Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Spy.969.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) sdk.android####.website:80
- TCP(HTTP/1.1) pangoli####.cn-bei####.log.####.com:80
- TCP(HTTP/1.1) s####.appclic####.com:80
- TCP(HTTP/1.1) 47.2####.230.94:80
- TCP(HTTP/1.1) 47.2####.124.231:9900
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) safebro####.google####.com:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) l####.oss-cn-####.aliy####.com:443
- TCP(TLS/1.0) al####.u####.com:443
- TCP(TLS/1.0) safebro####.go####.com:443
- TCP(TLS/1.0) gd.a.s####.com:443
- TCP(TLS/1.0) new-####.u####.com:443
- TCP(TLS/1.0) oss.heyg####.club:443
- TCP(TLS/1.2) 2####.58.214.14:443
- TCP(TLS/1.2) 1####.250.179.174:443
- TCP(TLS/1.2) 1####.217.168.195:443
Запросы DNS:
- a####.u####.com
- adm.android####.website
- and####.b####.qq.####.8
- and####.b####.qq.comrqd
- and####.google####.com
- l####.oss-cn-####.aliy####.com
- m####.go####.com
- oss.heyg####.club
- p####.google####.com
- pangoli####.cn-bei####.log.####.com
- pv.s####.com
- s####.appclic####.com
- safebro####.go####.com
- safebro####.google####.com
- sdk.android####.website
- u####.u####.com
- zp-####.cn-bei####.log.####.com
Запросы HTTP GET:
- gd.a.s####.com:443/cityjson
- l####.oss-cn-####.aliy####.com:443/lfqdyapp/datesource/tvs
- l####.oss-cn-####.aliy####.com:443/lfqdyapp/init
- oss.heyg####.club:443/device_info/device_info_20210722
- s####.appclic####.com/stg?channel=####&sdk=####
- sdk.android####.website/check?channel=####
- sdk.android####.website/shield?channel=####&model=####&uid=####
Запросы HTTP POST:
- al####.u####.com:443/unify_logs
- al####.u####.com:443/zcfg
- new-####.u####.com:443/api/postZdata
- pangoli####.cn-bei####.log.####.com/logstores/param/track?APIVersion=####
- pangoli####.cn-bei####.log.####.com/logstores/zp-test/track
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/1002
- /data/data/####/1004
- /data/data/####/BUGLY_COMMON_VALUES.xml
- /data/data/####/Hawk2.xml
- /data/data/####/UM_PROBE_DATA.xml
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/bkstimefile.xml
- /data/data/####/bugly_db_-journal
- /data/data/####/catvod_beta1.db-journal (deleted)
- /data/data/####/com.today.playerfxm.BETA_VALUES.xml
- /data/data/####/com.today.playerfxm_preferences.xml
- /data/data/####/crashrecord.xml
- /data/data/####/crypto.KEY_256.xml
- /data/data/####/curtain_sp.xml
- /data/data/####/dtuuidfile.xml
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/i==1.2.0&&9.9.9_1645337828661_dW5pZnlfbG9ncw==;.log
- /data/data/####/info.xml
- /data/data/####/js_device_info
- /data/data/####/js_device_info.apk
- /data/data/####/js_device_info.dex
- /data/data/####/js_device_info.dex.flock (deleted)
- /data/data/####/kdid
- /data/data/####/local_crash_lock
- /data/data/####/metrics_guid
- /data/data/####/native_record_lock
- /data/data/####/proc_auxv
- /data/data/####/sdkconfigmm.xml
- /data/data/####/sourcefile.xml
- /data/data/####/t==9.3.8&&9.9.9_1645337829276_dW5pZnlfbG9ncw==;.log
- /data/data/####/tv_source_file_name.xml
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/um_session_id.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_zcfg_flag
- /data/data/####/umeng_zero_cache.db
- /data/data/####/umeng_zero_cache.db-journal
- /data/data/####/umzid_general_config.xml
- /data/data/####/umzid_general_config.xml.bak (deleted)
- /data/data/####/z==1.2.0&&9.9.9_1645337818641_emNmZw==;.log
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- /system/bin/cat sys/devices/system/cpu/present
- cat /proc/meminfo
- getprop
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.sv.version
- getprop ro.lenovo.lvp.version
- getprop ro.miui.ui.version.name
- getprop ro.smartisan.version
- getprop ro.vivo.os.version
- ls /
- ls /sys/class/thermal
- uname -m
- uname -n
- uname -r
- uname -s
- uname -v
Загружает динамические библиотеки:
- libconceal
- libijkffmpeg
- libijkplayer
- libijksdl
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
