Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.248.origin
- Android.Triada.309
- Android.Triada.373.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) def####.duals####.cn.####.com:80
- UDP(NTP) 2.and####.p####.####.org:123
- TCP(TLS/1.0) gmscomp####.google####.com:443
- TCP(TLS/1.0) plb####.u####.com:443
- TCP(TLS/1.0) u####.u####.com:443
- TCP(TLS/1.2) gmscomp####.google####.com:443
- TCP(TLS/1.2) 64.2####.164.139:443
- TCP(TLS/1.2) 2####.85.233.94:443
- TCP(TLS/1.2) 1####.194.73.101:443
- UDP 85.1####.117.141:443
- UDP rr1---s####.g####.com:443
- UDP gmscomp####.google####.com:443
Запросы DNS:
- 2.and####.p####.####.org
- gmscomp####.google####.com
- l.ace####.com
- log.u####.com
- plb####.u####.com
- rr1---s####.g####.com
- s####.u####.com
- s####.u####.com.####.8
- u####.u####.com
- z####.com
Запросы HTTP GET:
- def####.duals####.cn.####.com/bar/get/5a35e463b27b0a267d0002c3/?ud_get=#...
Запросы HTTP POST:
- l.ace####.com/ando/v2/lv?app_id=####&r=####
- plb####.u####.com:443/umpx_internal
- u####.u####.com:443/unify_logs
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-nvK3P8nPGDkRYsE0wIt9ldAQyc2kRph.new
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/1666822012836.log
- /data/data/####/20UuZKK87CVUum187R9JJpm-AUja2yNn.new
- /data/data/####/3sod62X7_F39BXbZSYXj-RNaV44PFUxTJ0Xgsw==.new
- /data/data/####/5kS2rAqqHpvpcj5Avz06EA==
- /data/data/####/5kS2rAqqHpvpcj5Avz06EA==.new
- /data/data/####/9XFw21iLHJtkq66k
- /data/data/####/9XFw21iLHJtkq66k.lk
- /data/data/####/9d4Pg27tzYoKmUahLik3I5En25w=
- /data/data/####/AC2ZXpKFiKs9eFGS6hvkzXAMQCO69DDXfXCU4xAY4wQ=.new
- /data/data/####/CB9AjhgKT5CWXjJEdqWM1Z7jlcc=
- /data/data/####/CB9AjhgKT5CWXjJEdqWM1Z7jlcc=.new
- /data/data/####/CpawrvcRi7_lL17q72wNcfx2idRt4nFeZz6HwHeZdhY=.new
- /data/data/####/EkIxvcV5iNutv3avuwID3IHIqJeAyGmk_05WehZLfwSuARK...ournal
- /data/data/####/EkIxvcV5iNutv3avuwID3IHIqJeAyGmk_05WehZLfwSuARKtFTFXzZA==
- /data/data/####/EkIxvcV5iNutv3avuwID3IHIqJeAyGmk_Fmbxo5SC_EqGz2...ournal
- /data/data/####/EkIxvcV5iNutv3avuwID3IHIqJeAyGmk_Fmbxo5SC_EqGz2DUqCoONw==
- /data/data/####/EkIxvcV5iNutv3avuwID3IHIqJeAyGmk_RWsMm22HaqqtYDAP
- /data/data/####/EkIxvcV5iNutv3avuwID3IHIqJeAyGmk_RWsMm22HaqqtYDAP-journal
- /data/data/####/EkIxvcV5iNutv3avuwID3IHIqJeAyGmk_VABXkl5TdoU=-journal
- /data/data/####/EkIxvcV5iNutv3avuwID3IHIqJeAyGmk_nosU-2kOJFmFkl...RvGA4=
- /data/data/####/EkIxvcV5iNutv3avuwID3IHIqJeAyGmk_nosU-2kOJFmFkl...ournal
- /data/data/####/Et5MPMjhme06tFuDRPMo0A==
- /data/data/####/GM9ss-ZH6fXcJxKCtmWPzFVJs3VmuY7LzmISYklcUB0=.new
- /data/data/####/H0woA8eARsq0dMkBa4ye0wED-rWbpAri.new
- /data/data/####/HRUNRAMy4HdzvpRWmWfocARL7NYy9ArQGNSJYw==.new
- /data/data/####/IJ1A6fg_1xm6AjUIz4kiJSMKWREXdh3h.new
- /data/data/####/JDXQ54_DF78_1P7gY51C92ybByW26BWw.new
