Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.SpyMax.42.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(TLS/1.0) rr2---s####.g####.com:443
- TCP(TLS/1.0) 1####.194.73.94:443
- TCP(TLS/1.0) rr9---s####.g####.com:443
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.2) and####.google####.com:443
- TCP(TLS/1.2) 74.1####.131.94:443
- TCP(TLS/1.2) 1####.194.73.94:443
- TCP(TLS/1.2) 74.1####.131.139:443
- UDP and####.google####.com:443
Запросы DNS:
- and####.a####.go####.com
- and####.google####.com
- digital####.google####.com
- manga####.top
- rr2---s####.g####.com
- rr9---s####.g####.com
- www.geoi####.com
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/1LCW7ThGYjvMX7Gih1cMaVe9tSo2UmKD.dex
- /data/data/####/1LCW7ThGYjvMX7Gih1cMaVe9tSo2UmKD.dex.flock (deleted)
- /data/data/####/CallLogs.txt
- /data/data/####/Dname-journal
- /data/data/####/RcYUX0nyrxJBtDzS3SM4F2pMV02ggF55.dex
- /data/data/####/RcYUX0nyrxJBtDzS3SM4F2pMV02ggF55.dex.flock (deleted)
- /data/data/####/RvquuumlsMorossqT4ZIT5l3noUCvFYW.dex
- /data/data/####/RvquuumlsMorossqT4ZIT5l3noUCvFYW.dex.flock (deleted)
- /data/data/####/Tree.txt
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/accounts.txt
- /data/data/####/c1TN1qsEBGsQl8Db7vqffbSeRzy22oUP.dex
- /data/data/####/c1TN1qsEBGsQl8Db7vqffbSeRzy22oUP.dex.flock (deleted)
- /data/data/####/com.tencent.mm.xml
- /data/data/####/com.tencent.mm.xml.bak (deleted)
- /data/data/####/com.tencent.mm_preferences.xml
- /data/data/####/contacts.txt
- /data/data/####/evernote_jobs.db-journal
- /data/data/####/evernote_jobs.xml
- /data/data/####/index
- /data/data/####/mAg03eRUIilWov2IOkpD1jGl1pz7c7nH.dex
- /data/data/####/mAg03eRUIilWov2IOkpD1jGl1pz7c7nH.dex.flock (deleted)
- /data/data/####/metrics_guid
- /data/data/####/netinfo.txt
- /data/data/####/pkinfo.txt
- /data/data/####/rFP7Iw1DqqBKyV9OEMIrMNXQ5k6GcueK.dex
- /data/data/####/rFP7Iw1DqqBKyV9OEMIrMNXQ5k6GcueK.dex.flock (deleted)
- /data/data/####/set.xml
- /data/data/####/set.xml.bak
- /data/data/####/sms.txt
- /data/data/####/the-real-index
- /data/media/####/crash-2024-03-26-09-45-49-1711435549732.log
- /data/media/####/crash-2024-03-26-09-45-58-1711435558692.log
- /data/media/####/crash-2024-03-26-09-46-07-1711435567448.log
- /data/media/####/crash-2024-03-26-09-46-16-1711435576359.log
- /data/media/####/crash-2024-03-26-09-46-26-1711435586266.log
Другие:
Запускает следующие shell-скрипты:
- rm -r/data/user/0/<Package>/app_ded/1LCW7ThGYjvMX7Gih1cMaVe9tSo2UmKD.dex
- rm -r/data/user/0/<Package>/app_ded/RcYUX0nyrxJBtDzS3SM4F2pMV02ggF55.dex
- rm -r/data/user/0/<Package>/app_ded/RvquuumlsMorossqT4ZIT5l3noUCvFYW.dex
- rm -r/data/user/0/<Package>/app_ded/c1TN1qsEBGsQl8Db7vqffbSeRzy22oUP.dex
- rm -r/data/user/0/<Package>/app_ded/mAg03eRUIilWov2IOkpD1jGl1pz7c7nH.dex
- rm -r/data/user/0/<Package>/app_ded/rFP7Iw1DqqBKyV9OEMIrMNXQ5k6GcueK.dex
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-ECB-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об активных администраторах устройства.
Получает информацию об установленных приложениях.
Получает информацию о привязанных к устройству аккаунтах.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Получает информацию о входящих/исходящих звонках.
Получает информацию об отправленых/принятых SMS.
Перехватывает уведомления.
Запрашивает разрешение на отображение системных уведомлений.
