Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.2018
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) d####.sdkbal####.com:8060
- TCP(HTTP/1.1) na61-####.wagbr####.ali####.####.com:80
- TCP(HTTP/1.1) 1####.75.79.16:80
- TCP(HTTP/1.1) gd.a.s####.com:80
- TCP(HTTP/1.1) d####.sdkbal####.com:9050
- TCP(TLS/1.0) connect####.gst####.com:443
- TCP(TLS/1.0) na61-####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) al####.u####.com:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) android####.go####.com:443
- TCP(TLS/1.0) 1####.250.27.100:443
- TCP(TLS/1.0) 1####.250.102.102:443
- TCP(TLS/1.2) p####.google####.com:443
Запросы DNS:
- 0####
- 0.8.8.####.8
- android####.go####.com
- connect####.gst####.com
- d####.sdkbal####.com
- ip.ta####.com
- l.ace####.com
- m####.go####.com
- p####.google####.com
- pla####.googleu####.com
- pv.s####.com
- sdk.sdkbal####.com
- u####.u####.com
Запросы HTTP GET:
- gd.a.s####.com/cityjson
- na61-####.wagbr####.ali####.####.com:443/service/getIpInfo2.php?ip=####
Запросы HTTP POST:
- al####.u####.com:443/unify_logs
- d####.sdkbal####.com:8060/sdk/api/getclientsetup
- d####.sdkbal####.com:9050/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-AjP1NzaQimCW5FfvmuxkRL40VjV8PZB3ZisGH6eVxU=
- /data/data/####/-AjP1NzaQimCW5FfvmuxkRL40VjV8PZB3ZisGH6eVxU=.new
- /data/data/####/.imprint
- /data/data/####/23nlVnz5ZqDEqYN9SpobHbJcRDWK-iawV_lzU9LbtHk=
- /data/data/####/23nlVnz5ZqDEqYN9SpobHbJcRDWK-iawV_lzU9LbtHk=.new
- /data/data/####/2vNbj7u-A_vI2iFaeFhqMw==
- /data/data/####/3ClRtqf-YAl4eC1_FJxcw6UfZrMq4IZq8nzy7NX3XpQ=.new
- /data/data/####/5IIMrnPUIZiGdOBJ
- /data/data/####/5IIMrnPUIZiGdOBJ.new
- /data/data/####/777.txt
- /data/data/####/9J0YWN3_mutBn4bkj1PnXLYAZRF4SPq8
- /data/data/####/9J0YWN3_mutBn4bkj1PnXLYAZRF4SPq8.new
- /data/data/####/Ag0qS6AUiukAxjKdKwZBUHlEA9_d0HlT
- /data/data/####/DF3eCq_RNwnCwJP9AsQoqnkH6ro=
- /data/data/####/EbTxrF9G7d3lMQMiX4Sfzg==
- /data/data/####/FB_AFL9eoAkiCVlk1nn4jBoPtv4=
- /data/data/####/FB_AFL9eoAkiCVlk1nn4jBoPtv4=.new
- /data/data/####/FesTb5Mg-74tdEs5qfs_FyhrMzbdIjBOurWZxQ==.new
- /data/data/####/I_7N0000vFPlFOCK0niWbQGY6fk=
- /data/data/####/I_7N0000vFPlFOCK0niWbQGY6fk=.new
- /data/data/####/MWu4eB6daNTM2FFcjeg3AUBbfYboLXnQq8xlyg==
- /data/data/####/MWu4eB6daNTM2FFcjeg3AUBbfYboLXnQq8xlyg==.new
- /data/data/####/SDK1205_dex.dex
- /data/data/####/SDK1205_dex.dex.flock (deleted)
- /data/data/####/SDK1205_dex.jar
- /data/data/####/TJT0niyla_e3ofCb
- /data/data/####/UM.xml
- /data/data/####/Vl7zcbkNih3KZh_DaRRGod_p5rav1TON.new
- /data/data/####/YBV93JdamWU4QxcuhcH1hw==
- /data/data/####/YBV93JdamWU4QxcuhcH1hw==.new
- /data/data/####/YEz_P3mOXHuFWBflDiqMCGdFTsI=.new
- /data/data/####/aKuX5xhjN-Xc6Ud7rNRsW4i4Gzw8K2i4S6_a0Q==_0dTuLU...4Jfys=
- /data/data/####/aKuX5xhjN-Xc6Ud7rNRsW4i4Gzw8K2i4S6_a0Q==_0dTuLU...ournal
- /data/data/####/aKuX5xhjN-Xc6Ud7rNRsW4i4Gzw8K2i4S6_a0Q==_3gbxxF...ournal
- /data/data/####/aKuX5xhjN-Xc6Ud7rNRsW4i4Gzw8K2i4S6_a0Q==_3gbxxFejhSZG_3XC
- /data/data/####/aKuX5xhjN-Xc6Ud7rNRsW4i4Gzw8K2i4S6_a0Q==_HJFbUs...XReQ==
- /data/data/####/aKuX5xhjN-Xc6Ud7rNRsW4i4Gzw8K2i4S6_a0Q==_HJFbUs...ournal
