Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.840.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(TLS/1.0) instant####.google####.com:443
- TCP(TLS/1.0) md####.google####.com:443
- TCP(TLS/1.0) 1####.251.36.3:443
- TCP(TLS/1.0) st####.dc####.net.cn:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
- TCP(TLS/1.0) 1####.250.179.202:443
- TCP(TLS/1.0) pag####.googles####.com:443
- TCP(TLS/1.0) phonede####.google####.com:443
- TCP(TLS/1.0) 2####.58.208.106:443
- TCP(TLS/1.2) and####.cli####.go####.com:443
- TCP(TLS/1.2) 2####.58.208.106:443
- TCP(TLS/1.2) 1####.217.168.195:443
Запросы DNS:
- and####.cli####.go####.com
- instant####.google####.com
- m####.go####.com
- md####.google####.com
- pag####.googles####.com
- phonede####.google####.com
- st####.dc####.net.cn
Запросы HTTP POST:
- st####.dc####.net.cn:443/collect/crash
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.cl
- /data/data/####/.fsgkea
- /data/data/####/.jg.ac
- /data/data/####/.jg.ri
- /data/data/####/.jg.store.report_pid
- /data/data/####/08cc3bbc02dfdb7de12dd84aeef66e07
- /data/data/####/0a4d834585c8bf3ed8a7ec60b0bd2c4c
- /data/data/####/16ce0ccb6fe051d5f7a15c4d05cddd51
- /data/data/####/1c359a7bce7e9a98d8820a55205590a5
- /data/data/####/2b9f678f35beca1b770bf5bffb80d687
- /data/data/####/4d4c960e97957aaa3dff12e5aef71a0b
- /data/data/####/627d58f7f9a2d3baad0853382d5ef5ac
- /data/data/####/6c94db3c6941964205d08fafd28c547d
- /data/data/####/76df363f62a8caec9d3fa4a284cef3af
- /data/data/####/85f97ba75daa7c606027938b547936d6
- /data/data/####/94ca967c5029382a9fccbecf51fb8180
- /data/data/####/Web Data
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/__UNI__EEDC0FB.xml
- /data/data/####/a8b35adb7e37f8d530148e80271746f8
- /data/data/####/bfd1fbc9088509c39a572e8db07fb47d
- /data/data/####/cda7da0a703b41062622bdf144161821
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.dex;classes4.dex
- /data/data/####/crash_dump.log
- /data/data/####/def61f550fd658d29356cc9638cc441e
- /data/data/####/dso_deps
- /data/data/####/dso_lock
- /data/data/####/dso_manifest
- /data/data/####/dso_state
- /data/data/####/e091ebffb46b46d20a14c72d1e3be714
- /data/data/####/grp.prop
- /data/data/####/io.dcloud.H524F54C2_preferences.xml
- /data/data/####/libjiagu.so
- /data/data/####/libweexjsb.so
- /data/data/####/metrics_guid
- /data/data/####/pdr.xml
- /data/data/####/webview_data.lock
- /data/data/####/weex_default_settings.xml
- /data/misc/####/primary.prof
- /data/user_de/####/move_to_de_records.xml
Другие:
Запускает следующие shell-скрипты:
- <Package>:jse 37 38 1 /data/user/0/<Package>/app_crash/crash_dump.log
- <Package>:jse 40 48 1 /data/user/0/<Package>/app_crash/crash_dump.log
- <Package>:jse 78 79 1 /data/user/0/<Package>/app_crash/crash_dump.log
- <Package>:jse 80 82 1 /data/user/0/<Package>/app_crash/crash_dump.log
Использует следующие алгоритмы для шифрования данных:
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Отрисовывает собственные окна поверх других приложений.
