Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.1051.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) s2.humanhu####.space:80
- TCP(TLS/1.0) 7.z####.top:443
- TCP(TLS/1.0) safebro####.google####.com:443
- TCP(TLS/1.0) 1####.194.73.95:443
- TCP(TLS/1.0) connect####.gst####.com:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) android####.go####.com:443
- TCP(TLS/1.0) s####.y####.com:443
- TCP(TLS/1.0) s.airmo####.com:443
- TCP(TLS/1.0) 1####.251.1.138:443
- TCP(TLS/1.0) 5.ah####.com:443
- TCP(TLS/1.0) tc.airmo####.com:443
- TCP(TLS/1.0) gmscomp####.google####.com:443
- TCP(TLS/1.2) 1####.194.73.95:443
- UDP p####.google####.com:443
- UDP rr5---s####.g####.com:443
- UDP rr3---s####.g####.com:443
- UDP 1####.194.73.95:443
- UDP rr1---s####.g####.com:443
- UDP safebro####.google####.com:443
Запросы DNS:
- 5.ah####.com
- 7.z####.top
- and####.google####.com
- android####.go####.com
- bigcl####.zhuifen####.top
- connect####.gst####.com
- gmscomp####.google####.com
- p####.google####.com
- rr1---s####.g####.com
- rr3---s####.g####.com
- rr5---s####.g####.com
- s####.y####.com
- s.airmo####.com
- s2.humanhu####.space
- safebro####.google####.com
- tc.airmo####.com
Запросы HTTP GET:
- 5.ah####.com:443/thirdsdk/flowcashpack/116/mgidnews2-137a-202107061200d
- 5.ah####.com:443/thirdsdk/flowcashpack/154/mgidnews3-151a-202112311508d
- 5.ah####.com:443/thirdsdk/flowcashpack/72/1619343918319-alert-173-202102...
- 5.ah####.com:443/thirdsdk/flowcashpack/74/mgidnews-140a-202107061216d
- 5.ah####.com:443/thirdsdk/flowcashpack/76/offer-166a-202203111503d
- 5.ah####.com:443/thirdsdk/flowcashpack/87/1619343865482-net-121a-2021041...
- s2.humanhu####.space/op?p=####&v=####&uuid=####
Запросы HTTP POST:
- 7.z####.top:443/v1/mgidnews
- s####.y####.com:443/v1/init?id=####
- s.airmo####.com:443/v1/hwstask?cid=####
- tc.airmo####.com:443/v1/tclj
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.dex2oatlock
- /data/data/####/.updateIV.dat
- /data/data/####/0000000lllll_0.dex
- /data/data/####/000O00ll111l_0.dex
- /data/data/####/00O000ll111l_0.dex
- /data/data/####/00O000ll111l_0.dex (deleted)
- /data/data/####/00O000ll111l_0.dex.flock
- /data/data/####/00O000ll111l_0.dex.flock (deleted)
- /data/data/####/011134986548f3458aa3e7e2a7fceb8d
- /data/data/####/0OO00l111l1l
- /data/data/####/0OO00l111l1l.lock
- /data/data/####/117875.dex
- /data/data/####/117875.dex.flock (deleted)
- /data/data/####/117875.jar
- /data/data/####/117975.dex
- /data/data/####/117975.dex.flock (deleted)
- /data/data/####/117975.jar
- /data/data/####/4cdd10e08a956d9cbc86f96731361da3.xml
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e01a493a3b-a0be-4...2b.dex
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e01a493a3b-a0be-4...48752b
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e01a493a3b-a0be-4...leted)
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e03f198e3784928df...rcache
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e046a15021-0a41-4...1f.dex
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e046a15021-0a41-4...830b1f
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e046a15021-0a41-4...leted)
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e07f330257fa0f7d0...78.jar
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e07f330257fa0f7d0...leted)
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e0995ecbf8-175f-4...8e.dex
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e0995ecbf8-175f-4...f0a18e
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e0995ecbf8-175f-4...leted)
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e0be824766-e1b6-4...c9d808
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e0e59457e3575aab6...e1.jar
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e0e59457e3575aab6...rcache
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e0f2f68262-5d73-4...29f84d
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e0f2f68262-5d73-4...4d.dex
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e0f2f68262-5d73-4...leted)
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e0f7549b1613be968...a1.jar
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e0f7549b1613be968...leted)
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e0f80aa90fbc9e8ee...31.jar
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e0f80aa90fbc9e8ee...rcache
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e0f9c312d6-d84c-4...1c058d
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e0f9c312d6-d84c-4...8d.dex
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e0f9c312d6-d84c-4...leted)
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e0feedd2fa6c01c88...7c.jar
- /data/data/####/69f723df830b11eb8cdbb8599f4fd9e0feedd2fa6c01c88...rcache
- /data/data/####/75c4161650b81ec9cc60c23a9af31c6e.xml
- /data/data/####/99583.dex
- /data/data/####/99583.dex.flock (deleted)
- /data/data/####/99583.jar
- /data/data/####/99583aaa
- /data/data/####/99583aaa.dex
- /data/data/####/99583aaa.dex.flock (deleted)
- /data/data/####/d8192e68e16cb20287ec75a318c686d1.xml
- /data/data/####/fc782376c5e21a0947860b9f4521031c.xml
- /data/data/####/libshellx-super.2019.so
- /data/data/####/o0oooOO0ooOo.dat
- /data/data/####/tosversion
- /data/data/####/userData.xml
Другие:
Запускает следующие shell-скрипты:
- getprop ro.product.cpu.abi
- ls /data/local
Загружает динамические библиотеки:
- libshellx-super.2019
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о телефоне (номер, IMEI и т. д.).
Добавляет задания в системный планировщик.
Запрашивает разрешение на отображение системных уведомлений.
