.com:443
- TCP(TLS/1.0) l####.b####.com:443
- TCP(TLS/1.0) 1####.250.179.206:443
- TCP(TLS/1.2) 2####.58.214.10:443
- TCP(TLS/1.2) 1####.250.179.142:443
- TCP(TLS/1.2) 1####.250.179.195:443
- UDP r3---sn####.g####.com:443
- UDP p####.google####.com:443
- UDP 2####.58.214.10:443
Запросы DNS:
- 3303####.com
- and####.google####.com
- c####.mm####.com
- c.c####.com
- l####.b####.com
- l####.tbs.qq.com
- p####.google####.com
- plb####.u####.com
- r3---sn####.g####.com
- r5---sn####.g####.com
- s4.c####.com
- u####.u####.com
- www.3303####.com
- z3.c####.com
Запросы HTTP GET:
- 3303####.com/
Запросы HTTP POST:
- al####.u####.com:443/unify_logs
- def####.duals####.cn.####.com:443/umpx_internal
- l####.tbs.qq.com/ajax?c=####&k=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/071e22c95ddae2bc_0
- /data/data/####/0c7644e45821a7e6_0
- /data/data/####/17e39df107ede2b7_0
- /data/data/####/190f9d24424feb0c_0
- /data/data/####/1a9827db28f12fe2_0
- /data/data/####/1afa67b3234ed76d_0
- /data/data/####/256a1cd6ad44cc5a_0
- /data/data/####/27f594b235d76663_0
- /data/data/####/2f14d660b67f7854_0
- /data/data/####/36d4c179ea7bbaa1_0
- /data/data/####/3a78645107cca3c9_0
- /data/data/####/3b02b9ecd3ae3477_0
- /data/data/####/3b02b9ecd3ae3477_1
- /data/data/####/3bed3712edcdc4af_0
- /data/data/####/3c0865e6fdbbdcb5_0
- /data/data/####/4094eed9a0c1c920_0
- /data/data/####/43a401239d9366a6_0
- /data/data/####/458b3d6963718dd7_0
- /data/data/####/493f7e98f2ae611d_0
- /data/data/####/4b164d4ee05079ee_0
- /data/data/####/51e332e25de9360a_0
- /data/data/####/5be1b473883790ce_0
- /data/data/####/5e350e77f63cb374_0
- /data/data/####/5f23d174159d4e18_0
- /data/data/####/5f23d174159d4e18_1
- /data/data/####/5f297069d7794f9f_0
- /data/data/####/5fa218329926eaf3_0
- /data/data/####/66bff384ca159e66_0
- /data/data/####/6c1ec5f397355bf8_0
- /data/data/####/6c8135eed042c699_0
- /data/data/####/72ab36f934cff001_0
- /data/data/####/72ab36f934cff001_1
- /data/data/####/7526e8cf2f3fcd80_0
- /data/data/####/76253384445c42b8_0
- /data/data/####/76917a8333423303_0
- /data/data/####/772bc23a6fd8b7a3_0
- /data/data/####/797b99777b4ba729_0
- /data/data/####/7ae0513062372431_0
- /data/data/####/7b1832a08e3f6969_0
- /data/data/####/7c5b07f7cb7a6048_0
- /data/data/####/7d79933c331b9db9_0
- /data/data/####/82afff11c74137a7_0
- /data/data/####/830523074392705f_0
- /data/data/####/8364e2cec51edb0a_0
- /data/data/####/84ceec2b276d4ead_0
- /data/data/####/86329fd8e5bd20aa_0
- /data/data/####/86fb3779270954be_0
- /data/data/####/8d6f382a43b052f1_0
- /data/data/####/8d99979fb854d5a1_0
- /data/data/####/90d5e4bdc39a093d_0
- /data/data/####/93571d2776525ad1_0
- /data/data/####/973154cabf676cb7_0
- /data/data/####/9cfc8727298c008c_0
- /data/data/####/9e51b1cb2201702c_0
- /data/data/####/Cookies-journal
- /data/data/####/UM_PROBE_DATA.xml
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/a404c0b2d8f568ab_0
- /data/data/####/a7e289cacf6f93e1_0
- /data/data/####/a8098a2d8f5465e1_0
- /data/data/####/a950f155679524bb_0
- /data/data/####/aa0bb97b986851ad_0
- /data/data/####/ae99918602ff863e_0
- /data/data/####/ae99918602ff863e_1
- /data/data/####/b36ad0651791a27b_0
- /data/data/####/b4260e2c50af81ef_0
- /data/data/####/b4bfdf15051c0100_0
- /data/data/####/b57547003b05af4f_0
- /data/data/####/b57547003b05af4f_1
- /data/data/####/b8538c68e658c1e8_0
- /data/data/####/bcd58b1443dece53_0
- /data/data/####/bf1902f9074aba94_0
- /data/data/####/bf741c9e5e802d0e_0
- /data/data/####/bfc2d484d0dd2b8e_0
- /data/data/####/c3763be4cdad8d61_0
- /data/data/####/cb69ddaf7427ec46_0
- /data/data/####/ce27201336ca830b_0
- /data/data/####/classes.dex
- /data/data/####/classes.dve
- /data/data/####/com.ZsKtLdHL_preferences.xml
- /data/data/####/core_info
- /data/data/####/d7b25b9f520033a3_0
- /data/data/####/d8631a36e63f626f_0
- /data/data/####/d9dad280725897fc_0
- /data/data/####/dW1weF9pbnRlcm5hbF8xNjM3NTY3MDY4MTEw;
- /data/data/####/da06fffc465cbe5b_0 (deleted)
- /data/data/####/debug.conf
- /data/data/####/df2cecdac4e3d311_0
- /data/data/####/df73b42c13ddf1e2_0
- /data/data/####/download_upload
- /data/data/####/e4e3089370c82f91_0
- /data/data/####/e500cc74d0128646_0
- /data/data/####/e5014828c67d8967_0
- /data/data/####/e802f722326fdac2_0
- /data/data/####/ed6c1d232c98112f_0
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f35cb0f7d98ef087_0
- /data/data/####/f4bdcc3e731a8400_0
- /data/data/####/f57fb82ef2532efd_0
- /data/data/####/f57fb82ef2532efd_1
- /data/data/####/f5919d75c7c40336_0
- /data/data/####/fb8507deb013ac7d_0
- /data/data/####/fc286426863f7ed0_0
- /data/data/####/fe347ed631a4cfac_0
- /data/data/####/ffc156ef6e359c84_0
- /data/data/####/i==1.2.0&&2.0_1637567068088_envelope.log
- /data/data/####/index
- /data/data/####/info.xml
- /data/data/####/metrics_guid
- /data/data/####/proc_auxv
- /data/data/####/t==8.0.0&&2.0_1637567069889_envelope.log
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbs_download_config.xml.bak (deleted)
- /data/data/####/tbs_download_stat.xml
- /data/data/####/tbs_pv_config
- /data/data/####/tbscoreinstall.txt
- /data/data/####/tbslock.txt
- /data/data/####/the-real-index
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_location.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- getprop ro.product.cpu.abi
- ls /
- ls /sys/class/thermal
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- RSA-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Отрисовывает собственные окна поверх других приложений.
