Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.SpyMax.18.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) www.google-####.com:443
- TCP(TLS/1.0) connect####.gst####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) p####.go####.com:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) pla####.google####.com:443
- TCP(TLS/1.0) www.google####.com:443
- TCP(TLS/1.0) s####.g.doublec####.net:443
- TCP(TLS/1.0) pla####.googleu####.com:443
- TCP(TLS/1.0) rr12---####.g####.com:443
- TCP(TLS/1.0) www.go####.ru:443
- TCP(TLS/1.2) www.google####.com:443
Запросы DNS:
- and####.a####.go####.com
- and####.google####.com
- bb####.d####.net
- connect####.gst####.com
- f####.gst####.com
- gmscomp####.google####.com
- p####.go####.com
- p####.google####.com
- pla####.google####.com
- pla####.googleu####.com
- rr12---####.g####.com
- s####.g.doublec####.net
- www.go####.com
- www.go####.ru
- www.google####.com
- www.google-####.com
- www.gst####.com
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/01e8335c9a085118_0
- /data/data/####/05f47b7388982aad_0
- /data/data/####/0bb9b410cdac3ba8_0
- /data/data/####/0da256eef046864d_0 (deleted)
- /data/data/####/0edfa6bc7e1421ea_0
- /data/data/####/0edfa6bc7e1421ea_1
- /data/data/####/18ba46b9fd622b78_0
- /data/data/####/18ba46b9fd622b78_1
- /data/data/####/1998edd195f5a927_0
- /data/data/####/1f401df9567c8a81_0
- /data/data/####/1wu9Xc3I6pco07SQeFFVq3gNUND7HXs1.dex
- /data/data/####/1wu9Xc3I6pco07SQeFFVq3gNUND7HXs1.dex.flock (deleted)
- /data/data/####/200426fadb882251_0
- /data/data/####/20ff1a877f8a172e_0
- /data/data/####/23d609e52f5c005c_0
- /data/data/####/249517f2f7d373b4_0 (deleted)
- /data/data/####/28376783207cf013_0
- /data/data/####/287048927d9b73d7_0
- /data/data/####/2940195bd9870d6e_0
- /data/data/####/2940195bd9870d6e_1
- /data/data/####/2ed31b38994836d4_0
- /data/data/####/2efd36138ee395eb_0
- /data/data/####/35a3a5fa8d947a3b_0 (deleted)
- /data/data/####/36df1faa4df9f258_0
- /data/data/####/403d64e94e906782_0
- /data/data/####/42643b9ec1bbd47e_0
- /data/data/####/4496f7ae050dea2a_0
- /data/data/####/47c6808e89695ffc_0
- /data/data/####/48f7dec05d5ca67c_0
- /data/data/####/4f09b4bcadae2560_0
- /data/data/####/4f09b4bcadae2560_1
- /data/data/####/51a9b809ffc4429a_0 (deleted)
- /data/data/####/5761ff6da9bbea69_0
- /data/data/####/586d5780ec6e0f04_0
- /data/data/####/5afcf051a67a2a98_0
- /data/data/####/5afcf051a67a2a98_1
- /data/data/####/5dc084824869b723_0
- /data/data/####/6339c7c1b0ae52b9_0
- /data/data/####/6339c7c1b0ae52b9_1
- /data/data/####/66d6f86d67fce95e_0
- /data/data/####/66d6f86d67fce95e_1
- /data/data/####/68547e5bc56dc629_0
- /data/data/####/6854b4b39b6efc5d_0
- /data/data/####/6cd7f19f3fb5f274_0
- /data/data/####/7512f449bf563522_0
- /data/data/####/7a13690327eeedbc_0
- /data/data/####/802d9838eb0e9fdf_0
- /data/data/####/8074153bea6ff19c_0
- /data/data/####/8074153bea6ff19c_1
