Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Locker.1274.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) ser####.pic####.a####.com:80
- TCP(HTTP/1.1) zhu####.z.1####.cn:80
- TCP(HTTP/1.1) b####.pe####.com.cn:80
- TCP(HTTP/1.1) cdn.u1.hul####.####.com:80
- TCP(TLS/1.0) i0.h####.com:443
- TCP(TLS/1.0) rr13---####.g####.com:443
- TCP(TLS/1.0) l####.l####.com.####.com:443
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) s####.cn:443
- TCP(TLS/1.0) 64.2####.163.95:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) pla####.google####.com:443
- TCP(TLS/1.0) v####.weib####.com.####.net:443
- TCP(TLS/1.0) 1####.251.1.94:443
- TCP(TLS/1.2) 64.2####.163.95:443
- TCP(TLS/1.2) 1####.251.1.94:443
Запросы DNS:
- 1.h.1####.cn
- and####.a####.go####.com
- and####.google####.com
- b####.pe####.com.cn
- cdn.u1.hul####.com
- i0.h####.com
- l####.l####.com
- p####.google####.com
- pla####.google####.com
- rr13---####.g####.com
- s####.cn
- ser####.pic####.a####.com
- t####.sin####.cn
- zhu####.z.1####.cn
Запросы HTTP GET:
- b####.pe####.com.cn/img_new/Y0/91/BE/A4/25/1677482435621.jpeg
- cdn.u1.hul####.####.com/g4/M01/17/52/rBAAdmOwW-uAImuJAAi8_Io-oCE706.png
- cdn.u1.hul####.####.com/g4/M01/17/53/rBAAdmOwXWCActl3AAk4Uj2A97I856.png
- cdn.u1.hul####.####.com/g4/M01/F6/D5/rBAAdmODW3WAEXY-AALhinLYsps674.jpg
- cdn.u1.hul####.####.com/g4/M02/11/40/rBAAdmOoLGqAGtTRABhHu2Ey6zQ305.png
- cdn.u1.hul####.####.com/g4/M02/17/2B/rBAAdmOwOOqAO8peAA3o3gTZeTE219.png
- cdn.u1.hul####.####.com/g4/M02/17/52/rBAAdmOwXEyAKeOzAA0GcHXsMBk459.png
- cdn.u1.hul####.####.com/g4/M02/17/53/rBAAdmOwXJSAcsy6AAbu21P4HSk907.png
- cdn.u1.hul####.####.com/g4/M02/19/28/rBAAdmOywaqASYQuAAEC7sK5R_Y743.jpg
- cdn.u1.hul####.####.com/g4/M02/FE/4A/rBAAdmONWTuALWTlAAFNL2SBDFc326.jpg
- cdn.u1.hul####.####.com/g4/M03/17/26/rBAAdmOwNRyAd2O3AA2lZLinFfw689.png
- cdn.u1.hul####.####.com/g4/M03/17/27/rBAAdmOwNmGAQkSEABe9vUO_9pY259.png
- cdn.u1.hul####.####.com/g4/M03/17/35/rBAAdmOwQbeAbR3KABPGI2Gmo1M463.png
- cdn.u1.hul####.####.com/g4/M03/17/37/rBAAdmOwQ7CAPhR6AAzX7exvwXA567.png
- cdn.u1.hul####.####.com/g4/M03/17/3B/rBAAdmOwSFeAJ-C4AAe7vp-_mFM980.png
- cdn.u1.hul####.####.com/g4/M03/1E/0A/rBAAdmO3go-ARmCZAALM15ySzbE246.jpg
- cdn.u1.hul####.####.com/g4/M03/56/5B/rBAAdmP8WSKAF-j5AAn7kAmgteg888.png
- cdn.u1.hul####.####.com/g4/M03/F8/C7/rBAAdmOFmeiAVhqDAAAxS09u8Y4667.jpg
- i0.h####.com:443/bfs/album/1cbb80d6fd7de51265992b9f8b48d2623006e236.png
- i0.h####.com:443/bfs/album/3e6b82c19415478d697943980d0fe87986d4c2b8.png
- i0.h####.com:443/bfs/album/5ec1a9e3129b1340ddc79550bc78f73877110688.png
- i0.h####.com:443/bfs/album/62a0b250656c0564897f1400258b7ce0ae578813.png
- i0.h####.com:443/bfs/album/8288fe5f6a4563300cd7ba2f3d313e36f0f22ab2.png
- i0.h####.com:443/bfs/album/b998ec55266b05a96aff2bc0fc1c4e66b4ae69e3.png
- i0.h####.com:443/bfs/album/da301bf9d1a84af0e40f6b3acecc6878637369ae.png
- i0.h####.com:443/bfs/album/fb07350663eb5d30d638a14b3bc56265ed3f8c17.png
- l####.l####.com.####.com:443/bbs/topic/attachment/2023-6/da41cc8b-2ef3-4...
- s####.cn:443/AhSr2R
- s####.cn:443/fgZyES
- ser####.pic####.a####.com/v1/lightwp/category
- v####.weib####.com.####.net:443/large/e6c9d24ely1h0v8dni3hzj205c05c3yb.jpg
- v####.weib####.com.####.net:443/large/e6c9d24ely1h0xz0u9tl9j205c05cwea.jpg
- v####.weib####.com.####.net:443/large/e6c9d24ely1h2gelpv1hwj205c05c0sl.jpg
- v####.weib####.com.####.net:443/large/e6c9d24ely1h4iz5su822j20dw0dwjrt.jpg
- zhu####.z.1####.cn/bzztk.txt
- zhu####.z.1####.cn/glztk.txt
- zhu####.z.1####.cn/pzapp.php
- zhu####.z.1####.cn/ycztk.txt
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/32652821450bb119_0
- /data/data/####/5c6f516ea125d8b5_0
- /data/data/####/Cookies-journal
- /data/data/####/WebPictureload
- /data/data/####/WebPictureload.dex
- /data/data/####/WebPictureload.dex.flock (deleted)
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.oat
- /data/data/####/imgload.dex
- /data/data/####/imgload.dex.flock (deleted)
- /data/data/####/index
- /data/data/####/libjiagu.so
- /data/data/####/metrics_guid
- /data/data/####/proc_auxv
- /data/data/####/temp-index
- /data/data/####/the-real-index
- /data/data/####/ztku.cc_preferences.xml
- /data/misc/####/primary.prof
Другие:
Загружает динамические библиотеки:
- libjiagu
- libluajava
- libygsiyu
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Отрисовывает собственные окна поверх других приложений.
