Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.4567
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) 52.47.1####.96:2019
- TCP(HTTP/1.1) 34.2####.134.208:2019
- TCP(HTTP/1.1) 13.38.1####.161:2019
- TCP(HTTP/1.1) 3.8.1####.204:2019
- TCP(HTTP/1.1) 18.1####.124.196:2019
- TCP(HTTP/1.1) 13.2####.50.35:2019
- TCP(HTTP/1.1) 54.2####.149.105:2019
- TCP(HTTP/1.1) 54.1####.128.253:2019
- TCP(HTTP/1.1) 18.1####.196.221:2019
- TCP(HTTP/1.1) 54.93.2####.90:2019
- TCP(HTTP/1.1) 3.8.1####.23:2019
- TCP(HTTP/1.1) ip####.com:80
- TCP(HTTP/1.1) 15.1####.229.144:2019
- TCP(HTTP/1.1) 5####.79.99.179:2019
- TCP(HTTP/1.1) 13.1####.85.214:2019
- TCP(HTTP/1.1) 18.1####.220.159:2019
- TCP(HTTP/1.1) 34.2####.113.156:2019
- TCP(HTTP/1.1) 3.7####.73.11:2019
- TCP(TLS/1.0) firebas####.crashly####.com:443
- TCP(TLS/1.0) 1####.251.36.42:443
- TCP(TLS/1.0) api.face####.com:443
- TCP(TLS/1.0) j9####.i####.com.####.com:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
- TCP(TLS/1.0) api.aurosdk####.com:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) firebas####.google####.com:443
- TCP(TLS/1.0) instant####.google####.com:443
- TCP(TLS/1.0) ao####.j####.com.####.com:443
- TCP(TLS/1.0) 1####.217.132.6:443
- TCP(TLS/1.0) phonede####.google####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.2) 1####.250.179.194:443
- TCP(TLS/1.2) 2####.58.208.99:443
- TCP(TLS/1.2) phonede####.google####.com:443
- TCP(TLS/1.2) and####.cli####.go####.com:443
- TCP(TLS/1.2) 1####.251.36.42:443
- TCP(TLS/1.2) 2####.58.208.106:443
Запросы DNS:
- and####.cli####.go####.com
- and####.google####.com
- ao####.j####.com
- api.aurosdk####.com
- app-mea####.com
- firebas####.crashly####.com
- firebas####.google####.com
- g####.face####.com
- instant####.google####.com
- ip####.com
- j9####.i####.com
- m####.go####.com
- p####.google####.com
- phonede####.google####.com
- u9####.j####.com
- www.gst####.com
Запросы HTTP GET:
- api.aurosdk####.com:443/open/api/v1/country/list?_sign=####&args.lang=##...
- api.aurosdk####.com:443/open/api/v1/server/list?_sign=####&args.lang=###...
- api.aurosdk####.com:443/open/api/v1/suber/packet/list?_sign=####&args.la...
- api.face####.com:443/v12.0/600167701219560/mobile_sdk_gk?fields=####&for...
- api.face####.com:443/v12.0/600167701219560?fields=####&format=####&sdk=#...
- firebas####.crashly####.com:443/spi/v2/platforms/android/gmp/1:435133059...
- ip####.com/json
- ip####.com/json/
- j9####.i####.com.####.com:443/gp/dm/GP_8034_2112071733.od
Запросы HTTP POST:
- ao####.j####.com.####.com:443/GPBehavior/btn
- ao####.j####.com.####.com:443/GPLogic/ifn
- api.face####.com:443/v12.0/600167701219560/activities
- firebas####.google####.com:443/v1/projects/parallel-multi-space/installa...