- /data/data/####/aKuX5xhjN-Xc6Ud7rNRsW4i4Gzw8K2i4S6_a0Q==_xARycm...ournal
- /data/data/####/aKuX5xhjN-Xc6Ud7rNRsW4i4Gzw8K2i4S6_a0Q==_z38trP...ournal
- /data/data/####/dW1weF9pbnRlcm5hbF8xNjQ1NDU0MDIwMzk1;
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/gqDUKdbtlpV_Uoju
- /data/data/####/gqDUKdbtlpV_Uoju.lk
- /data/data/####/gw1b5rWojxN74cbDduqVWxokVFY=.new
- /data/data/####/i==1.2.0&&1.4_1645454020700_envelope.log
- /data/data/####/iKH6N3t0xw_N26W6av_K8Q==
- /data/data/####/info.xml
- /data/data/####/jSXhTYRtzHQZr0lbnUQvTXaql0P5j8oW
- /data/data/####/jSXhTYRtzHQZr0lbnUQvTXaql0P5j8oW.new
- /data/data/####/kChVl2BALpV5_h3ziJwd_WAJQwZpmgY6.new
- /data/data/####/lYLi7jgNwQ086lvDVxi-p0IyLQA=
- /data/data/####/lYLi7jgNwQ086lvDVxi-p0IyLQA=.new
- /data/data/####/libtpgjni_10.6.13_0.so
- /data/data/####/libtpgjni_10.6.13_1.so
- /data/data/####/m1pTs-DI-DJmDaBDGR2GC27MHtM=
- /data/data/####/m91z2JZT-CaBKm71VDZHwg==
- /data/data/####/mytEWAfhgAg5b89Z6MCrStY9zAY=
- /data/data/####/mytEWAfhgAg5b89Z6MCrStY9zAY=.new
- /data/data/####/nVD3NJLupq235LR7.dex
- /data/data/####/nVD3NJLupq235LR7.dex.flock (deleted)
- /data/data/####/nVD3NJLupq235LR7.zip
- /data/data/####/proc_auxv
- /data/data/####/qfNDcs-J7xI2Xlyxms4UFajlxcZQrk0RoA5Xszo9SAg=.new
- /data/data/####/rMlj1EA83L3gjsOXTwZDJ46TlcZdre-V
- /data/data/####/rdata_comimvavvjzia
- /data/data/####/rdata_comimvavvjzia.new
- /data/data/####/runner_info.prop
- /data/data/####/runner_info.prop.new
- /data/data/####/sdk.db
- /data/data/####/sdk.db-journal
- /data/data/####/tbbua_f.dex
- /data/data/####/tbbua_f.dex.flock (deleted)
- /data/data/####/tbbua_f.zip
- /data/data/####/top.zip
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/ujXhLigs2LIv95vGSQfw235NoUm1Ohfl.new
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak
- /data/data/####/umeng_general_config.xml.bak (deleted)
- /data/data/####/umeng_it.cache
- /data/data/####/vStaWC1H.jar
- /data/data/####/viXzOwaxLtwFfHOnlP_I4IQOPC6alW-qF14G3A==
- /data/data/####/viXzOwaxLtwFfHOnlP_I4IQOPC6alW-qF14G3A==.new
- /data/data/####/wePrs4FZmEOltmbF4xg_93IzrGDak9fz
- /data/data/####/wePrs4FZmEOltmbF4xg_93IzrGDak9fz.new
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.umm.dat
- /data/media/####/.uunique.new
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/r_pkDgN4OhnkSa0D
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- /system/lib/arm/houdini /data/user/0/<Package>/code-4628823/gqDUKdbtlpV_Uoju /data/user/0/<Package>/code-4628823/gqDUKdbtlpV_Uoju -p <Package> -c com.imvav.vjzia.kettle.WatermelonReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- app_process /system/bin com.android.commands.am.Am broadcast -n <Package>/com.imvav.vjzia.kettle.WatermelonReceiver --es start_bc_send_id com.uu.action.wakeup --include-stopped-packages --user 0
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.version
- getprop ro.yunos.version
- ls /
- ls /sys/class/thermal
Загружает динамические библиотеки:
- libcocos2dcpp
- libmigusdk
- libtpgjni_10.6.13_0
- libtpgjni_10.6.13_1
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
