Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.248.origin
- Android.Triada.464.origin
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-FEpYufcZh-hD20oJDA5N2PwwMOqlrhBGS5JKkz8u2A=.new
- /data/data/####/.hptc_kache_xmtgqhzl.huawei
- /data/data/####/.imprint
- /data/data/####/0SfqHq3huRX7LrvIV9gaE3CmDgA=
- /data/data/####/0SfqHq3huRX7LrvIV9gaE3CmDgA=.new
- /data/data/####/1TfMlVgRQNDgHVUVfg2QcT4_g3A=
- /data/data/####/1TfMlVgRQNDgHVUVfg2QcT4_g3A=.new
- /data/data/####/3Cc043EZdTUIkG-6yPBfhmljAbW6Ke4rMw8u3A==.new
- /data/data/####/3SlOtzMKg1WR6s8fCWusOIQtcpQDwyTtIAaEgHjGRnE=.new
- /data/data/####/5ivPr_9bzzRK5iasqy1n2CueIRAhl1998AgSjg==.new
- /data/data/####/9Wnaq5HjTeuu-_7DZLsau7JmWx4=.new
- /data/data/####/AnBYoygZqMmHCA5QxAuwNC02M_cF8OYT.new
- /data/data/####/FUBi2hjpQLbyDcC-CmMFV7cNgow=
- /data/data/####/FUCeu4GUQQqBzJMMvev-tf0F9NQ=.new
- /data/data/####/FtjeSwBA29-_xXrdmbbQQQ==
- /data/data/####/HEaBi36teJeOrXw2kVeXfozAbn7Hdss4
- /data/data/####/HEaBi36teJeOrXw2kVeXfozAbn7Hdss4.new
- /data/data/####/IVhAWCs.txt
- /data/data/####/J6H-amyMHzI-zfrYnwKv-g==
- /data/data/####/J6H-amyMHzI-zfrYnwKv-g==.new
- /data/data/####/JG3fFYLcsUMrBZzXi_lKM8BLp8M=
- /data/data/####/JG3fFYLcsUMrBZzXi_lKM8BLp8M=.new
- /data/data/####/L1irsYRUqihe3d_hglheUw==.new
- /data/data/####/Rm6514j4jnAOSsWFrsS4L0_lJ1EPYFDM2o5oeA==.new
- /data/data/####/S4C8AJC4vVmjc2Li_9Q_u66CBQqHusJm7_MvrbeSOvQ=_21...PAJiEZ
- /data/data/####/S4C8AJC4vVmjc2Li_9Q_u66CBQqHusJm7_MvrbeSOvQ=_21...ournal
- /data/data/####/S4C8AJC4vVmjc2Li_9Q_u66CBQqHusJm7_MvrbeSOvQ=_35...ournal
- /data/data/####/S4C8AJC4vVmjc2Li_9Q_u66CBQqHusJm7_MvrbeSOvQ=_J8...iD3Q==
- /data/data/####/S4C8AJC4vVmjc2Li_9Q_u66CBQqHusJm7_MvrbeSOvQ=_J8...ournal
- /data/data/####/S4C8AJC4vVmjc2Li_9Q_u66CBQqHusJm7_MvrbeSOvQ=_Wb...Blq68=
- /data/data/####/S4C8AJC4vVmjc2Li_9Q_u66CBQqHusJm7_MvrbeSOvQ=_Wb...ournal
- /data/data/####/S4C8AJC4vVmjc2Li_9Q_u66CBQqHusJm7_MvrbeSOvQ=_ey...ournal
- /data/data/####/S4C8AJC4vVmjc2Li_9Q_u66CBQqHusJm7_MvrbeSOvQ=_ey...pW-A==
- /data/data/####/S4C8AJC4vVmjc2Li_9Q_u66CBQqHusJm7_MvrbeSOvQ=_fr...ournal
- /data/data/####/U--QqaLt8j3qEbUryk5Ygg==
- /data/data/####/U76qKRmcnsZCewUqdrbsymFnkJM=
- /data/data/####/U76qKRmcnsZCewUqdrbsymFnkJM=.new
- /data/data/####/UM_PROBE_DATA.xml
- /data/data/####/Uwjz7qXyTYmfQdIPjsV5lRrcIyk=.new
- /data/data/####/VRxYyKSPsQ-ios4NywHOto1E0-At1ROK
- /data/data/####/VRxYyKSPsQ-ios4NywHOto1E0-At1ROK.new
- /data/data/####/XmSUfD5HguSr_nbZ7qmMsqkAgrvOmVmKLiuW8Zr5hag=.new
- /data/data/####/Zfrzcpw-tt7OlLE4TzhlRC5LP1-FPPMZX7v4Bj5Pi6c=.new
- /data/data/####/_JnWZmH6e79UaeYY
- /data/data/####/a-iylN7wO3xrVG1wzJwMIGDloF2Avjdw.new
- /data/data/####/a==7.5.4&&2.3_1650028628043_envelope.log
- /data/data/####/azwFkCeQhXGjahy02Hid6cqpQHg=.new
- /data/data/####/bugly_db_legu-journal
- /data/data/####/bwvtZyJkehj.dex
- /data/data/####/bwvtZyJkehj.dex.flock (deleted)
- /data/data/####/bwvtZyJkehj.jar
- /data/data/####/com.igame.xmtgqhzl.huawei.v2.playerprefs.xml
- /data/data/####/dW1weF9pbnRlcm5hbF8xNjUwMDI4NjIxODEx;
- /data/data/####/eJtEdT8pV2JbMy3sGf8LA-jNZl8=.new
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/fDIwNmWWMFRdR0Tdp-kxOyqbW_P8HBQZ.new
