Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.840.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(TLS/1.0) safebro####.google####.com:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
- TCP(TLS/1.0) st####.dc####.net.cn:443
- TCP(TLS/1.0) 1####.251.36.42:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) instant####.google####.com:443
- TCP(TLS/1.2) and####.cli####.go####.com:443
- TCP(TLS/1.2) 1####.251.36.42:443
- TCP(TLS/1.2) 1####.217.168.195:443
Запросы DNS:
- and####.cli####.go####.com
- and####.google####.com
- instant####.google####.com
- safebro####.google####.com
- st####.dc####.net.cn
Запросы HTTP POST:
- st####.dc####.net.cn:443/collect/crash
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.cl
- /data/data/####/.fsgkea
- /data/data/####/.jg.ac
- /data/data/####/.jg.ri
- /data/data/####/.jg.store.report_pid
- /data/data/####/31aec9ada69f3025128410943a2543d0
- /data/data/####/4ac7cad1763e7a11a63a5094d4400f5f
- /data/data/####/5057802d8ad2b341eb79b6b739fda55f
- /data/data/####/66cbb1c525e1826a786416a8cc223865
- /data/data/####/6df22fe1eff186be10ada8e3de35aba6
- /data/data/####/91af30d7e7685b0eefac5dc4d4c99de9
- /data/data/####/9c745f9c7a9add69d02b7d1a641d78fc
- /data/data/####/Web Data
- /data/data/####/Web Data-journal
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/__UNI__8916101.xml
- /data/data/####/bba4b81ce266d9151c4f71c7a873b654
- /data/data/####/cb9ae36330fb319f19f1e5746901f6d7
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.dex;classes4.dex
- /data/data/####/com.bless.job_preferences.xml
- /data/data/####/crash_dump.log
- /data/data/####/d8c59e3873abeb38021ba64a19c19a85
- /data/data/####/dso_deps
- /data/data/####/dso_lock
- /data/data/####/dso_manifest
- /data/data/####/dso_state
- /data/data/####/e55943c2aa0fbf0483b868ec3def298f
- /data/data/####/e5f6e152dc124c25fee66895017da96b
- /data/data/####/e6fbdffb3b0adce062cbbd58cc82d374
- /data/data/####/ed99ec88c23da3a7ae486f28c3292723
- /data/data/####/ee2dfe6856a7572a1d49a0795397e4bf
- /data/data/####/f329cef2004d4dc71e3a75733c641d36
- /data/data/####/grp.prop
- /data/data/####/lib39285EFA.so
- /data/data/####/libAMapSDK_MAP_v8_1_0.so
- /data/data/####/libBaiduSpeechSDK.so
- /data/data/####/libalicomphonenumberauthsdk_core.so
- /data/data/####/libauth_number_product-2.12.1.1-log-online-stan...lus.so
- /data/data/####/libc++_shared.so
- /data/data/####/libgetuiext3.so
- /data/data/####/libgifimage.so
- /data/data/####/libimagepipeline.so
- /data/data/####/libjiagu.so
- /data/data/####/liblamemp3.so
- /data/data/####/libnative-filters.so
- /data/data/####/libnative-imagetranscoder.so
- /data/data/####/libpl_droidsonroids_gif.so
- /data/data/####/libstatic-webp.so
- /data/data/####/libweexcore.so
- /data/data/####/libweexjsb.so
- /data/data/####/libweexjss.so
- /data/data/####/libweexjst.so
- /data/data/####/metrics_guid
- /data/data/####/pdr.xml
- /data/data/####/proc_auxv
- /data/data/####/webview_data.lock
- /data/data/####/weex_default_settings.xml
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/lib/arm/houdini /data/app/<Package>-1/lib/arm//libweexjsb.so <Package>:jse 38 39 1 /data/user/0/<Package>/app_crash/crash_dump.log
- /system/lib/arm/houdini /data/app/<Package>-1/lib/arm//libweexjsb.so <Package>:jse 42 45 1 /data/user/0/<Package>/app_crash/crash_dump.log
- /system/lib/arm/houdini /data/app/<Package>-1/lib/arm//libweexjsb.so <Package>:jse 73 76 1 /data/user/0/<Package>/app_crash/crash_dump.log
- /system/lib/arm/houdini /data/app/<Package>-1/lib/arm//libweexjsb.so <Package>:jse 80 83 1 /data/user/0/<Package>/app_crash/crash_dump.log
- <Package>:jse 42 45 1 /data/user/0/<Package>/app_crash/crash_dump.log
- <Package>:jse 46 80 1 /data/user/0/<Package>/app_crash/crash_dump.log
Использует следующие алгоритмы для шифрования данных:
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Отрисовывает собственные окна поверх других приложений.
