Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.248.origin
- Android.Triada.464.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) 47.1####.111.65:80
- UDP(NTP) 2.and####.p####.####.org:123
- TCP(TLS/1.0) pla####.google####.com:443
- TCP(TLS/1.0) s####.his####.hic####.com:443
- TCP(TLS/1.0) rr5---s####.g####.com:443
- TCP(TLS/1.0) www.google####.com:443
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.2) 1####.251.39.99:443
- UDP www.google####.com:443
Запросы DNS:
- 2.and####.p####.####.org
- and####.a####.go####.com
- l.ace####.com
- loc.map.b####.####.8
- loc.map.b####.com
- m####.go####.com
- p####.google####.com
- pla####.google####.com
- rr5---s####.g####.com
- s####.his####.hic####.com
- www.google####.com
Запросы HTTP POST:
- l.ace####.com/ando/v4/lv?app_id=####&r=####
- s####.his####.hic####.com:443/hwmarket/api/tlsApis
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.hptc.cache_cx.msdam.huawei
- /data/data/####/36B_boUhrFu8y-lnAgPtTo-orbk=
- /data/data/####/36B_boUhrFu8y-lnAgPtTo-orbk=.new
- /data/data/####/3YrnaFWgKgicMgZY0IatB1BSWlxwSWe0
- /data/data/####/6uy-FlXrUYKtZWzYpvAqWbPVesI=
- /data/data/####/6uy-FlXrUYKtZWzYpvAqWbPVesI=.new
- /data/data/####/7NMeDN2J3N2ieCpPbu_aGNXYyHk=
- /data/data/####/7NMeDN2J3N2ieCpPbu_aGNXYyHk=.new
- /data/data/####/9Ox-Jjn4hsnidTHF.dex
- /data/data/####/9Ox-Jjn4hsnidTHF.dex.flock (deleted)
- /data/data/####/9Ox-Jjn4hsnidTHF.zip
- /data/data/####/Aor0pNBTuFUCFLep4E1mSIpsaNmdm2AG
- /data/data/####/BbwWYhnvr8LmS3O79zroo4iifFquECM0
- /data/data/####/CqHRuVKHLbI32iO8oPx4Pir73sI=
- /data/data/####/CqHRuVKHLbI32iO8oPx4Pir73sI=.new
- /data/data/####/DeviceSessionUpdateSDK_V1.xml
- /data/data/####/GLFC0o0jmgs1cVhQuA3mDA==.new
- /data/data/####/GkQjdKimdnMtRju72op8ZjSo4q2II6_o.new
- /data/data/####/HSrAauIoWPSsrSUjNY7M81qDM-g=
- /data/data/####/Hutn0AUdcXmT93L8
- /data/data/####/LIE7YmYKxpqBAjgKczgipiKh6JagC5UKX78a5WuxX8s=
- /data/data/####/LKKHWAn_2gZxUJsBwZuZq_5zpEUK2NbS
- /data/data/####/LKKHWAn_2gZxUJsBwZuZq_5zpEUK2NbS.new
- /data/data/####/PmIKR5nkhD4dVBKJsqH_Cg==
- /data/data/####/PmIKR5nkhD4dVBKJsqH_Cg==.new
- /data/data/####/QFXz3QZfxSCYhU-kJL4OGA==.new
- /data/data/####/R4Q2qlkHlhxgBO8ahe2ugbrClwE=
- /data/data/####/R4Q2qlkHlhxgBO8ahe2ugbrClwE=.new
- /data/data/####/R7OAYoILXjIWqjRvMlYlM53Ny_60el3Z.new
- /data/data/####/SDK1830_dex.dex
- /data/data/####/SDK1830_dex.dex.flock (deleted)
- /data/data/####/SDK1830_dex.jar
- /data/data/####/SZeCgZ-gMfKz6SYlzibW1tzdthkZJK2nJMIANg==
- /data/data/####/SZeCgZ-gMfKz6SYlzibW1tzdthkZJK2nJMIANg==.new
- /data/data/####/XNeiPbNkuJmGt02IjGyj2Wp9cmZKV5XTLfAFImvW77Y=_9q...ournal
- /data/data/####/XNeiPbNkuJmGt02IjGyj2Wp9cmZKV5XTLfAFImvW77Y=_C3...WbSM4=
- /data/data/####/XNeiPbNkuJmGt02IjGyj2Wp9cmZKV5XTLfAFImvW77Y=_C3...ournal
- /data/data/####/XNeiPbNkuJmGt02IjGyj2Wp9cmZKV5XTLfAFImvW77Y=_Qo...ournal
- /data/data/####/XNeiPbNkuJmGt02IjGyj2Wp9cmZKV5XTLfAFImvW77Y=_vk...L2mg==
- /data/data/####/XNeiPbNkuJmGt02IjGyj2Wp9cmZKV5XTLfAFImvW77Y=_vk...ournal
- /data/data/####/XNeiPbNkuJmGt02IjGyj2Wp9cmZKV5XTLfAFImvW77Y=_wC...XJuqvA
- /data/data/####/XNeiPbNkuJmGt02IjGyj2Wp9cmZKV5XTLfAFImvW77Y=_wC...ournal
