Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Locker.1274.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) b####.g####.cn:80
- TCP(HTTP/1.1) bqm.1####.cn:80
- TCP(HTTP/1.1) q2.q####.cn:80
- TCP(TLS/1.0) api-ac####.pangoli####.com.####.com:443
- TCP(TLS/1.0) 9b8f####.lan####.com.####.cn:443
- TCP(TLS/1.0) hm.b####.com:443
- TCP(TLS/1.0) api.bam####.com:443
- TCP(TLS/1.0) 1####.177.14.94:443
- TCP(TLS/1.0) sta####.woo####.com.####.com:443
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) as####.woo####.com.####.com:443
- TCP(TLS/1.0) pla####.google####.com:443
- TCP(TLS/1.0) i####.woo####.com:443
- TCP(TLS/1.2) and####.google####.com:443
- TCP(TLS/1.2) 1####.177.14.94:443
Запросы DNS:
- and####.a####.go####.com
- and####.google####.com
- api-ac####.pangoli####.com
- api.bam####.com
- as####.woo####.com
- b####.g####.cn
- bqm.1####.cn
- gmscomp####.google####.com
- hm.b####.com
- i####.woo####.com
- p####.google####.com
- pla####.google####.com
- q2.q####.cn
- rr9---s####.g####.com
- sta####.woo####.com
- wwd.lan####.com
Запросы HTTP GET:
- api.bam####.com:443/api/platform/v1/cloud-injection/info?versionName=###...
- b####.g####.cn/tool/toux/api.php?qq=####
- q2.q####.cn/headimg_dl?bs=####&dst_uin=####&dst_uin=####&;dst_uin=####&s...
Запросы HTTP POST:
- api-ac####.pangoli####.com.####.com:443/api/ad/union/sdk/stats/batch/
- api.bam####.com:443/api/platform/v1/cloud-injection/report
- bqm.1####.cn/jc/app.php
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.fsgkea
- /data/data/####/.jg.ac
- /data/data/####/.jg.ri
- /data/data/####/.jg.store.report_cf
- /data/data/####/.jg.store.report_pid
- /data/data/####/01e0da3eb7f24c81_0
- /data/data/####/0558ece1859014a4_0
- /data/data/####/09fd3e7a58a71d9b_0
- /data/data/####/0c9c807354486c1f_0
- /data/data/####/1.jpg
- /data/data/####/173648f7cf9c8628_0
- /data/data/####/173648f7cf9c8628_1
- /data/data/####/28c97774dc35a556_0
- /data/data/####/2e6bec2270e74b1d_0
- /data/data/####/34fa0aefa9801230_0
- /data/data/####/34fa0aefa9801230_1
- /data/data/####/3611d15773deda32_0
- /data/data/####/3901469313690359994.xzz
- /data/data/####/3907a7f43a5cb2d1_0
- /data/data/####/3a2c158944a4b5a2_0
- /data/data/####/4276259311c9b82f_0
- /data/data/####/47b7f4648f56b60d_0
- /data/data/####/4d0d3ad9eeb25c37_0
- /data/data/####/4e304b832c62a905_0
- /data/data/####/508b4768ed50cd9b_0
- /data/data/####/5750d072fc936e4c_0
- /data/data/####/5b811107cd7c81ac_0
- /data/data/####/5ca1b85610636732_0
- /data/data/####/5f306b23cdd967da_0
- /data/data/####/61b8d2795403fec8_0
- /data/data/####/6e04169f65a65356_0
- /data/data/####/704c0a76a1e89da4_0
- /data/data/####/716c7ee7511fc987_0
- /data/data/####/7232d90e04217d01_0
- /data/data/####/7eb8d5a095b37656_0
- /data/data/####/8171506423ea6a1f_0
- /data/data/####/825d30788d0d1389_0
- /data/data/####/8857a4f5219b5624_0
- /data/data/####/892f0673e50c7a51_0
- /data/data/####/9a8e60472df4f3b8_0
- /data/data/####/9abe2da26d67d6f7_0
- /data/data/####/CloudPlugin.apk
- /data/data/####/CloudPlugin.dex
- /data/data/####/CloudPlugin.dex.flock (deleted)
- /data/data/####/Cookies-journal
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/ac0efdce278166a8_0
- /data/data/####/ads.html
- /data/data/####/b4f6688394cf6c42_0
- /data/data/####/base-1.apk
- /data/data/####/base.css
- /data/data/####/base.js
- /data/data/####/bm_sp_file.xml
- /data/data/####/c19b2a996a84a0d5_0
- /data/data/####/c25249a0549b53de_0
- /data/data/####/c4e267145689c5ba_0
- /data/data/####/c4efd0e65af4bc41_0
- /data/data/####/c8bbe065fc22b58a_0
- /data/data/####/cffc87e0812c78c1_0
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.oat
- /data/data/####/com.byted.pangle.apk
- /data/data/####/com.joke.heitie.wzyyh_preferences.xml
- /data/data/####/e380a07116955403_0
- /data/data/####/e7d8777d21de443d_0
- /data/data/####/ec7c94e279b26d61_0
- /data/data/####/f37bbed497085321_0
- /data/data/####/f3c880c15c544320_0
- /data/data/####/fa4578b83ddaf666_0
- /data/data/####/fd69bbf08e067e29_0
- /data/data/####/https_wwd.lanzouq.com_0.localstorage-journal
- /data/data/####/iapp.js
- /data/data/####/index
- /data/data/####/jokeFile.xml
- /data/data/####/jq1.9.js
- /data/data/####/libPglmetasec_ml.so
- /data/data/####/libavmdl_lite.so
- /data/data/####/libjiagu.so
- /data/data/####/libkeva.so
- /data/data/####/libmaparmor.so
- /data/data/####/libpanglarmor.so
- /data/data/####/libtobEmbedEncrypt.so
- /data/data/####/libttmplayer_lite.so
- /data/data/####/logo.png
- /data/data/####/metrics_guid
- /data/data/####/pangle_meta_data_sp.xml
- /data/data/####/pangle_meta_data_sp.xml.bak
- /data/data/####/proc_auxv
- /data/data/####/resMappingBak
- /data/data/####/swiper.css
- /data/data/####/swiper.js
- /data/data/####/the-real-index
- /data/media/####/.jokeID
- /data/misc/####/primary.prof
Другие:
Загружает динамические библиотеки:
- libjiagu
- libluajava
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
