Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.337.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 64.2####.161.94:80
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) rr2---s####.g####.com:443
- TCP(TLS/1.0) 64.2####.161.94:443
- TCP(TLS/1.0) durlraz####.asia-so####.firebas####.app:443
- TCP(TLS/1.0) firebas####.google####.com:443
- TCP(TLS/1.0) rr18---####.g####.com:443
- TCP(TLS/1.0) t300-t2####.c####.glo.####.com:443
- TCP(TLS/1.0) rr9---s####.g####.com:443
- TCP(TLS/1.0) arcus-u####.am####.com:443
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.0) det-ta####.am####.com:443
- TCP(TLS/1.0) t300-t2####.c####.c####.####.com:443
- TCP(TLS/1.2) 74.1####.205.138:443
- TCP(TLS/1.2) p####.google####.com:443
- TCP(TLS/1.2) 64.2####.161.94:443
- TCP(TLS/1.2) firebas####.google####.com:443
- TCP(TLS/1.2) www.go####.com:443
- TCP e####.ar####.com:10015
- TCP e####.ar####.com:10011
- UDP firebas####.google####.com:443
- TCP e####.ar####.com:10002
- TCP p####.us-ea####.s####.####.dev:443
- TCP e####.ar####.com:10013
- TCP e####.ar####.com:10008
- TCP e####.ar####.com:10016
- TCP e####.ar####.com:10006
- TCP w####.glob####.telem####.####.com:443
- TCP e####.ar####.com:10001
- TCP e####.ar####.com:10018
- TCP e####.ar####.com:10000
Запросы DNS:
- ab49qxk####.api.amazonv####.com
- ab49qxk####.eu.api.####.com
- and####.a####.go####.com
- and####.google####.com
- api.eu-we####.aiv-del####.net
- arcus-u####.am####.com
- det-ta####.am####.com
- durlraz####.asia-so####.firebas####.app
- e####.ar####.com
- firebas####.google####.com
- m####.go####.com
- p####.google####.com
- p####.us-ea####.s####.####.dev
- rr18---####.g####.com
- rr2---s####.g####.com
- rr9---s####.g####.com
- www.go####.com
Запросы HTTP GET:
- durlraz####.asia-so####.firebas####.app:443/Techie/.json
- t300-t2####.c####.c####.####.com:443/acm/GetConfiguration/ResiliencyV1?d...
- t300-t2####.c####.glo.####.com:443/cdp/mobile/getDataByTransform/v1/dv-a...
- t300-t2####.c####.glo.####.com:443/cdp/usage/v3/GetAppStartupConfig?devi...
Запросы HTTP POST:
- arcus-u####.am####.com:443/
- det-ta####.am####.com:443/DeviceEventProxy/DETLogServlet?key=####
- firebas####.google####.com:443/v1/projects/amazon-video/installations
- t300-t2####.c####.c####.####.com:443/lps/setDevicePreferredLanguage/v1?d...
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.fsgkea
- /data/data/####/.jg.ac
- /data/data/####/.jg.ri
- /data/data/####/.jg.store.report_cf
- /data/data/####/.jg.store.report_pid
- /data/data/####/.nomedia
- /data/data/####/1.zip
- /data/data/####/5e70dbc8ddde4da5b560385cf22ce8abe224587ea7812e5...04.tmp
- /data/data/####/5e70dbc8ddde4da5b560385cf22ce8abe224587ea7812e5...85.tmp
- /data/data/####/5e70dbc8ddde4da5b560385cf22ce8abe224587ea7812e5...c9.ser
- /data/data/####/CachePersistence.xml
- /data/data/####/CrashDetectionHelper.crashManager3rdParty.xml
- /data/data/####/EncryptionStatusNamespace.xml
- /data/data/####/FirebaseAppHeartBeat.xml
- /data/data/####/FirebaseAppHeartBeat.xml.bak
- /data/data/####/IdentityPreferences.xml
- /data/data/####/InternalPreferences.xml
- /data/data/####/InternalPreferences.xml.bak
- /data/data/####/Lambortish_Clock_Store.xml
- /data/data/####/Lambortish_Clock_Store.xml.bak
- /data/data/####/LocalizationPreferences.xml
- /data/data/####/LocalizationPreferences.xml.bak
- /data/data/####/PersistedInstallation.W0RFRkFVTFRd+MTozNTQ4MDA2...i.json
