Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Cynos.5.origin
- Android.Triada.248.origin
- Android.Triada.373.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) na61-####.wagbr####.ali####.####.com:80
- TCP(HTTP/1.1) 1####.159.152.136:8090
- TCP(TLS/1.0) na61-####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) gmscomp####.google####.com:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) 64.2####.164.102:443
- TCP(TLS/1.2) p####.google####.com:443
- TCP(TLS/1.2) 64.2####.161.101:443
- TCP(TLS/1.2) 64.2####.164.94:443
- UDP rr2---s####.g####.com:443
- UDP rr1---s####.g####.com:443
- UDP p####.google####.com:443
Запросы DNS:
- and####.google####.com
- d####.sdkbal####.com
- d####.sdkbal####.com
- d####.sdkbal####.com.####.8
- d####.sdkbal####.com.####.8
- gmscomp####.google####.com
- int.d####.s####.####.cn
- ip.ta####.com
- l.ace####.com
- p####.google####.com
- rr1---s####.g####.com
- rr2---s####.g####.com
Запросы HTTP GET:
- na61-####.wagbr####.ali####.####.com:443/service/getIpInfo2.php?ip=####
Запросы HTTP POST:
- l.ace####.com/ando/v2/lv?app_id=####&r=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-fTLy1_tVfVhyigESUpL4Q==.new
- /data/data/####/0ad6L5FKhlI5YEb9
- /data/data/####/1JKsaDWVC6GXUWzV12ebrX3zaNY=.new
- /data/data/####/4mV2rY0i25iyMbmwNeD05-WdYalOB22F.new
- /data/data/####/8T4Ljb4LQKZzmErV.dex
- /data/data/####/8T4Ljb4LQKZzmErV.dex.flock (deleted)
- /data/data/####/8T4Ljb4LQKZzmErV.zip
- /data/data/####/9cjwqDFBU4I760j6oeSmscTbbPKBSR7S_9RCVCTx7IQK_V1...ournal
- /data/data/####/9cjwqDFBU4I760j6oeSmscTbbPKBSR7S_9RCVCTx7IQK_V1OGHvExqw==
- /data/data/####/9cjwqDFBU4I760j6oeSmscTbbPKBSR7S_CKeTYBiLnMhtGD59
- /data/data/####/9cjwqDFBU4I760j6oeSmscTbbPKBSR7S_CKeTYBiLnMhtGD59-journal
- /data/data/####/9cjwqDFBU4I760j6oeSmscTbbPKBSR7S_IWEdT8_VAY447y...ournal
- /data/data/####/9cjwqDFBU4I760j6oeSmscTbbPKBSR7S_IWEdT8_VAY447ysLANwGMQ==
- /data/data/####/9cjwqDFBU4I760j6oeSmscTbbPKBSR7S_Ryw8qiYIdxwnMb...b7GSM=
- /data/data/####/9cjwqDFBU4I760j6oeSmscTbbPKBSR7S_Ryw8qiYIdxwnMb...ournal
- /data/data/####/9cjwqDFBU4I760j6oeSmscTbbPKBSR7S_lPobnO452Lw=-journal
- /data/data/####/AEBkmt5X7lcHuxYiPb4TsMo6AckKGBtnIXJCOIjJGzI=.new
- /data/data/####/ASdmEIJ6BH8foeL7zLKiveNA6qoD4c_pn1oT-g==.new
- /data/data/####/AgTrKcHJBN3BgqW5lUXgbwYv9LfpCDLzH1JalzRdayo=.new
- /data/data/####/CyWFJFD-2S1iSOHa8H83Nw==
- /data/data/####/GAxU8SAGGRJTvXXr4ABI_5Dpd9w=.new
- /data/data/####/GgtAMMGFmy__z0RGI9-xug==
- /data/data/####/GgtAMMGFmy__z0RGI9-xug==.new
- /data/data/####/LPC0cZAtbu_o_rMKqKMmO1suAXgCbbGPyzQq-A==.new
- /data/data/####/OsR4UzGmPPOI0YpIZoNH-G37exk=.new
- /data/data/####/PMTmmkV5YmZRaogdLvxrPd89eW7ePcBh.new
- /data/data/####/Q_PjXy04M68VghKC
- /data/data/####/Q_PjXy04M68VghKC.lk
- /data/data/####/Qk2u6oOJnfcN8WWz5zux4CPriZck105e.new
- /data/data/####/UM.xml
- /data/data/####/V_b-T_Hdi2YxpxzYDnVS1KZAZfs=.new
- /data/data/####/YkKMMyChFbp4UzbK7kBiux0C46sd1pLO.new
- /data/data/####/ZeI0fEMVENEY1fBMifKkMjy2oHlB44XfkA-09w==.new
- /data/data/####/ZrTvJQDg6p8gHPZZ2gNOCg==
- /data/data/####/ZrTvJQDg6p8gHPZZ2gNOCg==.new
- /data/data/####/ahgA_PVjm7PQ1jVrApoW5OrR0ZM=.new
- /data/data/####/amCgapcEA5-bIzrqeMsC8YrsMjXF5SQO-qbrC9StRxc=.new
- /data/data/####/e-IJHTos0oHl2OSkfBxtJSK6vJscZGEu.new
- /data/data/####/geug_f.dex
- /data/data/####/geug_f.dex.flock (deleted)
- /data/data/####/geug_f.zip
- /data/data/####/hbv0ww20.jar
- /data/data/####/j8rHSk822q-3gQ4d-3mr9up4XBjttd9mJrQwrLNbOdg=.new
- /data/data/####/kVG13IzAX1YiH_RCPG2OcTC1o8xFbSTW.new
- /data/data/####/krfT2ANQU2J-ccMJlD12Utbl4d5zEGId.new
- /data/data/####/libtpgjni_10.3.2_0.so
- /data/data/####/lrFj3JXjO5U1bmUOITMEqmuVbFNAqt_Q.new
- /data/data/####/oCQwLNe1OZVey8WcbF-Y4jmvD-k=
- /data/data/####/proc_auxv
- /data/data/####/q3iJbngkc7af1CZNZGsuiw==
- /data/data/####/qQHdTQAWXVETOFomCZEDaiA2prfLHw8p.new
- /data/data/####/qjmlc4vt.dex
- /data/data/####/qjmlc4vt.dex.flock (deleted)
- /data/data/####/qjmlc4vt.jar
- /data/data/####/rdata_comeriksoif
- /data/data/####/runner_info.prop.new
- /data/data/####/sdk.db
- /data/data/####/sdk.db-journal
- /data/data/####/tArPqbuM2765BZD-WC3zjZSf-VY=
- /data/data/####/tArPqbuM2765BZD-WC3zjZSf-VY=.new
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/r_pkDgN4OhnkSa0D
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/lib/arm/houdini /data/user/0/<Package>/code-2937969/Q_PjXy04M68VghKC /data/user/0/<Package>/code-2937969/Q_PjXy04M68VghKC -p <Package> -c com.erik.soif.afhbuw.pv.pv.qf.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- app_process /system/bin com.android.commands.am.Am broadcast -n <Package>/com.erik.soif.afhbuw.pv.pv.qf.c --es start_bc_send_id com.uu.action.wakeup --include-stopped-packages --user 0
Загружает динамические библиотеки:
- libKDDIJF5s
- libcocos2dcpp
- libtpgjni_10.3.2_0
- libtpgjni_10.3.2_1
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
