Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.337.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) survey-####.com:80
- TCP(HTTP/1.1) api.codefor####.com:80
- TCP(TLS/1.0) gmscomp####.google####.com:443
- TCP(TLS/1.2) 1####.250.27.113:443
- TCP(TLS/1.2) 1####.250.27.94:443
- UDP gmscomp####.google####.com:443
Запросы DNS:
- api.codefor####.com
- gmscomp####.google####.com
- oc.u####.co
- oc.u####.co.####.8
- oc.u####.com
- p####.google####.com
- s####.i####.cn
- s####.i####.cn.####.8
- survey-####.com
Запросы HTTP GET:
- survey-####.com/
Запросы HTTP POST:
- api.codefor####.com/ore
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/3KDqUO69PbQkzqNSMmsq4E8hTCU=
- /data/data/####/6WOo1tPesSMZrzFYAnUElQ65RC4qfoy8
- /data/data/####/7BM85TXGgymHGzKk
- /data/data/####/7WzHDqciophrrOPm.dex
- /data/data/####/7WzHDqciophrrOPm.dex.flock (deleted)
- /data/data/####/7WzHDqciophrrOPm.zip
- /data/data/####/KDkFVQL7XKmzVfQN7WwxgQ==
- /data/data/####/PDE8cpFD7-z9TflS2SmV5vrL4rQ52lvI4oRgqA==
- /data/data/####/PwaGZQu_Skl293PJ_-lZhWWgTNC20T8tgT-uiieLLQ6U=.xml
- /data/data/####/PwaGZQu_Skl293PJ_3dFgUbhJpusmwO_U
- /data/data/####/PwaGZQu_Skl293PJ_3dFgUbhJpusmwO_U-journal
- /data/data/####/PwaGZQu_Skl293PJ_4N2rq-KzBae0iJjRuTRhc3INyBw=.xml
- /data/data/####/PwaGZQu_Skl293PJ_9f-V0K3SDdXDG9R2V9Uijg==
- /data/data/####/PwaGZQu_Skl293PJ_9f-V0K3SDdXDG9R2V9Uijg==-journal
- /data/data/####/PwaGZQu_Skl293PJ_BO0ZoarFXUY-hu5_pGe8b7TCECA=
- /data/data/####/PwaGZQu_Skl293PJ_BO0ZoarFXUY-hu5_pGe8b7TCECA=-journal
- /data/data/####/PwaGZQu_Skl293PJ_CZ4TM0s_yVLZ902UaKygN7I-5hY=
- /data/data/####/PwaGZQu_Skl293PJ_CZ4TM0s_yVLZ902UaKygN7I-5hY=-journal
- /data/data/####/PwaGZQu_Skl293PJ_EOmRK_kkS2Weix2o-n6nxJ92YoIXuH60.xml
- /data/data/####/PwaGZQu_Skl293PJ_EOmRK_kkS2Weix2o-n6nxJ92YoIXuH60.xml.bak
- /data/data/####/PwaGZQu_Skl293PJ_PYS-8-Gnt20RR0D1.xml
- /data/data/####/PwaGZQu_Skl293PJ_RddCylvaIvUx99gJ47MRDADY86s=.xml
- /data/data/####/PwaGZQu_Skl293PJ_VJ_th-ZkD9Y_G2-nX2X7XXycnuaS4K...==.xml
- /data/data/####/PwaGZQu_Skl293PJ_VJ_th-ZkD9Y_G2-nX2X7XXycnuaS4K...ml.bak
- /data/data/####/PwaGZQu_Skl293PJ_WwBFGnFKgEcQFqGN
- /data/data/####/PwaGZQu_Skl293PJ_WwBFGnFKgEcQFqGN-journal
- /data/data/####/PwaGZQu_Skl293PJ_X1HPAQi8Hv8t59I1ogxF0cG9dOg=.xml
- /data/data/####/PwaGZQu_Skl293PJ_ad_smart_rc_rundata.prefs.xml
- /data/data/####/PwaGZQu_Skl293PJ_ad_smart_sr_rundata.prefs.xml
- /data/data/####/PwaGZQu_Skl293PJ_ad_smart_ssp_rundata.prefs.xml
- /data/data/####/PwaGZQu_Skl293PJ_ad_smart_strip_rundata.prefs.xml
- /data/data/####/PwaGZQu_Skl293PJ_k16C4oova3TlP-zZsnlKvJiUsFU4Z0...==.xml
- /data/data/####/PwaGZQu_Skl293PJ_n66F--bIpQ2p5g2g4RrmDg==
- /data/data/####/PwaGZQu_Skl293PJ_n66F--bIpQ2p5g2g4RrmDg==-journal
- /data/data/####/PwaGZQu_Skl293PJ_n_VjZtP-mAXGB3hgKegfxA==.xml
- /data/data/####/PwaGZQu_Skl293PJ_rkptZjw0lOpuEbIudLWe8Zvl4x0Tso...==.xml
- /data/data/####/PwaGZQu_Skl293PJ_u4kIBC2W2_3eMXmfQTNU1g==
- /data/data/####/PwaGZQu_Skl293PJ_u4kIBC2W2_3eMXmfQTNU1g==-journal
- /data/data/####/PwaGZQu_Skl293PJ_wDVgpLYFUUowt0Iu
- /data/data/####/PwaGZQu_Skl293PJ_wDVgpLYFUUowt0Iu-journal
- /data/data/####/QwsuF4WGbHnBff-s
- /data/data/####/WvTA2XmeBsnH6w--aoy4ww==
- /data/data/####/ZFALJb0snFOU9EsETuVQtQ3IPNQ=
- /data/data/####/b5BBSp7pJH7yoKbRstv4Fw==
- /data/data/####/data.dat.tmp
- /data/data/####/ermddq.dex
- /data/data/####/ermddq.dex.flock (deleted)
- /data/data/####/ermddq.zip
- /data/data/####/intelligent.voice.handwritten.ime
- /data/data/####/intelligent.voice.handwritten.ime-journal
- /data/data/####/intelligent.voice.handwritten.ime_2022-12-27.xml
- /data/data/####/intelligent.voice.handwritten.ime_2022-12-28.xml
- /data/data/####/intelligent.voice.handwritten.ime_preferences.xml
- /data/data/####/mobclick_agent_cached_intelligent.voice.handwritten.ime
- /data/data/####/mobclick_agent_state_intelligent.voice.handwritten.ime.xml
- /data/data/####/proc_auxv
- /data/media/####/.nomedia
- /data/media/####/B_T7LWxUigqpuSU4D7h_Xw7lDRCpdrzs
- /data/media/####/FKSO-PTG-6bHG6iKfVdjtUdNFkk=
Другие:
Запускает следующие shell-скрипты:
- ./7BM85TXGgymHGzKk com.nghh.wiogh.ci
- /system/lib/arm/houdini ./7BM85TXGgymHGzKk ./7BM85TXGgymHGzKk com.nghh.wiogh.ci
- /system/lib/arm/houdini ./7BM85TXGgymHGzKk 7BM85TXGgymHGzKk com.nghh.wiogh.ci
- app_process /system/bin com.android.commands.am.Am broadcast -a com.nghh.wiogh.ci --es start_bc_send_id com.uu.action.wakeup --include-stopped-packages --user 0
Загружает динамические библиотеки:
- libhello
- libpy2word
- libyzs_usc
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
