Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Locker.1274.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) g####.q####.cn:80
- TCP(HTTP/1.1) bjb.y####.top:80
- TCP(HTTP/1.1) wap.n.sh####.com:80
- TCP(HTTP/1.1) y####.com:80
- TCP(TLS/1.0) api.g####.cn:443
- TCP(TLS/1.0) sta####.woo####.com.####.com:443
- TCP(TLS/1.0) lan####.com.cdn.####.cn:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) i####.51.la:443
- TCP(TLS/1.0) 1####.177.14.94:443
- TCP(TLS/1.0) js.u####.51.la:443
- TCP(TLS/1.0) i####.woo####.com:443
- TCP(TLS/1.0) pla####.google####.com:443
- TCP(TLS/1.0) as####.woo####.com.####.com:443
- TCP(TLS/1.0) y####.com:443
- TCP(TLS/1.0) hm.b####.com:443
- TCP(TLS/1.0) m.ti####.com:443
- TCP(TLS/1.0) rr9---s####.g####.com:443
- TCP(TLS/1.2) p####.google####.com:443
- TCP(TLS/1.2) 1####.177.14.94:443
- TCP(TLS/1.2) 64.2####.165.113:443
Запросы DNS:
- and####.google####.com
- api.g####.cn
- as####.woo####.com
- bjb.y####.top
- g####.q####.cn
- hm.b####.com
- i####.51.la
- i####.woo####.com
- js.u####.51.la
- lan####.com
- m.ti####.com
- p####.google####.com
- pla####.google####.com
- rr9---s####.g####.com
- sta####.woo####.com
- tj.a####.com
- wap.b####.com
- y####.com
Запросы HTTP GET:
- api.g####.cn:443/v1/onesaid
- bjb.y####.top/php/tp/60.jpg
- g####.q####.cn/gchatpic_new/0/530077417-0-ABC7D4AF0A6A645BB80B0C376DFB4C...
- m.ti####.com:443/
- m.ti####.com:443/static/wap2018/ico1/b8.png
- wap.n.sh####.com/
- y####.com/
- y####.com:443/01/ahz.txt
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.dex2oatlock
- /data/data/####/.updateIV.dat
- /data/data/####/0000000lllll_0.dex
- /data/data/####/000O00ll111l_0.dex
- /data/data/####/00O000ll111l_0.dex
- /data/data/####/00O000ll111l_0.dex (deleted)
- /data/data/####/00O000ll111l_0.dex.flock
- /data/data/####/00O000ll111l_0.dex.flock (deleted)
- /data/data/####/0352bd8018fa367f_0
- /data/data/####/0477f8482c392dea_0
- /data/data/####/06394bae02157eb3_0
- /data/data/####/0OO00l111l1l
- /data/data/####/0OO00l111l1l.lock
- /data/data/####/0c4ee596a5396ac1_0
- /data/data/####/0cdf2d9e84cda1eb_0 (deleted)
- /data/data/####/111cf8ec11b038e3_0
- /data/data/####/12c39724ef66b66d_0
- /data/data/####/16451a427eac5e5f_0
- /data/data/####/173648f7cf9c8628_0
- /data/data/####/173648f7cf9c8628_1
- /data/data/####/18550a690303623d_0
- /data/data/####/269a97968a326406_0
- /data/data/####/291f6b1eea13ac02_0
- /data/data/####/2a0aeb596a9819f2_0
- /data/data/####/2bdf16cc389088bf_0
- /data/data/####/323f2fde21bc9722_0
- /data/data/####/3b45fb334f7a2ff1_0
- /data/data/####/41c043a440c682b2_0
- /data/data/####/4276259311c9b82f_0
- /data/data/####/4ac7a5af2e9eb07a_0
- /data/data/####/51c6841f1f072cc9_0
- /data/data/####/55e7213e948a760a_0
- /data/data/####/5620b654513bd08c_0
- /data/data/####/666d81811f07ff23_0
- /data/data/####/76383b562a7ce53d_0
- /data/data/####/8031c8b67d4307e4_0
- /data/data/####/82e8cd96d4878909_0
- /data/data/####/8351bb904282efc8_0
- /data/data/####/8c42c45143e973e4_0
- /data/data/####/8da8f6e49ca5b0b3_0
- /data/data/####/9356ce791635503b_0
- /data/data/####/Cookies-journal
- /data/data/####/Web Data
- /data/data/####/Web Data-journal
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/a2d6be034d7eadcd_0
- /data/data/####/a418b60e2f9d4d8e_0
- /data/data/####/a5de8549f1842fb3_0
- /data/data/####/ac3a330f90b859a0_0
- /data/data/####/ac648fd7c9a34f91_0
- /data/data/####/b0a00d9a24a620f4_0
- /data/data/####/b3ec57fd001e073e_0
- /data/data/####/b4d5de850776aed5_0
- /data/data/####/b5b9c6a0c90d2c93_0
- /data/data/####/b7a52ac13bf80c79_0
- /data/data/####/b95d729490b4155d_0
- /data/data/####/bc78456ee4f133ad_0
- /data/data/####/c19b2a996a84a0d5_0
- /data/data/####/c37aa5fa83e9bc5e_0
- /data/data/####/c5b6da3499ca4b23_0
- /data/data/####/c667d8a813db22e6_0
- /data/data/####/cb0bdd3c24b625fe_0
- /data/data/####/cbe76c2ca049bcd7_0
- /data/data/####/com.blackzstudio.hzrjk_preferences.xml
- /data/data/####/df131a291f408ef3_0
- /data/data/####/e4070625bcd30172_0
- /data/data/####/e544c76bfb22b850_0 (deleted)
- /data/data/####/e80cbea76bef14c8_0
- /data/data/####/e817ac9533c1cc51_0
- /data/data/####/e9768b40cde2e18a_0
- /data/data/####/ea2cd3297de04d51_0
- /data/data/####/ea9c5c73b1859482_0
- /data/data/####/f40eea7b4e21e2da_0
- /data/data/####/f4a40a8da407a78b_0
- /data/data/####/f9ef7ff95a26584d_0
- /data/data/####/faa906d003539d04_0
- /data/data/####/fd2f33f83453e817_0
- /data/data/####/fe85e486b7772330_0
- /data/data/####/index
- /data/data/####/libshellx-super.com.blackzstudio.hzrjk.so
- /data/data/####/metrics_guid
- /data/data/####/o0oooOO0ooOo.dat
- /data/data/####/proc_auxv
- /data/data/####/temp-index
- /data/data/####/the-real-index
- /data/data/####/tosversion
- /data/data/####/webview_data.lock
- /data/media/####/6238063793773312442.xzz
- /data/misc/####/primary.prof
Другие:
Загружает динамические библиотеки:
- libluajava
- libpl_droidsonroids_gif
- libshellx-super.com.blackzstudio.hzrjk
- libygsiyu
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
