Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.300.origin
Предлагает установить сторонние приложения.
Детект на основе машинного обучения.
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) u####.aa####.cn:80
- TCP(TLS/1.0) rr5---s####.g####.com:443
- TCP(TLS/1.0) 2####.58.209.163:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) digital####.google####.com:443
- TCP(TLS/1.0) rr4---s####.g####.com:443
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) rr3---s####.g####.com:443
- TCP(TLS/1.0) 2####.58.210.142:443
- TCP(TLS/1.0) googl####.g.doublec####.net:443
- TCP(TLS/1.2) 2####.58.209.163:443
- TCP(TLS/1.2) digital####.google####.com:443
- TCP(TLS/1.2) and####.google####.com:443
- TCP u####.aa####.cn:6666
Запросы DNS:
- and####.google####.com
- digital####.google####.com
- f####.gst####.com
- googl####.g.doublec####.net
- m####.go####.com
- rr3---s####.g####.com
- rr4---s####.g####.com
- rr5---s####.g####.com
- sett####.crashly####.com
- sett####.crashly####.com.####.8
- u####.aa####.cn
- u####.aa####.cn
Запросы HTTP POST:
- u####.aa####.cn/classes.dex
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/130f9022-7f6a-4b41-9cfd-9c3ad83aa6c9
- /data/data/####/1633031840514.dex
- /data/data/####/1633031840514.dex.flock (deleted)
- /data/data/####/1633031840514.jar
- /data/data/####/1633031840514.tmp
- /data/data/####/4494ac32-f0c9-4f62-9cb8-3d86c238840c
- /data/data/####/5c640457-df9e-4734-b0b2-6e54197ec7f2
- /data/data/####/62968A09018C-0001-0CC7-DA8F2ACBC9F8BeginSession.cls_temp
- /data/data/####/62968A09018C-0001-0CC7-DA8F2ACBC9F8BeginSession.json
- /data/data/####/62968A09018C-0001-0CC7-DA8F2ACBC9F8SessionApp.cls_temp
- /data/data/####/62968A09018C-0001-0CC7-DA8F2ACBC9F8SessionApp.json
- /data/data/####/62968A09018C-0001-0CC7-DA8F2ACBC9F8SessionDevice.cls_temp
- /data/data/####/62968A09018C-0001-0CC7-DA8F2ACBC9F8SessionDevice.json
- /data/data/####/62968A09018C-0001-0CC7-DA8F2ACBC9F8SessionOS.cls_temp
- /data/data/####/62968A09018C-0001-0CC7-DA8F2ACBC9F8SessionOS.json
- /data/data/####/74b66cfec406e0c3_0
- /data/data/####/BackgroundLogger.db-journal
- /data/data/####/Config.xml
- /data/data/####/Cookies-journal
- /data/data/####/FirstRun
- /data/data/####/TwitterAdvertisingInfoPreferences.xml
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/accounts_valuestore.pb.lock
- /data/data/####/admob.xml
- /data/data/####/app_update_metadata_valuestore.pb.lock
- /data/data/####/background_counters.db-journal
- /data/data/####/base_value_store.pb
- /data/data/####/base_value_store.pb.tmp
- /data/data/####/classes.dex
- /data/data/####/classes.dex.flock (deleted)
- /data/data/####/com.crashlytics.prefs.xml
- /data/data/####/com.crashlytics.sdk.android;answers;settings.xml
- /data/data/####/com.google.android.gms.measurement.prefs.xml
- /data/data/####/com.jacey.camera.detector_preferences.xml
- /data/data/####/conf.xml
- /data/data/####/counters.db-journal
- /data/data/####/dataloader_streaming_info_valuestore.pb.lock
- /data/data/####/dfe6b2497a7513ba_0
- /data/data/####/download_service-journal
- /data/data/####/download_service_preferences_key.xml
- /data/data/####/event_generator_6.xml
- /data/data/####/eventlog.store1349137303.log
- /data/data/####/eventlog.store1390081455.log
- /data/data/####/eventlog.store273174988.log
