Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.584.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ad####.ti####.com:80
- TCP(TLS/1.0) rr9---s####.g####.com:443
- TCP(TLS/1.0) p####.b####.com:33113
- TCP(TLS/1.0) app-mea####.com:443
- TCP(TLS/1.0) connect####.gst####.com:443
- TCP(TLS/1.0) con####.koc####.com:443
- TCP(TLS/1.0) youtub####.l.go####.com:443
- TCP(TLS/1.0) firebas####.crashly####.com:443
- TCP(TLS/1.0) kvinit-####.api.koc####.com:443
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) firebas####.google####.com:443
- TCP(TLS/1.2) firebas####.google####.com:443
- TCP(TLS/1.2) connect####.gst####.com:443
- TCP(TLS/1.2) 1####.250.150.113:443
- TCP ip####.io:443
- TCP api.yeah####.com:443
- TCP youtub####.l.go####.com:443
- TCP webupda####.b####.net:443
Запросы DNS:
- ad####.ti####.com
- ad####.ti####.com
- api.yeah####.com
- app-mea####.com
- con####.koc####.com
- connect####.gst####.com
- f####.gst####.com
- firebas####.crashly####.com
- firebas####.google####.com
- firebas####.google####.com
- firebas####.google####.com
- gmscomp####.google####.com
- ip####.io
- kvinit-####.api.koc####.com
- p####.b####.com
- rr9---s####.g####.com
- webupda####.b####.net
- www.google####.com
- www.you####.com
Запросы HTTP GET:
- ad####.ti####.com/cpi/v2/list?code=####
- firebas####.crashly####.com:443/spi/v2/platforms/android/gmp/1:163365166...
Запросы HTTP POST:
- ad####.ti####.com/ssp/v1/list
- con####.koc####.com:443/track/json
- firebas####.google####.com:443/v1/projects/163365166383/namespaces/fireb...
- firebas####.google####.com:443/v1/projects/yomate-68b64/installations
- kvinit-####.api.koc####.com:443/track/kvinit
- p####.b####.com:33113/62twbw/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/FirebaseHeartBeatW0RFRkFVTFRd+MToxNjMzNjUxNjYzO...Rh.xml
- /data/data/####/Owy.xml
- /data/data/####/PersistedInstallation163854167tmp
- /data/data/####/PersistedInstallation1832826895tmp
- /data/data/####/Vrvb.xml
- /data/data/####/_has_set_default_values.xml
- /data/data/####/androidx.work.workdb-journal
- /data/data/####/androidx.work.workdb-journal (deleted)
- /data/data/####/cashier.xml
- /data/data/####/classes.dex
- /data/data/####/classes.oat
- /data/data/####/classes.oat.flock (deleted)
- /data/data/####/classes2.dex
- /data/data/####/classes2.oat
- /data/data/####/classes2.oat.flock (deleted)
- /data/data/####/classes3.dex
- /data/data/####/classes3.oat
- /data/data/####/classes3.oat.flock (deleted)
- /data/data/####/classes4.dex
- /data/data/####/classes4.oat
- /data/data/####/classes4.oat.flock (deleted)
- /data/data/####/classes5.dex
- /data/data/####/classes5.oat
- /data/data/####/classes5.oat.flock (deleted)
- /data/data/####/com.crashlytics.settings.json
- /data/data/####/com.google.android.datatransport.events-journal
- /data/data/####/com.google.android.gms.measurement.prefs.xml
- /data/data/####/com.google.android.gms.measurement.prefs.xml.bak
- /data/data/####/com.google.firebase.crashlytics.xml
- /data/data/####/com.kochava.tracker.tracker.profile.clicks_queue.xml
- /data/data/####/com.kochava.tracker.tracker.profile.clicks_queue.xml.bak
- /data/data/####/com.kochava.tracker.tracker.profile.events_queue.xml
- /data/data/####/com.kochava.tracker.tracker.profile.events_queue.xml.bak
- /data/data/####/com.kochava.tracker.tracker.profile.identitylin...ml.bak
- /data/data/####/com.kochava.tracker.tracker.profile.identitylink_queue.xml
- /data/data/####/com.kochava.tracker.tracker.profile.session_queue.xml
- /data/data/####/com.kochava.tracker.tracker.profile.session_queue.xml.bak
- /data/data/####/com.kochava.tracker.tracker.profile.token_queue.xml
- /data/data/####/com.kochava.tracker.tracker.profile.token_queue.xml.bak
- /data/data/####/com.kochava.tracker.tracker.profile.updates_queue.xml
- /data/data/####/com.kochava.tracker.tracker.profile.updates_queue.xml.bak
- /data/data/####/com.kochava.tracker.tracker.profile.xml
- /data/data/####/com.yomate_preferences.xml
- /data/data/####/config_info_def.xml
- /data/data/####/datastore.preferences_pb
- /data/data/####/datastore.preferences_pb.tmp
- /data/data/####/exoplayer_internal.db-journal
- /data/data/####/frc_1;163365166383;android;b2f0d0d91ab56c72c795...e.json
- /data/data/####/frc_1;163365166383;android;b2f0d0d91ab56c72c795...gs.xml
- /data/data/####/frc_1;163365166383;android;b2f0d0d91ab56c72c795...h.json
- /data/data/####/frc_1;163365166383;android;b2f0d0d91ab56c72c795...s.json
- /data/data/####/generatefid.lock
- /data/data/####/google_app_measurement_local.db
- /data/data/####/google_app_measurement_local.db-journal
- /data/data/####/initialization_marker
- /data/data/####/journal
- /data/data/####/l36bb1970.so
- /data/data/####/newpipe.db-journal (deleted)
- /data/data/####/report
- /data/data/####/sp_Tyuyzlg.xml
- /data/data/####/start-time
- /data/data/####/userlog
- /data/data/####/userlog.tmp
- /data/media/####/.Ddlc
- /data/media/####/6508f4aee6bc888d.uid
- /data/media/####/Lklu
- /data/media/####/Qjib
Другие:
Загружает динамические библиотеки:
- l36bb1970
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- RSA-None-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- Blowfish-ECB-PKCS5Padding
- RSA-None-PKCS1Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
