Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.337.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(TLS/1.0) dm.tou####.com.####.com:443
- TCP(TLS/1.0) rr4---s####.g####.com:443
- TCP(TLS/1.0) 1####.194.220.95:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) gmscomp####.google####.com:443
- TCP(TLS/1.0) 1####.194.221.113:443
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.0) rr5---s####.g####.com:443
- TCP(TLS/1.2) 74.1####.131.94:443
- TCP(TLS/1.2) 1####.194.220.95:443
- UDP p####.google####.com:443
- TCP sdk.a####.cn:10012
- TCP sdk.a####.cn:10002
- TCP dm.tou####.com.####.com:443
- TCP sdk.a####.cn:10019
- UDP rr4---s####.g####.com:443
- UDP rr5---s####.g####.com:443
- UDP rr3---s####.g####.com:443
- TCP sdk.a####.cn:10016
- TCP sdk.a####.cn:10014
- TCP sdk.a####.cn:10017
- TCP sdk.a####.cn:10020
- UDP 1####.194.220.95:443
Запросы DNS:
- a####.sn####.com
- and####.a####.go####.com
- and####.google####.com
- dm.tou####.com
- gmscomp####.google####.com
- log.sn####.com
- m####.go####.com
- p####.google####.com
- rr3---s####.g####.com
- rr4---s####.g####.com
- rr5---s####.g####.com
- sdk.a####.cn
- tnc3-b####.sn####.com
Запросы HTTP GET:
- dm.tou####.com.####.com:443/get_domains/v4/?abi=####&ac=####&channel=###...
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/1654866419841-1654866419841.ctx
- /data/data/####/Cookies-journal
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/__ab_local_exposed_info.sp.xml
- /data/data/####/__settings_meta.sp.xml
- /data/data/####/app_log_encrypt_switch_count.xml
- /data/data/####/app_log_encrypt_switch_count.xml.bak
- /data/data/####/applog_stats.xml
- /data/data/####/aweme-app.xml
- /data/data/####/aweme-app.xml.bak
- /data/data/####/child_mode.xml
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.dex;classes4.dex
- /data/data/####/com.ss.android.deviceregister.utils.Cdid.xml
- /data/data/####/com.ss.android.ugc.aweme.txt
- /data/data/####/device-register-oaid-xiaomi.xml
- /data/data/####/device_register_migrate_detector.xml
- /data/data/####/device_register_oaid_refine.xml
- /data/data/####/dso_deps
- /data/data/####/dso_lock
- /data/data/####/dso_manifest
- /data/data/####/dso_state
- /data/data/####/libjiagu.so
- /data/data/####/multi_process_config.xml
- /data/data/####/npth_log.db-journal
- /data/data/####/proc_auxv
- /data/data/####/snssdk_openudid.xml
- /data/data/####/ss_app_log.db-journal
- /data/data/####/ss_app_log.db-journal (deleted)
- /data/data/####/ug_install_settings_pref.xml
Другие:
Запускает следующие shell-скрипты:
- getprop ro.build.version.emui
- getprop ro.letv.release.version
- getprop ro.vivo.os.build.display.id
Загружает динамические библиотеки:
- libEncryptor
- libalog
- libcms
- libimagepipeline
- libjiagu
- libkeva
- libnpth
Использует следующие алгоритмы для шифрования данных:
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