- /data/data/####/eventlog.store688407299.log
- /data/data/####/eventlog.store751845751.log
- /data/data/####/experiment-flags-process-stable
- /data/data/####/experiment-flags-regular-null-account
- /data/data/####/f038e94cb33282ab_0
- /data/data/####/f04db71c9a3c40041bc13ecfccafd8b1225da233e383971....0.tmp
- /data/data/####/f1bb6d4a-e88d-4b34-9519-5c910d45aea1
- /data/data/####/finsky-restore-logging-context.xml
- /data/data/####/finsky.xml
- /data/data/####/finsky.xml.bak
- /data/data/####/frosting.db-journal
- /data/data/####/https_googleads.g.doubleclick.net_0.localstorage-journal
- /data/data/####/index
- /data/data/####/initialization_marker
- /data/data/####/install_source.db-journal
- /data/data/####/journal
- /data/data/####/latchsky_timestamp_valuestore.pb.lock
- /data/data/####/logs_upload_attempt.log
- /data/data/####/metrics_guid
- /data/data/####/multi_proc.pb.lock
- /data/data/####/multi_proc.pb.tmp
- /data/data/####/notification_cache-journal
- /data/data/####/phenotype.db
- /data/data/####/phenotype.db-shm (deleted)
- /data/data/####/phenotype.db-wal
- /data/data/####/phenotype.db-wal (deleted)
- /data/data/####/play_metalog.log
- /data/data/####/proc_auxv
- /data/data/####/proc_background.pb
- /data/data/####/proc_background.pb.tmp
- /data/data/####/quick_launch_counters.db-journal
- /data/data/####/sa_0959d8e1-b4b9-45be-9b3f-5b2ecdee7f0b_1654032952464.tap
- /data/data/####/sa_2ec9da06-2cdf-4ac3-b6f7-6321c8a1b071_1654032931196.tap
- /data/data/####/sa_561f7039-6676-4948-b510-14c3ab003b1f_1654032927714.tap
- /data/data/####/sa_65ff2712-6c39-44ff-be5c-93f0e3261f4c_1654032915905.tap
- /data/data/####/sa_791f7300-0cd8-4aca-9fd8-4c755763b5de_1654032909833.tap
- /data/data/####/sa_87300da7-fde3-4dad-84a5-654ef09c0fb6_1654032911899.tap
- /data/data/####/sa_8a6b7400-c50f-4da8-968b-1b206bff84e1_1654032920151.tap
- /data/data/####/sa_8ee7539c-608e-4d30-a1ab-3dde755f3bf2_1654032942314.tap
- /data/data/####/sa_925efbcf-9dc1-40dc-bbc5-7ea0d9cf2167_1654032938497.tap
- /data/data/####/sa_9424ae30-5457-46b4-939c-becbbd2b680c_1654032923814.tap
- /data/data/####/sa_b06ecc4e-5730-41c8-b4cb-566e18ebea26_1654032945677.tap
- /data/data/####/sa_bd9c7d60-d78b-4542-bfed-be3fd87e7ac8_1654032934914.tap
- /data/data/####/sa_c5e63850-c21d-4456-8cd1-1fe083fc0f92_1654032910863.tap
- /data/data/####/sa_d896fe53-68a7-448e-b876-fc0b64024f4f_1654032905812.tap
- /data/data/####/sa_dfb355b2-63bb-4a30-8769-e16081ac5612_1654032948970.tap
- /data/data/####/scheduler_background-journal
- /data/data/####/scheduler_main-journal
- /data/data/####/selfupdate_scheduler.xml
- /data/data/####/session_analytics.tap
- /data/data/####/session_analytics.tap (deleted)
- /data/data/####/session_analytics.tap.tmp
- /data/data/####/streamdatastore.db-journal
- /data/data/####/temp-index
- /data/data/####/the-real-index
- /data/data/####/time_adjustment_valuestore.pb.lock
- /data/data/####/verify_apps.db-journal
- /data/misc/####/primary.prof
Другие:
Загружает динамические библиотеки:
- libarm_protect
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Получает информацию об активных администраторах устройства.
Получает информацию об установленных приложениях.
Получает информацию о привязанных к устройству аккаунтах.
Отрисовывает собственные окна поверх других приложений.