- /data/data/####/fx2dY_v9rUdbhiBsIsOHhg==.new
- /data/data/####/hianalytics_global_v2_com.igame.xmtgqhzl.huawei.xml
- /data/data/####/hrddvw_f.dex
- /data/data/####/hrddvw_f.dex.flock (deleted)
- /data/data/####/hrddvw_f.zip
- /data/data/####/i==1.2.0&&2.3_1650028621852_envelope.log
- /data/data/####/iXzKjiBeUeCjoW0vfmVlTq5_teFTuNAc.new
- /data/data/####/info.xml
- /data/data/####/lGTWjL
- /data/data/####/libnfix.so
- /data/data/####/libshellc.so (deleted)
- /data/data/####/libshellc.so.flock (deleted)
- /data/data/####/libshellx-2.9.1.2.so
- /data/data/####/libtpgjni_10.9.23_0.so
- /data/data/####/libufix.so
- /data/data/####/local_crash_lock
- /data/data/####/mix.dex
- /data/data/####/mix.so
- /data/data/####/mix.so.flock (deleted)
- /data/data/####/native_record_lock
- /data/data/####/ovwzEzS_llY5axqo
- /data/data/####/ovwzEzS_llY5axqo.lk
- /data/data/####/proc_auxv
- /data/data/####/qXPrGzByp1_uNtWjPPMPm5ZJUuwwVfbL.new
- /data/data/####/rdata_comxmtg3sdf
- /data/data/####/rdata_comxmtg3sdf.new
- /data/data/####/runner_info.prop
- /data/data/####/runner_info.prop.new
- /data/data/####/security_info
- /data/data/####/sqp-ewKAg2Eef-s6cO1R9OIZJaw=.new
- /data/data/####/u8fLCtfY-IYiPfe5MmpEpg==
- /data/data/####/u8fLCtfY-IYiPfe5MmpEpg==.new
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_location.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/v8ylM4Xk6mLnfoT6
- /data/data/####/v8ylM4Xk6mLnfoT6.new
- /data/data/####/whjrfBoSACAeEXPDhyNQTYjD96s=
- /data/data/####/whjrfBoSACAeEXPDhyNQTYjD96s=.new
- /data/data/####/xVoZ261kSjNEvxqW.dex
- /data/data/####/xVoZ261kSjNEvxqW.dex.flock (deleted)
- /data/data/####/xVoZ261kSjNEvxqW.zip
- /data/data/####/yfHoWT6P-CZ_dGKt8O0cQKauOdKJ_0Em.new
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/r_pkDgN4OhnkSa0D
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- /system/bin/sh -c type su
- /system/lib/arm/houdini /data/user/0/<Package>/code-545894/ovwzEzS_llY5axqo /data/user/0/<Package>/code-545894/ovwzEzS_llY5axqo -p <Package> -a com.uu.action.client -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- app_process /system/bin com.android.commands.am.Am broadcast -a com.uu.action.client --es start_bc_send_id com.uu.action.wakeup --include-stopped-packages --user 0
- chmod 700 /data/user/0/<Package>/tx_shell/libshellx-2.9.1.2.so
- getprop ro.aa.romver
- getprop ro.board.platform
- getprop ro.build.fingerprint
- getprop ro.build.nubia.rom.name
- getprop ro.build.rom.id
- getprop ro.build.tyd.kbstyle_version
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.gn.gnromvernumber
- getprop ro.lenovo.series
- getprop ro.lewa.version
- getprop ro.meizu.product.model
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.build.display.id
- getprop ro.vivo.os.version
- getprop ro.yunos.version
- logcat -d -v threadtime
- ls /
- ls /sys/class/thermal
Загружает динамические библиотеки:
- libBugly
- libmain
- libshellx-2.9.1.2
- libtpgjni_10.9.23_0
- libtpgjni_10.9.23_1
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-GCM-NoPadding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