- /data/data/####/PersistedInstallation1148247679tmp
- /data/data/####/PersistedInstallation1946965602tmp
- /data/data/####/PersistentPreferences.xml
- /data/data/####/PersistentPreferences.xml.bak
- /data/data/####/SSOInfo.config.xml
- /data/data/####/ServerPreferences.xml
- /data/data/####/account_change_observer.xml
- /data/data/####/account_change_observer.xml.bak
- /data/data/####/arn;aws;remote-config;us-west-2;455205533140;ap...che.db
- /data/data/####/arn;aws;remote-config;us-west-2;455205533140;ap...fs.xml
- /data/data/####/arn;aws;remote-config;us-west-2;455205533140;ap...ournal
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.dex;classes4.dex
- /data/data/####/classes.dex;classes5.dex
- /data/data/####/classes.dex;classes6.dex
- /data/data/####/classes.dex;classes7.dex
- /data/data/####/classes.dex;classes8.dex
- /data/data/####/classes.dex;classes9.dex
- /data/data/####/clearDataSentinel
- /data/data/####/com.amazon.client.metrics.xml
- /data/data/####/com.amazon.client.metrics.xml.bak
- /data/data/####/com.google.android.datatransport.events-journal
- /data/data/####/com.google.android.gms.appid-no-backup
- /data/data/####/com.google.android.gms.appid.xml
- /data/data/####/crashlog.v2.amzcl#data_app_crash#126dd65ca812b3...586663
- /data/data/####/crashlog.v2.amzcl#data_app_crash#4e324362d349fe...d6164c
- /data/data/####/crashlog.v2.amzcl#data_app_crash#7c1bec067a2a46...cc59e2
- /data/data/####/d48a5b3393e2a51335c215c52ae4dd89a2f98417258c604...18.tmp
- /data/data/####/d48a5b3393e2a51335c215c52ae4dd89a2f98417258c604...47.ser
- /data/data/####/d48a5b3393e2a51335c215c52ae4dd89a2f98417258c604...53.tmp
- /data/data/####/dbcachedcontent-journal (deleted)
- /data/data/####/distributed.datastore.info.store.xml
- /data/data/####/eb5c43a2450dcc2b9a2285f0b6ca428b3087d5bd68b1bbb...43.tmp
- /data/data/####/eb5c43a2450dcc2b9a2285f0b6ca428b3087d5bd68b1bbb...65.tmp
- /data/data/####/eb5c43a2450dcc2b9a2285f0b6ca428b3087d5bd68b1bbb...d0.ser
- /data/data/####/generatefid.lock
- /data/data/####/google_certificate.dat (deleted)
- /data/data/####/jgobfppppp (deleted)
- /data/data/####/journal
- /data/data/####/kinesis_firehose_records
- /data/data/####/libjiagu.so
- /data/data/####/maps_datas_storage.db
- /data/data/####/maps_datas_storage.db (deleted)
- /data/data/####/maps_datas_storage.db-journal
- /data/data/####/mediaEvents (deleted)
- /data/data/####/mediaEvents-journal (deleted)
- /data/data/####/mediaEvents-shm (deleted)
- /data/data/####/mediaEvents-wal
- /data/data/####/mediaEvents-wal (deleted)
- /data/data/####/playback_downloads-journal (deleted)
- /data/data/####/proc_auxv
- /data/data/####/response_cache.db-journal
- /data/data/####/response_cache.db-journal (deleted)
- /data/data/####/sonar_local_database-journal
- /data/data/####/sync_dirty_data_store.xml
- /data/data/####/sync_dirty_data_store.xml.bak
- /data/media/####/.nomedia
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/xbin/which su
- logcat -d -v threadtime
- logcat -d -v threadtime -b events
Загружает динамические библиотеки:
- libAIVDash
- libAIVHeuristics
- libAIVMemoryAllocator
- libAIVPlayReadyLicensing
- libAIVVisualOnRenderer
- libATVPlaybackSmoothStream
- libAutobahnTraceroute
- libcrashmanager-ndk
- libjiagu
- libvoOSCEngine
Использует следующие алгоритмы для шифрования данных:
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует повышенные привилегии.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