Изменения в файловой системе:
Создает следующие файлы:
- /data/anr/traces.txt
- /data/anr/traces.txt (deleted)
- /data/data/####/.ae1639898510415
- /data/data/####/.ae1639898547971
- /data/data/####/.ae1639898557357
- /data/data/####/0.xml
- /data/data/####/1608138930680.dex
- /data/data/####/1608138930680.dex (deleted)
- /data/data/####/1608138930680.dex.flock (deleted)
- /data/data/####/1608138930680.jar
- /data/data/####/1608138930680.tmp
- /data/data/####/61BEDD87024200010E47DA13EBC7EADF
- /data/data/####/61BEDDB3000B00011539DA13EBC7EADF
- /data/data/####/61BEDDBB0394000116C2DA13EBC7EADF
- /data/data/####/APK_TEST_MMODE.xml
- /data/data/####/A_B_TEST_MMODE.xml
- /data/data/####/AppEventsLogger.persistedevents
- /data/data/####/Cookies-journal
- /data/data/####/FirebaseAppHeartBeat.xml
- /data/data/####/GUIDE_NOTIFY.xml
- /data/data/####/PersistedInstallation.W0RFRkFVTFRd+MTo0MzUxMzMw...x.json
- /data/data/####/PersistedInstallation1436398325tmp
- /data/data/####/PersistedInstallation1744720112tmp
- /data/data/####/PersistedInstallation2100983062tmp
- /data/data/####/PersistedInstallation817413966tmp
- /data/data/####/PersistedInstallation982556903tmp
- /data/data/####/PersistedInstallation99395897tmp
- /data/data/####/PersistedInstallation997507099tmp
- /data/data/####/PersistedMapTagLastSeenMap.xml
- /data/data/####/PersistedSetToDoSet.xml
- /data/data/####/SPHelper_sp_main.xml
- /data/data/####/VB.db
- /data/data/####/VB.db-journal
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/admob.xml
- /data/data/####/androidx.work.workdb-journal (deleted)
- /data/data/####/c4ca4238a0b923820dcc509a6f75849b.dex
- /data/data/####/c4ca4238a0b923820dcc509a6f75849b.dex.flock (deleted)
- /data/data/####/c4ca4238a0b923820dcc509a6f75849b.jar
- /data/data/####/c4ca4238a0b923820dcc509a6f75849b.oc
- /data/data/####/com.facebook.internal.preferences.APP_GATEKEEPERS.xml
- /data/data/####/com.facebook.internal.preferences.APP_SETTINGS.xml
- /data/data/####/com.facebook.sdk.USER_SETTINGS.xml
- /data/data/####/com.facebook.sdk.appEventPreferences.xml
- /data/data/####/com.facebook.sdk.attributionTracking.xml
- /data/data/####/com.google.android.datatransport.events-journal
- /data/data/####/com.google.android.gms.measurement.prefs.xml
- /data/data/####/com.google.android.gms.measurement.prefs.xml (deleted)
- /data/data/####/com.google.firebase.crashlytics.xml
- /data/data/####/com.multiple.accounts.space.parallel.dual.clone...es.xml
- /data/data/####/crash_marker
- /data/data/####/crashlytics-userlog-61BEDDC203AE0001182CDA13EBC7EADF.temp
- /data/data/####/data_callback.xml
- /data/data/####/event0000000000_
- /data/data/####/generatefid.lock
- /data/data/####/google_app_measurement_local.db
- /data/data/####/google_app_measurement_local.db-journal
- /data/data/####/index
- /data/data/####/info.db
- /data/data/####/initialization_marker
- /data/data/####/metrics_guid
- /data/data/####/profile.db-journal
- /data/data/####/report
- /data/data/####/the-real-index
- /data/data/####/time_strategy.xml
- /data/data/####/userlist.xml
- /data/data/####/utils.xml
- /data/data/####/vbsp.db
- /data/data/####/vbsp.db-journal
- /data/data/####/vip_member.xml
- /data/data/####/vip_member.xml.bak
- /data/data/####/vpn_magic_private.xml
- /data/data/####/vsdk.xml
- /data/user_de/####/config.db-journal (deleted)
- /data/user_de/####/evernote_jobs.db-journal
Другие:
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