- /data/data/####/82dbf17a3213e28d_0
- /data/data/####/86e48753f22a1a44_0
- /data/data/####/889cfd1be4da390f_0
- /data/data/####/97661f2c12831b89_0
- /data/data/####/BZs89fTD8uL7cJTOMuGGH96CemZz8hxs.dex
- /data/data/####/BZs89fTD8uL7cJTOMuGGH96CemZz8hxs.dex.flock (deleted)
- /data/data/####/Cookies-journal
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/a3d5914eea694cfb_0
- /data/data/####/a6f296048db135c2_0
- /data/data/####/a7f0266f30e024b4_0
- /data/data/####/a93a6f51684a0cae_0
- /data/data/####/a93a6f51684a0cae_1
- /data/data/####/aKOAV9nZcOqp3NQMl69RIrKw9CzFANLd.dex
- /data/data/####/aKOAV9nZcOqp3NQMl69RIrKw9CzFANLd.dex.flock (deleted)
- /data/data/####/b2c5539c6f57f0ee_0
- /data/data/####/b2e46fee53996b0f_0
- /data/data/####/bf411bb15a7a987a_0
- /data/data/####/c0c78998e63ff091_0
- /data/data/####/c497aaee5d78b54b_0
- /data/data/####/cf87bb5c3989c1e9_0
- /data/data/####/cfdc4884d7e2b344_0
- /data/data/####/com.joins.guards.xml
- /data/data/####/com.joins.guards.xml.bak
- /data/data/####/com.joins.guards_preferences.xml
- /data/data/####/d020bcf9fbd69cc0_0
- /data/data/####/d197a3833a0a709a_0
- /data/data/####/d197a3833a0a709a_1
- /data/data/####/d1a9b2327f50009e_0
- /data/data/####/d48f39978181feb9_0
- /data/data/####/d790ce93b010b5a9_0
- /data/data/####/e2940b44c9e70bd8_0
- /data/data/####/e7d48babaf3f5800_0
- /data/data/####/e814e28ddf8765cb_0
- /data/data/####/ef9e7723a215badc_0
- /data/data/####/f3f853a2b4439b30_0
- /data/data/####/f3f8651022fcea8d_0
- /data/data/####/f537b6b8539caf56_0
- /data/data/####/f554859bc5ce3d24_0
- /data/data/####/f554859bc5ce3d24_1
- /data/data/####/f6049d35bbc282b2_0
- /data/data/####/f6319e094e424f55_0
- /data/data/####/f7e71450ebcc4b2b_0
- /data/data/####/fcaSkK9rqxcGWdWKfJxFLxMzMcWV2kan.dex
- /data/data/####/fcaSkK9rqxcGWdWKfJxFLxMzMcWV2kan.dex.flock (deleted)
- /data/data/####/ffad6a3055fd7802_0
- /data/data/####/index
- /data/data/####/metrics_guid
- /data/data/####/nB3RKl1Zh5R0xh46sQMcxrGK2rNcoLEU.dex
- /data/data/####/nB3RKl1Zh5R0xh46sQMcxrGK2rNcoLEU.dex.flock (deleted)
- /data/data/####/the-real-index
- /data/data/####/ykl4Rwl0uOuornRNHZoMkZacdwhyb01J.dex
- /data/data/####/ykl4Rwl0uOuornRNHZoMkZacdwhyb01J.dex.flock (deleted)
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- rm -r/data/user/0/<Package>/app_ded/1wu9Xc3I6pco07SQeFFVq3gNUND7HXs1.dex
- rm -r/data/user/0/<Package>/app_ded/BZs89fTD8uL7cJTOMuGGH96CemZz8hxs.dex
- rm -r/data/user/0/<Package>/app_ded/aKOAV9nZcOqp3NQMl69RIrKw9CzFANLd.dex
- rm -r/data/user/0/<Package>/app_ded/fcaSkK9rqxcGWdWKfJxFLxMzMcWV2kan.dex
- rm -r/data/user/0/<Package>/app_ded/nB3RKl1Zh5R0xh46sQMcxrGK2rNcoLEU.dex
- rm -r/data/user/0/<Package>/app_ded/ykl4Rwl0uOuornRNHZoMkZacdwhyb01J.dex
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию об активных администраторах устройства.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
