Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.600.origin
- Android.SmsSend.1848.origin
- Android.Triada.236.origin
- Android.Triada.248.origin
- Android.Triada.373.origin
Перехватывает входящие SMS и прекращает процесс их передачи обработчикам других приложений.
Детект на основе машинного обучения.
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) pay.9####.com:9000
- TCP(HTTP/1.1) p1.i####.cc:80
- TCP(HTTP/1.1) 1####.40.109.196:8088
- TCP(HTTP/1.1) gd.a.s####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(TLS/1.0) 64.2####.162.95:443
- TCP(TLS/1.0) 64.2####.161.95:443
- TCP(TLS/1.0) 64.2####.164.113:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) rr2---s####.g####.com:443
- TCP(TLS/1.2) 1####.194.222.94:443
- TCP(TLS/1.2) 64.2####.161.95:443
- TCP(TLS/1.2) 64.2####.161.113:443
- UDP p####.google####.com:443
- UDP rr2---s####.g####.com:443
- UDP 64.2####.161.95:443
- UDP rr1---s####.g####.com:443
Запросы DNS:
- 88####.net
- 88####.net.8.####.8
- a####.u####.com
- a.cs####.top
- a.cs####.top.####.8
- b####.mtu####.com
- b####.mtu####.com.####.8
- b.cs####.top
- b.cs####.top.####.8
- c####.api.zhifa####.####.8
- c####.api.zhifa####.net
- i####.api.zhifa####.####.8
- i####.api.zhifa####.####.8
- i####.api.zhifa####.net
- i####.api.zhifa####.net
- int.d####.s####.####.cn
- jdq.mtu####.com
- jdq.mtu####.com.####.8
- l.ace####.com
- p####.google####.com
- p1.i####.cc
- pay.9####.com
- pv.s####.com
- re####.api.zhifa####.####.8
- re####.api.zhifa####.net
- rr1---s####.g####.com
- rr2---s####.g####.com
- sdk.qipa####.cn
- sdk.qipa####.cn.####.8
Запросы HTTP GET:
- gd.a.s####.com/cityjson?ie=####
- pay.9####.com:9000/init_product_strategy?app_id=####&source_id=####
Запросы HTTP POST:
- a####.u####.com/app_logs
- p1.i####.cc/index.php/MC/HB
- pay.9####.com:9000/inner_sdk_upgrade_check
- pay.9####.com:9000/record_user_active
- pay.9####.com:9000/sdk_pools_pay
- pay.9####.com:9000/sdk_pools_pay_version
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.dex
- /data/data/####/.dex.flock (deleted)
- /data/data/####/.imprint
- /data/data/####/.jar
- /data/data/####/1o7TAcHURX70bfJ5cl_bJIMMGiMM8uz2.new
- /data/data/####/3hQr41j1XSIN-ljx
- /data/data/####/3hQr41j1XSIN-ljx.lk
- /data/data/####/3rjr6MWjuzQyZ2O73_eanrV6r6Y=
- /data/data/####/3rjr6MWjuzQyZ2O73_eanrV6r6Y=.new
- /data/data/####/4-ogKCpO_siMkSdoLvocLtk80KM=
- /data/data/####/5ELCPA1J4yni9ODbDGFmsw==
- /data/data/####/A5gw2LJkd1qBErNs2_FPLA==
- /data/data/####/A5gw2LJkd1qBErNs2_FPLA==.new
- /data/data/####/Alvin2.xml
- /data/data/####/CYCLE_PAY_PREF_NAME.xml
- /data/data/####/CYCLE_UNIQUE_ID.xml
- /data/data/####/ContextData.xml
