Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Mobifun.11.origin
- Android.RemoteCode.6122
- Android.Triada.477.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) www.google-####.com:80
- TCP(HTTP/1.1) a####.u####.com.####.com:80
- TCP(HTTP/1.1) ias.i6g####.net:80
- UDP(NTP) 2.and####.p####.####.org:123
- TCP(TLS/1.0) f####.only####.com:443
- TCP(TLS/1.0) lp.cooktra####.com:443
- TCP(TLS/1.0) www.google####.com:443
- TCP(TLS/1.2) 1####.251.39.99:443
- TCP(TLS/1.2) 1####.250.179.142:443
- TCP(TLS/1.2) www.google####.com:443
- UDP www.google####.com:443
Запросы DNS:
- 2.and####.p####.####.org
- a####.u####.com
- bcd.lk####.com
- c####.isp####.com
- c####.isp####.com.####.8
- f####.only####.com
- gmscomp####.google####.com
- ias.i6g####.net
- lp.cooktra####.com
- m####.go####.com
- p####.9b####.com
- www.google####.com
- www.google-####.com
Запросы HTTP GET:
- ias.i6g####.net/ad/6.json
- ias.i6g####.net/uploads/adverts/_703sd.png?148960####
- ias.i6g####.net/uploads/adverts/_705sd.jpeg?149945####
- ias.i6g####.net/uploads/adverts/_717sd.png?152545####
- ias.i6g####.net/uploads/adverts/_718sd.jpeg?149945####
- ias.i6g####.net/uploads/adverts/_764sd.png?148882####
- www.google-####.com/collect?v=####&ul=####&t=####&sr=####&an=####&tid=##...
Запросы HTTP POST:
- a####.u####.com.####.com/app_logs
- f####.only####.com:443/12/reg/20K4D5L15RGI9LJ9
- lp.cooktra####.com:443/v1/ls/get
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.hptc.cache_.teacup.samboat
- /data/data/####/.hptc_kache_.teacup.samboat
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/1633031840514.dex
- /data/data/####/1633031840514.dex.flock (deleted)
- /data/data/####/1633031840514.jar
- /data/data/####/1633031840514.tmp
- /data/data/####/26da60c971dea9a6fe5587f78edd2e4c.d
- /data/data/####/3065955.dex
- /data/data/####/3065955.dex.flock (deleted)
- /data/data/####/3065955.jar
- /data/data/####/675b7be1_620e_422f_b88e_758fb7b36524.dex
- /data/data/####/675b7be1_620e_422f_b88e_758fb7b36524.dex.flock (deleted)
- /data/data/####/675b7be1_620e_422f_b88e_758fb7b36524.jar
- /data/data/####/6DDE91267114B32956C4FDE911FEBFFD.xml
- /data/data/####/7a43f8a99fd82fd605645df72389132c.d
- /data/data/####/BAC34D7380D122C7A84E666EBA389F36.xml
- /data/data/####/Cookies-journal
- /data/data/####/E4F8F9D8764AB9038BFD7DDE8A655028.xml
- /data/data/####/HeartBeat.xml
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/admob.xml
- /data/data/####/ae41da08_ff9d_410d_93cc_a5959f823219.dex
- /data/data/####/ae41da08_ff9d_410d_93cc_a5959f823219.dex.flock (deleted)
- /data/data/####/ae41da08_ff9d_410d_93cc_a5959f823219.jar
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/classes.dex
- /data/data/####/com.teacup.samboat.xml
- /data/data/####/com.teacup.samboat_preferences.xml
- /data/data/####/d2368666_fbe6_4a05_a6c1_2a3be4a47121.dex
- /data/data/####/d2368666_fbe6_4a05_a6c1_2a3be4a47121.dex.flock (deleted)
- /data/data/####/d2368666_fbe6_4a05_a6c1_2a3be4a47121.jar
- /data/data/####/dcebd9f4_a892_47dc_9e12_6f7d401de813.dex
- /data/data/####/dcebd9f4_a892_47dc_9e12_6f7d401de813.dex.flock (deleted)
- /data/data/####/dcebd9f4_a892_47dc_9e12_6f7d401de813.jar
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/fe033baa_fce2_4bb8_8a49_1c3ca084bce4.dex
- /data/data/####/fe033baa_fce2_4bb8_8a49_1c3ca084bce4.dex.flock (deleted)
- /data/data/####/fe033baa_fce2_4bb8_8a49_1c3ca084bce4.jar
- /data/data/####/gpay_res.apk
- /data/data/####/jeyef66f8cdd04a8144858094213072502e27.so
- /data/data/####/jeyef66f8cdd04a8144858094213072502e27.so (deleted)
- /data/data/####/jquery_1_7.applet
- /data/data/####/libjiagu.so
- /data/data/####/metrics_guid
- /data/data/####/pay_event_7_7.applet
- /data/data/####/pay_method_card_1_7.applet
- /data/data/####/pay_method_mobile_2_7.applet
- /data/data/####/pay_sms_6_7.applet
- /data/data/####/proc_auxv
- /data/data/####/qbw.so
- /data/data/####/qbw.so (deleted)
- /data/data/####/tkufte.dex
- /data/data/####/tkufte.dex (deleted)
- /data/data/####/tkufte.dex.flock (deleted)
- /data/data/####/tkufte.jar
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak
- /data/data/####/umeng_general_config.xml.bak (deleted)
- /data/data/####/umeng_it.cache
- /data/data/####/webyw
- /data/data/####/webyw.dex
- /data/data/####/webyw.dex.flock (deleted)
- /data/data/####/webyw.jar
- /data/media/####/.nomedia
- /data/media/####/4b3a0c739bdf7143d23e8d83735ce620.xml
- /data/media/####/4b3a0c739bdf7143d23e8d83735ce620.xml.bak (deleted)
- /data/media/####/_703sd_1489607125.png
- /data/media/####/_705sd_1499456832.jpeg
- /data/media/####/_717sd_1525454380.png
- /data/media/####/_718sd_1499456832.jpeg
- /data/media/####/_764sd_1488826356.png
- /data/media/####/gpay_jquery_1_7.ap
- /data/media/####/gpay_pay_event_7_7.ap
- /data/media/####/gpay_pay_method_card_1_7.ap
- /data/media/####/gpay_pay_method_mobile_2_7.ap
- /data/media/####/gpay_pay_sms_6_7.ap
- /data/media/####/gptrxsn
- /data/media/####/gptrxsn.bak
- /data/media/####/gptrxsn.lock
- /data/media/####/gptrxsn.rlck
- /data/media/####/gptrxsn.wlck
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- cat /proc/cpuinfo
- ps
Загружает динамические библиотеки:
- jeyef66f8cdd04a8144858094213072502e27
- libX86Bridge
- libjiagu
- libmain
- qbw
- webyw
Использует следующие алгоритмы для шифрования данных:
- AES
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-CFB-NoPadding
- AES-ECB-PKCS5Padding
- Des-ECB-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-CFB-NoPadding
- Des-ECB-NoPadding
- RSA-ECB-PKCS1Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
