Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Packed.9.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) 1####.194.222.102:443
- TCP(TLS/1.2) 64.2####.165.139:443
- TCP(TLS/1.2) 64.2####.165.94:443
- TCP(TLS/1.2) 1####.194.222.95:443
Запросы DNS:
- and####.google####.com
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/HHoYfeKAyaNzqJ697S7RMAggVDpuz3YR.dex
- /data/data/####/HHoYfeKAyaNzqJ697S7RMAggVDpuz3YR.dex.flock (deleted)
- /data/data/####/QkNS9dH5D8dgAeWjLLLWt4qIrIgZ3jQs.dex
- /data/data/####/U1LcXxtVG1uYoIid8oGvL1iR3ErsDnVx.dex
- /data/data/####/U1LcXxtVG1uYoIid8oGvL1iR3ErsDnVx.dex.flock (deleted)
- /data/data/####/ZZZdzkeuOcqrx1rX77fLBq2WBB3cAkUo.dex
- /data/data/####/ZZZdzkeuOcqrx1rX77fLBq2WBB3cAkUo.dex.flock (deleted)
- /data/data/####/Zmw67LjIqR9fL0XGIQoABVwU2GxjDjKt.dex
- /data/data/####/Zmw67LjIqR9fL0XGIQoABVwU2GxjDjKt.dex.flock (deleted)
- /data/data/####/ctqK9SubfBlDzVI5EzZuOIkdvGxfywnU.dex
- /data/data/####/ctqK9SubfBlDzVI5EzZuOIkdvGxfywnU.dex.flock (deleted)
- /data/data/####/fWd0q4kkkQQYNvsrP8YzVRgvRD4LWnTJ.dex
- /data/data/####/oYMoYPR2kL7DaCjQc2pY6BRZ1ArV7fJ3.dex
- /data/data/####/oYMoYPR2kL7DaCjQc2pY6BRZ1ArV7fJ3.dex.flock (deleted)
- /data/data/####/p2xjI6HKlFfteREUNPfkJmJd79uW6I8L.dex
- /data/data/####/p2xjI6HKlFfteREUNPfkJmJd79uW6I8L.dex.flock (deleted)
- /data/data/####/qjrbuzQRh0j6IpNwFnYhKniZvVIoEFk1.dex
- /data/data/####/qjrbuzQRh0j6IpNwFnYhKniZvVIoEFk1.dex.flock (deleted)
- /data/data/####/tLJR3hWIsW8ryqhgveyJIGqK5oPwGBlr.dex
- /data/data/####/tLJR3hWIsW8ryqhgveyJIGqK5oPwGBlr.dex.flock (deleted)
- /data/data/####/uNLGEXlxKwQB2th3mj2LC2ow2EEesfMQ.dex
- /data/data/####/uNLGEXlxKwQB2th3mj2LC2ow2EEesfMQ.dex.flock (deleted)
- /data/data/####/wqInV9DNdiW4XcWDBDQbswpDs7yVRuF7.dex
- /data/data/####/wqInV9DNdiW4XcWDBDQbswpDs7yVRuF7.dex.flock (deleted)
- /data/data/####/xzd2en9G1l0cFj0m6lAx5WOCsW8FxcyX.dex
- /data/data/####/xzd2en9G1l0cFj0m6lAx5WOCsW8FxcyX.dex.flock (deleted)
Другие:
Запускает следующие shell-скрипты:
- rm -r/data/user/0/<Package>/app_ded/QkNS9dH5D8dgAeWjLLLWt4qIrIgZ3jQs.dex
- rm -r/data/user/0/<Package>/app_ded/U1LcXxtVG1uYoIid8oGvL1iR3ErsDnVx.dex
- rm -r/data/user/0/<Package>/app_ded/ZZZdzkeuOcqrx1rX77fLBq2WBB3cAkUo.dex
- rm -r/data/user/0/<Package>/app_ded/Zmw67LjIqR9fL0XGIQoABVwU2GxjDjKt.dex
- rm -r/data/user/0/<Package>/app_ded/oYMoYPR2kL7DaCjQc2pY6BRZ1ArV7fJ3.dex
- rm -r/data/user/0/<Package>/app_ded/p2xjI6HKlFfteREUNPfkJmJd79uW6I8L.dex
- rm -r/data/user/0/<Package>/app_ded/qjrbuzQRh0j6IpNwFnYhKniZvVIoEFk1.dex
- rm -r/data/user/0/<Package>/app_ded/tLJR3hWIsW8ryqhgveyJIGqK5oPwGBlr.dex
- rm -r/data/user/0/<Package>/app_ded/uNLGEXlxKwQB2th3mj2LC2ow2EEesfMQ.dex
- rm -r/data/user/0/<Package>/app_ded/wqInV9DNdiW4XcWDBDQbswpDs7yVRuF7.dex
- rm -r/data/user/0/<Package>/app_ded/xzd2en9G1l0cFj0m6lAx5WOCsW8FxcyX.dex
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