- /data/data/####/ContextData.xml.bak (deleted)
- /data/data/####/CseZJD_UrPU6cGqb_EVo_KZyCSTuRstC
- /data/data/####/CseZJD_UrPU6cGqb_EVo_KZyCSTuRstC.new
- /data/data/####/GjXgnb-ny1HJxC_yIBK6-I3RLReVk0aJ-x6uPbM2-8c=.new
- /data/data/####/KIG8S-QfYVufoOnDuxTElmdZLfTtsGHJ_O7Yxpu4Qm58=-journal
- /data/data/####/KIG8S-QfYVufoOnDuxTElmdZLfTtsGHJ_RkA8qgn7t-K4Tgii
- /data/data/####/KIG8S-QfYVufoOnDuxTElmdZLfTtsGHJ_RkA8qgn7t-K4Tgii-journal
- /data/data/####/KIG8S-QfYVufoOnDuxTElmdZLfTtsGHJ_WtWECXyHNsd9Lk...ournal
- /data/data/####/KIG8S-QfYVufoOnDuxTElmdZLfTtsGHJ_WtWECXyHNsd9LkLVOuLwuw==
- /data/data/####/KIG8S-QfYVufoOnDuxTElmdZLfTtsGHJ_eYiq3pAWcXVLkP...ournal
- /data/data/####/KIG8S-QfYVufoOnDuxTElmdZLfTtsGHJ_eYiq3pAWcXVLkPOhGmWoVg==
- /data/data/####/KIG8S-QfYVufoOnDuxTElmdZLfTtsGHJ_hy5dCitXaV5_rt...CdXIA=
- /data/data/####/KIG8S-QfYVufoOnDuxTElmdZLfTtsGHJ_hy5dCitXaV5_rt...ournal
- /data/data/####/KKtwp_HUiuVNLsBOpfFuqACZ59ZJkHIBG22NqRx85fA=.new
- /data/data/####/LCUEX4BEJdIO0iei8pEuTYuQ0TAMZr76Sz3WRA==
- /data/data/####/LCUEX4BEJdIO0iei8pEuTYuQ0TAMZr76Sz3WRA==.new
- /data/data/####/MaiStore.db-journal
- /data/data/####/NZ0DdgtD30r237rNzii9CI0yFJtBARns.new
- /data/data/####/NhSDyyU4ybULFwsT.dex
- /data/data/####/NhSDyyU4ybULFwsT.dex.flock (deleted)
- /data/data/####/NhSDyyU4ybULFwsT.zip
- /data/data/####/NlD90wNpAKQz6YBwURq4CSGdzYc=
- /data/data/####/NlD90wNpAKQz6YBwURq4CSGdzYc=.new
- /data/data/####/OBeZvq_6HofbEEEZeZAaimcxxONdeWoflxCogQ==.new
- /data/data/####/PAw1LaOUyeIQX02VstCQsDDP9rY=.new
- /data/data/####/Plugin2.apk
- /data/data/####/Plugin2.dex
- /data/data/####/Plugin2.dex.flock (deleted)
- /data/data/####/SQPwVoYQGKgJ9W7Js7jzyza06qz9K7FGlSoRTWRtAWA=
- /data/data/####/SQPwVoYQGKgJ9W7Js7jzyza06qz9K7FGlSoRTWRtAWA=.new
- /data/data/####/Un9Nhy6bPOV1a2Qri8G_jsxNcacKyXbt.new
- /data/data/####/V6rhtgY_HU53gDd0P5A75g==.new
- /data/data/####/VJFFUw8bYYkwRLWgImd4L2Q61t4=
- /data/data/####/VJFFUw8bYYkwRLWgImd4L2Q61t4=.new
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/YHwn40mH2wp-iGPHOLUdr6IU7mQ=
- /data/data/####/YHwn40mH2wp-iGPHOLUdr6IU7mQ=.new
- /data/data/####/YiH6cv3WYwM4CmoGQp0CjTNYa82eWVwaeEGevMpVkls=.new
- /data/data/####/_a9PDUa_bCdXB77F9VdnSA==
- /data/data/####/abc.xml
- /data/data/####/b_setting.xml
- /data/data/####/b_share.xml
- /data/data/####/cWK8D0da4mxPu-rJRfh2OdFl000n-Vpx.new
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.shihezi.hengyang.anshun.hezhou_preferences.xml
- /data/data/####/config50132.xml
- /data/data/####/cyclesdk.apk
- /data/data/####/cyclesdk.dex
- /data/data/####/cyclesdk.dex.flock (deleted)
- /data/data/####/edeWd6cRX6J4imTB8X-bXqGZOIPLpwEG.new
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/g8DRDhbbf5VL1_nX