- /data/data/####/JQUplOewjbsnaOcrfgKk8bsuiBI=
- /data/data/####/JQUplOewjbsnaOcrfgKk8bsuiBI=.new
- /data/data/####/K35BjqrJzhhR34JTvw_ybg==
- /data/data/####/O98iIyUWJ6PRnCR0ZLRO8syPt2g=.new
- /data/data/####/OV7LAzPRqSv0HRa9hKHMjg==
- /data/data/####/SpBICjgbHKSMLTfT8s4O10Bl3uk=.new
- /data/data/####/UM_PROBE_DATA.xml
- /data/data/####/Wn1G5ElNkaLD45D0VKBDpZwTJxc=.new
- /data/data/####/c11Ua32_UuNzvYtJ
- /data/data/####/cQjdd9UG9jFgZwvX9u8GgYQoY9M1qMPg.new
- /data/data/####/classes.dex
- /data/data/####/classes.oat
- /data/data/####/classes2.dex
- /data/data/####/dW1weF9pbnRlcm5hbF8xNjY2ODIyMDE5NTgx;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNjY2ODIyMDEzOTMy;
- /data/data/####/e2_HJY55uCIddoYSSP-dNPGCLMjYrASv
- /data/data/####/e2_HJY55uCIddoYSSP-dNPGCLMjYrASv.new
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/gwivw_f.dex
- /data/data/####/gwivw_f.dex.flock (deleted)
- /data/data/####/gwivw_f.zip
- /data/data/####/i==1.2.0&&1.0_1666822019591_envelope.log
- /data/data/####/info.xml
- /data/data/####/jSzZqLwNMba0eoHP.dex
- /data/data/####/jSzZqLwNMba0eoHP.dex.flock (deleted)
- /data/data/####/jSzZqLwNMba0eoHP.zip
- /data/data/####/kD64TUNeiSpU_NvpmoJ_jWtTY5Q=
- /data/data/####/kD64TUNeiSpU_NvpmoJ_jWtTY5Q=.new
- /data/data/####/kl_-8rY5bO6HPrBWE5WaWA==
- /data/data/####/kl_-8rY5bO6HPrBWE5WaWA==.new
- /data/data/####/libjiagu.so
- /data/data/####/libtpgjni_10.3.2_0.so
- /data/data/####/r575MTum2vfk4oAnUTXgXJkp8MokHRYf5tBqEg==.new
- /data/data/####/rdata_comuzooqian
- /data/data/####/rdata_comuzooqian.new
- /data/data/####/runner_info.prop.new
- /data/data/####/s3Wn0KyQYtJgZSF8QaKjkBDp2Ca36sRm.new
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/data/####/zCON1vz2Xeu955h8QbEVoQ-l1VrXW-Gt2pOjGiVZXpQ=.new
- /data/data/####/zWwHpWq9MzimiJ8pjV1oVIm-ExCYY-SP.new
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/r_pkDgN4OhnkSa0D
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /data/user/0/<Package>/code-1849068/9XFw21iLHJtkq66k -p <Package> -c com.uzoo.qian.afkxvg.pv.pv.qf.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- /system/lib/arm/houdini /data/user/0/<Package>/code-1849068/9XFw21iLHJtkq66k /data/user/0/<Package>/code-1849068/9XFw21iLHJtkq66k -p <Package> -c com.uzoo.qian.afkxvg.pv.pv.qf.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- app_process /system/bin com.android.commands.am.Am broadcast -n <Package>/com.uzoo.qian.afkxvg.pv.pv.qf.c --es start_bc_send_id com.uu.action.wakeup --include-stopped-packages --user 0
- chmod 755 /data/user/0/<Package>/.jiagu/libjiagu.so
- ls /
- ls /sys/class/thermal
Загружает динамические библиотеки:
- libjiagu
- libtpgjni_10.3.2_0
- libtpgjni_10.3.2_1
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
