Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.573.origin
- Android.Triada.584.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) avaz####.fusetra####.com:80
- TCP(HTTP/1.1) ads.turbo####.com:80
- TCP(HTTP/1.1) lo####.applove####.com:80
- TCP(HTTP/1.1) api.applove####.com:80
- UDP(NTP) 2.and####.p####.####.org:123
- TCP(TLS/1.0) lp.xl####.com:443
- TCP(TLS/1.0) pv.s####.com.####.com:443
- TCP(TLS/1.0) os####.9####.com:443
- TCP(TLS/1.0) gmscomp####.google####.com:443
- TCP(TLS/1.0) nativem####.o18.click:443
- TCP(TLS/1.0) fo####.site:443
- TCP(TLS/1.0) 2021s####.com:443
- TCP(TLS/1.0) c####.gowa####.com:443
- TCP(TLS/1.0) a####.trck####.com:443
- TCP(TLS/1.0) trac####.le####.com:443
- TCP(TLS/1.0) app.ad####.com:443
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.2) 1####.250.27.94:443
- UDP gmscomp####.google####.com:443
Запросы DNS:
- 2.and####.p####.####.org
- 2021s####.com
- a####.trck####.com
- ads.turbo####.com
- air####.com
- air####.com
- airamw####.com
- and####.a####.go####.com
- api.applove####.com
- app.ad####.com
- avaz####.fusetra####.com
- c####.gowa####.com
- fo####.site
- gmscomp####.google####.com
- lo####.applove####.com
- lp.xl####.com
- nativem####.o18.click
- os####.9####.com
- pv.s####.com
- seven####.com
- trac####.le####.com
Запросы HTTP GET:
- a####.trck####.com:443/click?offer_id=####&pub_id=####&pub_click_id=####...
- ads.turbo####.com/tracking?m=####&a=####&p=####&c=####&ptid=ne####&gaid=...
- api.applove####.com/api/v3/cache/get?osv=####&srnc=####&token=####&ds=##...
- api.applove####.com/api/v3/template/get?slot_id=####&update_time=####&us...
- app.ad####.com:443/vxkdgd2?campaign=rhubwel30_16698048448944211&adgroup=...
- avaz####.fusetra####.com/tl?id=####&trafficsourceid=####&dv1=v_7####&nw_...
- c####.gowa####.com:443/click?offer_id=####&aff_id=####&aff_sub3=####&aff...
- fo####.site:443/78786454/s20221126131332.1
- nativem####.o18.click:443/c?o=####&m=####&a=####&aff_sub1=####&aff_sub2=...
- pv.s####.com.####.com:443/cityjson
- trac####.le####.com:443/click?mb_pl=####&mb_nt=####&mb_campid=####&mb_ga...
Запросы HTTP POST:
- 2021s####.com:443/BBService.svc/wwwwsaxsax
- 2021s####.com:443/OOService.svc/adwsdw2wew
- lo####.applove####.com/android/v2/click_redirect
- lp.xl####.com:443/v1/ls/get
- os####.9####.com:443/typefish/en/cp/a
- os####.9####.com:443/typefish/en/customer/reg
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/26da60c971dea9a6fe5587f78edd2e4c.d
- /data/data/####/7a43f8a99fd82fd605645df72389132c.d
- /data/data/####/Cookies-journal
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/androidxcorealc0z.
- /data/data/####/androidxcorealc0z.dex
- /data/data/####/androidxcorealc0z.dex.flock (deleted)
- /data/data/####/androidxk1z2.
- /data/data/####/androidxk1z2.dex (deleted)
- /data/data/####/androidxk1z2.dex.flock (deleted)
- /data/data/####/cd_werozod
- /data/data/####/cd_yurirty
- /data/data/####/com.sdfwe.werw.case.の.bat_tryrty
- /data/data/####/com.yuahfazcv.faieuahcz_ct_default.xml
- /data/data/####/com.yuahfazcv.faieuahcz_preferences.xml
- /data/data/####/index
- /data/data/####/metrics_guid
- /data/data/####/s1s1k1_c2o3n23f2i3g2.xml
- /data/data/####/s20221126131332.1
- /data/data/####/s20221126131332.dex
- /data/data/####/s20221126131332.dex.flock (deleted)
- /data/data/####/sp_dsoio.xml
- /data/data/####/sp_dsoio.xml.bak
- /data/data/####/sp_ytuetryetr.xml
- /data/data/####/sp_ytuetryetr.xml.bak
- /data/data/####/the-real-index
- /data/data/####/times.xml
- /data/data/####/udu_id.xml
- /data/data/####/udu_r.xml
- /data/data/####/udu_r.xml.bak
- /data/data/####/udu_sid.xml
- /data/media/####/Log.txt
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- app_process /system/bin com.android.commands.pm.Pm list package -3
- cat /proc/self/cgroup
- cat /proc/version
- pm list package -3
- sh
Использует следующие алгоритмы для шифрования данных:
- AES
- DES
Использует следующие алгоритмы для расшифровки данных:
- AES
- DES
- desede-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
