Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.840.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(TLS/1.0) st####.dc####.net.cn:443
- TCP(TLS/1.0) www.google####.com:443
- TCP(TLS/1.0) instant####.google####.com:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
- TCP(TLS/1.2) and####.cli####.go####.com:443
- TCP(TLS/1.2) www.google####.com:443
- TCP(TLS/1.2) 2####.58.208.99:443
Запросы DNS:
- and####.cli####.go####.com
- and####.google####.com
- android####.go####.com
- instant####.google####.com
- m####.go####.com
- st####.dc####.net.cn
- www.google####.com
Запросы HTTP POST:
- st####.dc####.net.cn:443/collect/crash
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.cl
- /data/data/####/.fsgkea
- /data/data/####/.jg.ac
- /data/data/####/.jg.ri
- /data/data/####/.jg.store.report_pid
- /data/data/####/17e3596c294b228465e880f84bb56e91
- /data/data/####/1e5b68e7748179a202f8b5fa20f400a1
- /data/data/####/1fb48dea20ff478300a6b2f9da653efa
- /data/data/####/3d2a802518aad6a3ad20550494565e9f
- /data/data/####/41f1a7c74c92b5e7efbd77d1de743019
- /data/data/####/4612cd0fa87e90a1d8a32bc4eb04ea53
- /data/data/####/475591b8db6fc445a16df0e1e830073b
- /data/data/####/77af1d52b30b7a7576f286566d98f6ec
- /data/data/####/83e66c2110b1c5de3f12f72a30cad810
- /data/data/####/8e0cefbf602ca10460fe01ca9b504c73
- /data/data/####/Web Data
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/__UNI__8916101.xml
- /data/data/####/b35124b3d33328e3a700c6a32c774502
- /data/data/####/c1f86df425ed5d471d0a99e60b077199
- /data/data/####/c20a116bf357b8dbaf59556b1dad810d
- /data/data/####/cead3182b086fed4d0023057ddd6401b
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.dex;classes4.dex
- /data/data/####/com.bless.job_preferences.xml
- /data/data/####/crash_dump.log
- /data/data/####/dso_deps
- /data/data/####/dso_lock
- /data/data/####/dso_manifest
- /data/data/####/dso_state
- /data/data/####/e7569d342fb9cc10db59a84b1e49b522
- /data/data/####/f455c9c3144666d88c79eec9f8183d81
- /data/data/####/grp.prop
- /data/data/####/lib39285EFA.so
- /data/data/####/libAMapSDK_MAP_v8_1_0.so
- /data/data/####/libBaiduSpeechSDK.so
- /data/data/####/libalicomphonenumberauthsdk_core.so
- /data/data/####/libauth_number_product-2.12.1.1-log-online-stan...lus.so
- /data/data/####/libc++_shared.so
- /data/data/####/libgetuiext3.so
- /data/data/####/libgifimage.so
- /data/data/####/libimagepipeline.so
- /data/data/####/libjiagu.so
- /data/data/####/liblamemp3.so
- /data/data/####/libnative-filters.so
- /data/data/####/libnative-imagetranscoder.so
- /data/data/####/libpl_droidsonroids_gif.so
- /data/data/####/libstatic-webp.so
- /data/data/####/libweexcore.so
- /data/data/####/libweexjsb.so
- /data/data/####/libweexjss.so
- /data/data/####/libweexjst.so
- /data/data/####/metrics_guid
- /data/data/####/pdr.xml
- /data/data/####/proc_auxv
- /data/data/####/webview_data.lock
- /data/data/####/weex_default_settings.xml
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/lib/arm/houdini /data/app/<Package>-1/lib/arm//libweexjsb.so <Package>:jse 37 38 1 /data/user/0/<Package>/app_crash/crash_dump.log
- /system/lib/arm/houdini /data/app/<Package>-1/lib/arm//libweexjsb.so <Package>:jse 79 87 1 /data/user/0/<Package>/app_crash/crash_dump.log
- /system/lib/arm/houdini /data/app/<Package>-1/lib/arm//libweexjsb.so <Package>:jse 84 86 1 /data/user/0/<Package>/app_crash/crash_dump.log
- <Package>:jse 79 87 1 /data/user/0/<Package>/app_crash/crash_dump.log
Использует следующие алгоритмы для шифрования данных:
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Отрисовывает собственные окна поверх других приложений.
