Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Packed.54935
- Android.SpyMax.276
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) connect####.gst####.com:80
- TCP(TLS/1.0) im####.d####.com:443
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.0) connect####.gst####.com:443
- TCP(TLS/1.0) rr2---s####.g####.com:443
- TCP(TLS/1.0) rr18---####.g####.com:443
- TCP(TLS/1.0) 74.1####.131.138:443
- TCP(TLS/1.0) theeked####.com:443
- TCP(TLS/1.0) cdn.jsde####.net:443
- TCP(TLS/1.0) gmscomp####.google####.com:443
- TCP(TLS/1.0) st####.apk####.me:443
- TCP(TLS/1.0) 74.1####.131.119:443
- TCP(TLS/1.0) a####.cloudf####.com:443
- TCP(TLS/1.2) 64.2####.164.105:443
- TCP(TLS/1.2) gmscomp####.google####.com:443
- UDP gmscomp####.google####.com:443
Запросы DNS:
- a####.cloudf####.com
- and####.a####.go####.com
- and####.google####.com
- apk####.com
- cance####.at.ply.gg
- cdn.jsde####.net
- connect####.gst####.com
- gmscomp####.google####.com
- im####.d####.com
- m####.go####.com
- p####.google####.com
- rr18---####.g####.com
- rr2---s####.g####.com
- st####.apk####.me
- theeked####.com
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/02320eb3a4a7321b_0
- /data/data/####/023fc169a43c99d7_0
- /data/data/####/056d25c1171df123_0
- /data/data/####/0579d58736f28375_0
- /data/data/####/0WEkH1mciWtFlKEadQOWRaQnUFbzJHUa.dex
- /data/data/####/0WEkH1mciWtFlKEadQOWRaQnUFbzJHUa.dex.flock (deleted)
- /data/data/####/0a1acdd86654e223_0
- /data/data/####/0a456a0d274ed906_0
- /data/data/####/0ed75d7cd6258edf_0
- /data/data/####/1120b51dae30d9cb_0
- /data/data/####/1MMDGmpBvFG1UXmuGA8TDKPyuOljUSQC.dex
- /data/data/####/1MMDGmpBvFG1UXmuGA8TDKPyuOljUSQC.dex.flock (deleted)
- /data/data/####/1bcc7374d85eeb6d_0
- /data/data/####/1e2d21d0ee81e382_0
- /data/data/####/1e3ce292c7e0a259_0
- /data/data/####/1e407743c6193b14_0
- /data/data/####/2216bcea9246bc23_0
- /data/data/####/222ca97484d29169_0
- /data/data/####/26f2353e0919ea5a_0
- /data/data/####/26fec3f0881175d4_0
- /data/data/####/275dcda10b4b7ac8_0
- /data/data/####/32099f7cd243e199_0
- /data/data/####/32786e255a101d60_0
- /data/data/####/32786e255a101d60_1
- /data/data/####/3e4cb226df7ff900_0
- /data/data/####/4205fee408147cf1_0
- /data/data/####/45e1de0615b7960d_0
- /data/data/####/473e0acce4df0433_0
- /data/data/####/48b081eb6b4a2e5f_0
- /data/data/####/4bd6b7e389cd8023_0
- /data/data/####/51aa323a1610399d_0
- /data/data/####/52c6b859e4f314e6_0
- /data/data/####/551e3986c7d140ae_0
- /data/data/####/5527d3d1975991ec_0
- /data/data/####/572ee5df25b25864_0
- /data/data/####/5765a96ed9627991_0
- /data/data/####/585a9c45981a6b76_0
- /data/data/####/595315ea35ceb54d_0
- /data/data/####/5ZEoVt9iwOO5IguSxaEGokPD4dIpmVA7.dex
- /data/data/####/5ZEoVt9iwOO5IguSxaEGokPD4dIpmVA7.dex.flock (deleted)
- /data/data/####/5b58458363596f93_0
- /data/data/####/5d131f2801944d7d_0
- /data/data/####/5d58e2bcaf54c098_0
- /data/data/####/5daee12ca91aaa88_0
- /data/data/####/5daee12ca91aaa88_1
- /data/data/####/60f356f15319cf0e_0
- /data/data/####/60fae59e53577832_0
- /data/data/####/6904f6515e85da68_0
- /data/data/####/6a5ad968345336de_0
- /data/data/####/6ae8bae4b96dfbae_0
- /data/data/####/6c5a7359e9dbcf49_0
- /data/data/####/7173a2361bce535f_0
- /data/data/####/71a8ee5925a25f24_0
- /data/data/####/7268737e575b742a_0
- /data/data/####/7a194fd4488afba2_0
- /data/data/####/7b64493602523dd7_0
- /data/data/####/8148cbe7b45bd74a_0
- /data/data/####/8148cbe7b45bd74a_1
- /data/data/####/817b28a40aeffc23_0
- /data/data/####/8227ef89fa5794a1_0
- /data/data/####/84949bbc9f688810_0
- /data/data/####/883c442c7a679336_0
- /data/data/####/8bcb7cdcfcb7e12a_0
- /data/data/####/8d50ff33870bd897_0
- /data/data/####/962d51e5d2a45cb5_0
- /data/data/####/963c2fbe4f88bc00_0
- /data/data/####/9645ae10763b65ac_0