- /data/data/####/ilr9GmwGE8JBLmaz_n75qvTrMxT7fyG8.new
- /data/data/####/lang_encrypt_dex.dex
- /data/data/####/lang_encrypt_dex.dex.flock (deleted)
- /data/data/####/libtpgjni_10.3.2_0.so
- /data/data/####/ma_call.xml
- /data/data/####/ma_call.xml.bak
- /data/data/####/ma_data.xml
- /data/data/####/ma_epay_share.xml
- /data/data/####/metrics_guid
- /data/data/####/nexor.dex
- /data/data/####/nexor.dex.flock (deleted)
- /data/data/####/nexor.jar
- /data/data/####/nnt_data.xml
- /data/data/####/oAk_1o3CTTO4LlSBSNOcZy9G_v0=
- /data/data/####/oAk_1o3CTTO4LlSBSNOcZy9G_v0=.new
- /data/data/####/pay
- /data/data/####/pay.dex
- /data/data/####/pay.dex.flock (deleted)
- /data/data/####/pay.jar
- /data/data/####/po_F17lm0k8IO0_OZs8QdQ==.new
- /data/data/####/pref.xml
- /data/data/####/prim.dex
- /data/data/####/prim.dex.flock (deleted)
- /data/data/####/prim.jar
- /data/data/####/proc_auxv
- /data/data/####/rdata_comeikadpal
- /data/data/####/rdata_comeikadpal.new
- /data/data/####/runner_info.prop
- /data/data/####/runner_info.prop.new
- /data/data/####/share_data.xml
- /data/data/####/share_ecd.xml
- /data/data/####/share_version.xml
- /data/data/####/shzbaa_f.dex
- /data/data/####/shzbaa_f.dex.flock (deleted)
- /data/data/####/shzbaa_f.zip
- /data/data/####/twsdk.db-journal
- /data/data/####/uImv5YHH5bfw12De8psEwMzPnpV1q4Y9.new
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/userData.xml
- /data/data/####/vB9QCsNVTIRXHdkpQSUJq8Eq4glScCMOvu65aQ==.new
- /data/data/####/zCRa0CeoAfWzEZ5-bCUjgsLsjJpkPbDf
- /data/data/####/zCRa0CeoAfWzEZ5-bCUjgsLsjJpkPbDf.new
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/r_pkDgN4OhnkSa0D
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/lib/arm/houdini /data/user/0/<Package>/code-1787166/3hQr41j1XSIN-ljx /data/user/0/<Package>/code-1787166/3hQr41j1XSIN-ljx -p <Package> -c com.eika.dpal.uqneaq.pv.pv.qf.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- app_process /system/bin com.android.commands.am.Am broadcast -n <Package>/com.eika.dpal.uqneaq.pv.pv.qf.c --es start_bc_send_id com.uu.action.wakeup --include-stopped-packages --user 0
- cat /proc/cpuinfo
- getprop
- service list
Загружает динамические библиотеки:
- libmgeoDoo
- libtpgjni_10.3.2_0
- libtpgjni_10.3.2_1
Использует следующие алгоритмы для шифрования данных:
- AES
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-PKCS5Padding
- DES
- DES-CBC-PKCS5Padding
- DES-ECB-PKCS5PADDING
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из SMS.
Получает информацию о входящих/исходящих звонках.
Получает информацию об отправленых/принятых SMS.
Запрашивает разрешение на отображение системных уведомлений.