- /data/data/####/XNeiPbNkuJmGt02IjGyj2Wp9cmZKV5XTLfAFImvW77Y=_yG...0Q_w==
- /data/data/####/XNeiPbNkuJmGt02IjGyj2Wp9cmZKV5XTLfAFImvW77Y=_yG...ournal
- /data/data/####/Z8YMMzkLGLxiYJKIFCk60Kao4GA=.new
- /data/data/####/bjddy.txt
- /data/data/####/com.jycx.msdam.huawei.v2.playerprefs.xml
- /data/data/####/f3TMayXcnUegwFPfUP_XxUwveiU=
- /data/data/####/f3goCFulf3FDXcU8zW8LUp6EYBw=
- /data/data/####/f3goCFulf3FDXcU8zW8LUp6EYBw=.new
- /data/data/####/gtGM3QZLCqrW3roCqqMI_qJuVqnAHBSMcFfdDunyMdc=
- /data/data/####/gtGM3QZLCqrW3roCqqMI_qJuVqnAHBSMcFfdDunyMdc=.new
- /data/data/####/hKqGxEvyMuefHU3NEBlPM4qQVH4=
- /data/data/####/hKqGxEvyMuefHU3NEBlPM4qQVH4=.new
- /data/data/####/hianalytics_global_v2_com.jycx.msdam.huawei.xml
- /data/data/####/hianalytics_global_v2_com.jycx.msdam.huawei.xml.bak
- /data/data/####/jDIcRKv1peeEaXv7tCFnjT1TgsgwZmMwMsZVk12qiVs=
- /data/data/####/libtpgjni_10.9.10_0.so
- /data/data/####/o1bMdYNowtF_DXB__fDwX4rRuII=
- /data/data/####/o1bMdYNowtF_DXB__fDwX4rRuII=.new
- /data/data/####/proc_auxv
- /data/data/####/pyQIzg0ivNhdZnbY
- /data/data/####/pyQIzg0ivNhdZnbY.new
- /data/data/####/quzybq_f.dex
- /data/data/####/quzybq_f.dex.flock (deleted)
- /data/data/####/quzybq_f.zip
- /data/data/####/rdata_comddymsdamhuawei
- /data/data/####/runner_info.prop
- /data/data/####/runner_info.prop.new
- /data/data/####/sjKWgU-AZLxpwoDyweOdsiDCyjl_uQdn
- /data/data/####/sjKWgU-AZLxpwoDyweOdsiDCyjl_uQdn.new
- /data/data/####/top.zip
- /data/data/####/u5BWJCi_G9Tik2AX
- /data/data/####/u5BWJCi_G9Tik2AX.lk
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak
- /data/data/####/umeng_general_config.xml.bak (deleted)
- /data/data/####/umeng_it.cache
- /data/data/####/v1iqoJle4R3ar0xjNmozR89cZLU=
- /data/data/####/v1iqoJle4R3ar0xjNmozR89cZLU=.new
- /data/data/####/wRIh6fJu9vpvwpmTGq7w7uGDXlZMnXjL_t0hiVwAkVk=
- /data/data/####/wRIh6fJu9vpvwpmTGq7w7uGDXlZMnXjL_t0hiVwAkVk=.new
- /data/data/####/wXh7Cx8e-Tz2Jnj6A7t4Xg==
- /data/data/####/wlKyX8cTLRgvpU890WGQw-3_QXz7Vzeqk9eiUA==
- /data/data/####/wlKyX8cTLRgvpU890WGQw-3_QXz7Vzeqk9eiUA==.new
- /data/data/####/wrlilv_fYL18UViNv4zfKg==.new
- /data/data/####/xhCZSHmiXpME62BbQ3gLxT1LRPRk9OCFmnE3Ew==
- /data/data/####/xhCZSHmiXpME62BbQ3gLxT1LRPRk9OCFmnE3Ew==.new
- /data/data/####/xkPtMoDhj1sqRmyD0ZwWFw==
- /data/data/####/xrhrZem5bYWcLQdu-l8UGClesGxOIufj
- /data/data/####/xrhrZem5bYWcLQdu-l8UGClesGxOIufj.new
- /data/media/####/.nomedia
- /data/media/####/.uunique
- /data/media/####/.uunique.new
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/r_pkDgN4OhnkSa0D
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /data/user/0/<Package>/code-741800/u5BWJCi_G9Tik2AX -p <Package> -c com.ddy.msdam.huawei.candy.CarnationReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- app_process /system/bin com.android.commands.am.Am broadcast -n <Package>/com.ddy.msdam.huawei.candy.CarnationReceiver --es start_bc_send_id com.uu.action.wakeup --include-stopped-packages --user 0
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.vivo.os.version
- getprop ro.yunos.version
Загружает динамические библиотеки:
- libmain
- libtpgjni_10.9.10_0
- libtpgjni_10.9.10_1
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