- /data/data/####/99d1afd7c84ada29_0
- /data/data/####/9abc38e64689df85_0
- /data/data/####/CE1sKKwgkIoMNPg8dPNnFHLSGvG7OAgr.dex
- /data/data/####/CE1sKKwgkIoMNPg8dPNnFHLSGvG7OAgr.dex.flock (deleted)
- /data/data/####/Cookies-journal
- /data/data/####/ECD0IuIOTBLBsBiIz0NldNKwaCJNoQvm.dex
- /data/data/####/G6OKSpqyVIbs4Ai6ZCQYCHDuzmMvRRVT.dex
- /data/data/####/G6OKSpqyVIbs4Ai6ZCQYCHDuzmMvRRVT.dex.flock (deleted)
- /data/data/####/G9BXimOsjY0UwEPx9HxeHlSB9XhGRtR9.dex
- /data/data/####/G9BXimOsjY0UwEPx9HxeHlSB9XhGRtR9.dex.flock (deleted)
- /data/data/####/M0xVp2I5UuBFBt2zXkMXrKxG3hiaz2G8.dex
- /data/data/####/M0xVp2I5UuBFBt2zXkMXrKxG3hiaz2G8.dex.flock (deleted)
- /data/data/####/TcU4aMz4C8PWKxdbIgV3OmP3MoAyVBDp.dex
- /data/data/####/Ts890tgchCRPKbuqdNHg5kq2LfrVRZhg.dex
- /data/data/####/Ts890tgchCRPKbuqdNHg5kq2LfrVRZhg.dex.flock (deleted)
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/a131620ba9e5884b_0
- /data/data/####/aa0e044250482716_0
- /data/data/####/b090a3bd217cf632_0
- /data/data/####/b19e40b676e412de_0
- /data/data/####/b20da32edff13578_0
- /data/data/####/b4f96a5f5c094df9_0
- /data/data/####/bd3914a37b6a9ac8_0
- /data/data/####/bd4f198f39f4c766_0
- /data/data/####/bdc2ad2d3c64ceb5_0
- /data/data/####/c40596c162fdba65_0
- /data/data/####/c41417631bb605bd_0
- /data/data/####/c4b4ab3b3daf1f05_0
- /data/data/####/cc4a05d918969485_0
- /data/data/####/ce9dee7d247e2009_0
- /data/data/####/cec07bca347e318e_0
- /data/data/####/d06c272c98928b14_0
- /data/data/####/d84bd398c2cffb9d_0
- /data/data/####/e5068930ff2de8bf_0
- /data/data/####/e519147a01615fef_0
- /data/data/####/e559ae0b52305158_0
- /data/data/####/e8280dd105d7b1db_0
- /data/data/####/eae15d99c1a27d01_0
- /data/data/####/eaff9acb6acfc809_0
- /data/data/####/edfd620d119949e1_0
- /data/data/####/ef2103559b203e81_0
- /data/data/####/f5e50312805bb36f_0
- /data/data/####/f5f0dbe54e281ea6_0
- /data/data/####/f966f0aed7e47e53_0
- /data/data/####/fa59b8aa79a080d5_0
- /data/data/####/index
- /data/data/####/lTlIfWKbsBE7K1lml7OvCCQAr0XxoyRl.dex
- /data/data/####/lTlIfWKbsBE7K1lml7OvCCQAr0XxoyRl.dex.flock (deleted)
- /data/data/####/metrics_guid
- /data/data/####/n6R8833x1fNNu2s3P2yxfjj1aEQqlAoJ.dex
- /data/data/####/n6R8833x1fNNu2s3P2yxfjj1aEQqlAoJ.dex.flock (deleted)
- /data/data/####/r3p3FfXHVii1zXPeKHUBa7ftkKCFPJXZ.dex
- /data/data/####/r3p3FfXHVii1zXPeKHUBa7ftkKCFPJXZ.dex.flock (deleted)
- /data/data/####/the-real-index
- /data/data/####/uf9BJrk4oumP3LqYqZUX4bgcXjRIcyql.dex
- /data/data/####/uf9BJrk4oumP3LqYqZUX4bgcXjRIcyql.dex.flock (deleted)
- /data/data/####/walls.entrepreneur.version.xml
- /data/data/####/walls.entrepreneur.version_preferences.xml
- /data/media/####/log-2023-10-15.txt
- /data/media/####/walls.entrepreneur.version-20231015093427133.log
- /data/media/####/walls.entrepreneur.version-20231015093435026.log
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- getprop ro.miui.ui.version.name
- rm -r/data/user/0/<Package>/app_ded/1MMDGmpBvFG1UXmuGA8TDKPyuOljUSQC.dex
- rm -r/data/user/0/<Package>/app_ded/5ZEoVt9iwOO5IguSxaEGokPD4dIpmVA7.dex
- rm -r/data/user/0/<Package>/app_ded/CE1sKKwgkIoMNPg8dPNnFHLSGvG7OAgr.dex
- rm -r/data/user/0/<Package>/app_ded/ECD0IuIOTBLBsBiIz0NldNKwaCJNoQvm.dex
- rm -r/data/user/0/<Package>/app_ded/G9BXimOsjY0UwEPx9HxeHlSB9XhGRtR9.dex
- rm -r/data/user/0/<Package>/app_ded/TcU4aMz4C8PWKxdbIgV3OmP3MoAyVBDp.dex
- rm -r/data/user/0/<Package>/app_ded/n6R8833x1fNNu2s3P2yxfjj1aEQqlAoJ.dex
- rm -r/data/user/0/<Package>/app_ded/r3p3FfXHVii1zXPeKHUBa7ftkKCFPJXZ.dex
- rm -r/data/user/0/<Package>/app_ded/uf9BJrk4oumP3LqYqZUX4bgcXjRIcyql.dex
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-ECB-PKCS5Padding
Получает информацию о сети.
Получает информацию об активных администраторах устройства.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
