Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.566.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) api.applove####.com:80
- TCP(HTTP/1.1) t####.sea####.com:80
- TCP(HTTP/1.1) t####.novabe####.net:80
- TCP(TLS/1.0) x8files####.f####.myqc####.####.com:443
- TCP(TLS/1.0) fo####.site:443
- TCP(TLS/1.0) 2####.58.214.10:443
- TCP(TLS/1.0) 1####.250.179.142:443
- TCP(TLS/1.0) al####.u####.com:443
- TCP(TLS/1.0) gd.a.s####.com:443
- TCP(TLS/1.0) 1####.250.179.206:443
- TCP(TLS/1.0) new-####.u####.com:443
- TCP(TLS/1.0) api.face####.com:443
- TCP(TLS/1.0) safebro####.google####.com:443
- TCP(TLS/1.0) da.anythin####.com:443
- TCP(TLS/1.0) api.anythin####.com:443
- TCP(TLS/1.0) wcf.seven####.com:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) lo####.suibyu####.com:443
- TCP(TLS/1.0) www.a.sh####.com:443
- TCP(TLS/1.0) api.x####.com:443
- TCP(TLS/1.0) 2####.58.214.3:443
- TCP(TLS/1.0) gc####.appsf####.com:443
- TCP(TLS/1.0) convers####.appsf####.com:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.2) 2####.58.214.3:443
- TCP(TLS/1.2) 2####.58.214.10:443
Запросы DNS:
- a####.u####.com
- al####.u####.com
- and####.google####.com
- api.anythin####.com
- api.applove####.com
- api.x####.com
- convers####.appsf####.com
- da.anythin####.com
- fo####.site
- g####.face####.com
- gc####.appsf####.com
- laun####.appsf####.com
- lo####.suibyu####.com
- p####.google####.com
- pla####.googleu####.com
- pv.s####.com
- safebro####.google####.com
- t####.novabe####.net
- t####.sea####.com
- wcf.seven####.com
- www.b####.com
- x8files####.f####.myqc####.com
Запросы HTTP GET:
- api.applove####.com/api/v3/cache/get?osv=####&srnc=####&token=####&ds=##...
- api.applove####.com/api/v3/search/get?osv=####&token=####&pm=####&os=###...
- api.applove####.com/api/v3/template/get?slot_id=####&update_time=####&us...
- api.face####.com:443/v8.0/345000986033587/mobile_sdk_gk?fields=####&form...
- api.face####.com:443/v8.0/345000986033587/model_asset?fields=####&format...
- api.face####.com:443/v8.0/345000986033587?fields=####&format=####&sdk=####
- fo####.site:443/78786454/s20220201010755.1
- gc####.appsf####.com:443/install_data/v4.0/<Package>?devkey=####&device_...
- gd.a.s####.com:443/cityjson
- lo####.suibyu####.com:443/android/v1/impression?slot=####&doimp=####&pkg...
- t####.novabe####.net/click?id=####&aff=####&click=####&aff_sub=####&gaid...
- t####.sea####.com/?campaign_id=####&publisher_id=####&clickid=####&site=...
- t####.sea####.com/sm?publisher_id=####&smid=####&pt=####&channel=####
- www.a.sh####.com:443/
- x8files####.f####.myqc####.####.com:443/ds-pls/acc90006.apk
Запросы HTTP POST:
- al####.u####.com:443/unify_logs
- al####.u####.com:443/zcfg
- api.anythin####.com:443/v1/open/app
- api.face####.com:443/v8.0/345000986033587/activities
- api.x####.com:443/api/accvalue/
- api.x####.com:443/api/comconf/
- api.x####.com:443/api/sdknotices/
- api.x####.com:443/api/updatesdk/
- api.x####.com:443/api/viewsconfig/
- api.x####.com:443/api/x8status/
- convers####.appsf####.com:443/api/v6.3/androidevent?app_id=####&buildnum...
- da.anythin####.com:443/v1/open/da
- new-####.u####.com:443/api/postZdata
- wcf.seven####.com:443/AAService.svc/dsaxefdeqwe
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.
- /data/data/####/.
- /data/data/####/. .flock (deleted)
- /data/data/####/.
- /data/data/####/. .flock (deleted)
- /data/data/####/. (deleted)
- /data/data/####/1.acc.apk
- /data/data/####/1.acc.dex
- /data/data/####/1.acc.dex.flock (deleted)
- /data/data/####/1.touch.apk
- /data/data/####/1.touch.dex
- /data/data/####/1.touch.dex.flock (deleted)
- /data/data/####/Cookies-journal
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/a==9.3.8+000&&1.81_1646340733175_dW5pZnlfbG9ncw==;.log
- /data/data/####/ad_config.xml
- /data/data/####/anythink.db-journal
- /data/data/####/anythink_agent_log
- /data/data/####/anythink_placement_strategy_update_check.xml
- /data/data/####/anythink_sdk.xml
- /data/data/####/anythink_sdk.xml.bak
- /data/data/####/anythink_temp_log
- /data/data/####/appsflyer-data.xml
- /data/data/####/c34a4c3h54e6_TYUYRTTYT
- /data/data/####/classes.dex
- /data/data/####/classes.dex.flock (deleted)
- /data/data/####/cloud_config.xml
- /data/data/####/com.facebook.internal.MODEL_STORE.xml
- /data/data/####/com.facebook.internal.PURCHASE.xml
- /data/data/####/com.facebook.internal.SKU_DETAILS.xml
- /data/data/####/com.facebook.internal.preferences.APP_GATEKEEPERS.xml
- /data/data/####/com.facebook.internal.preferences.APP_SETTINGS.xml
- /data/data/####/com.facebook.sdk.USER_SETTINGS.xml
- /data/data/####/com.facebook.sdk.appEventPreferences.xml
- /data/data/####/com.facebook.sdk.attributionTracking.xml
- /data/data/####/com.higgs.domino_ct_default.xml
- /data/data/####/com.higgs.domino_preferences.xml
- /data/data/####/com.higgs.dominoye_after_install_pkg.xml
- /data/data/####/commaincgvvvv.
- /data/data/####/commaincgvvvv.dex (deleted)
- /data/data/####/commaincgvvvv.dex.flock (deleted)
- /data/data/####/exc_log.xml
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/i==9.3.8+000&&1.81_1646340731067_dW5pZnlfbG9ncw==;.log
- /data/data/####/libacc.so
- /data/data/####/libsubstrate.so
- /data/data/####/libumeng-spy.so
- /data/data/####/libx8mt.so
- /data/data/####/metrics_guid
- /data/data/####/mta.apk
- /data/data/####/mta.dex
- /data/data/####/mta.dex.flock (deleted)
- /data/data/####/proc_auxv
- /data/data/####/s1s1k1_c2o3n23f2i3g2.xml
- /data/data/####/s3p43_OIUTIUYT.xml
- /data/data/####/t==9.3.8+000&&1.81_1646340732473_dW5pZnlfbG9ncw==;.log
- /data/data/####/touch_lib.oct
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_session_id.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_zcfg_flag
- /data/data/####/umeng_zero_cache.db
- /data/data/####/umeng_zero_cache.db-journal
- /data/data/####/umzid_general_config.xml
- /data/data/####/uuid.xml
- /data/data/####/x8_misc.xml
- /data/data/####/z==1.2.0&&1.81_1646340722933_emNmZw==;.log
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.smartisan.version
- getprop ro.vivo.os.version
Загружает динамические библиотеки:
- libacc
- libgame
- libumeng-spy
- libx8mt
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- desede-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
