Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.477.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) sdka####.quic####.net:80
- TCP(HTTP/1.1) na61-####.wagbr####.ali####.####.com:80
- TCP(HTTP/1.1) ff7d####.cdn.uc####.####.cn:80
- TCP(TLS/1.0) 1####.250.102.94:443
- TCP(TLS/1.0) 1####.250.27.95:443
- TCP(TLS/1.0) md####.google####.com:443
- TCP(TLS/1.0) ad1.azh####.com:9190
- TCP(TLS/1.2) 1####.250.27.100:443
- TCP(TLS/1.2) md####.google####.com:443
- TCP(TLS/1.2) 1####.250.102.94:443
- TCP(TLS/1.2) 1####.250.102.113:443
Запросы DNS:
- ad1.azh####.com
- azh####.com
- md####.google####.com
- sd####.9####.cn
- sdka####.quic####.net
- serv####.sdk.quic####.net
Запросы HTTP GET:
- ff7d####.cdn.uc####.####.cn/47361843566386532677314773111526-9.html
Запросы HTTP POST:
- ad1.azh####.com:9190/attrAddressConfig
- ad1.azh####.com:9190/attrPlugConfig
- na61-####.wagbr####.ali####.####.com/ng/client/log.collect.sdklog?ver=##...
- sdka####.quic####.net/v2/users/postCrashData
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.verify
- /data/data/####/28dd4169a820a158642efcafbc289876.xml
- /data/data/####/28dd4169a820a158642efcafbc289876.xml.bak
- /data/data/####/3062701.dex
- /data/data/####/3062701.dex.flock (deleted)
- /data/data/####/3062701.jar
- /data/data/####/3062817.dex
- /data/data/####/3062817.dex.flock (deleted)
- /data/data/####/3062817.jar
- /data/data/####/3062852.dex
- /data/data/####/3062852.dex.flock (deleted)
- /data/data/####/3062925.dex
- /data/data/####/3062925.dex.flock (deleted)
- /data/data/####/3062957.dex
- /data/data/####/3062957.dex.flock (deleted)
- /data/data/####/3062957.jar
- /data/data/####/3063219.dex
- /data/data/####/3063219.dex.flock (deleted)
- /data/data/####/3063219.jar
- /data/data/####/3063225.dex
- /data/data/####/3063225.dex.flock (deleted)
- /data/data/####/3063225.jar
- /data/data/####/3063235.dex
- /data/data/####/3063235.dex.flock (deleted)
- /data/data/####/3063235.jar
- /data/data/####/3063271.dex
- /data/data/####/3063271.dex.flock (deleted)
- /data/data/####/3063271.jar
- /data/data/####/3063614.dex
- /data/data/####/3063614.dex.flock (deleted)
- /data/data/####/3063614.jar
- /data/data/####/3064657.dex
- /data/data/####/3064657.dex.flock (deleted)
- /data/data/####/3064657.jar
- /data/data/####/536f3cfe86a3d099f3fdd0e0a5bef490.xml
- /data/data/####/6c2db94de97dc587a2c43079f830e2eb.xml
- /data/data/####/745790f4336d244f5d10eecd2dbe30b4.xml
- /data/data/####/8367e22219d859ac34cdeb6fd89b3143.xml
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/Web Data
- /data/data/####/Web Data-journal
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/birddownloader.db-journal
- /data/data/####/cn.uc.gamesdk.loader.apk
- /data/data/####/com_qk.xml
- /data/data/####/lib_ucsdk_softlink.so
- /data/data/####/lib_ucsdk_xcrypt.so
- /data/data/####/metrics_guid
- /data/data/####/proc_auxv
- /data/data/####/ucsdk.apk
- /data/data/####/ucsdk.dex
- /data/data/####/ucsdk.dex.flock (deleted)
- /data/data/####/version.ini
- /data/data/####/webview_data.lock
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES-ECB-PKCS5Padding
- Des-ECB-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- Des-ECB-NoPadding
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
