Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.SmsSpy.12123
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- UDP(DNS) <Google DNS>
- TCP(TLS/1.0) 74.1####.131.94:443
- TCP(TLS/1.0) app-mea####.com:443
- TCP(TLS/1.0) www.google####.com:443
- TCP(TLS/1.2) 1####.177.14.106:443
- TCP(TLS/1.2) app-mea####.com:443
- TCP(TLS/1.2) 1####.250.150.138:443
- TCP(TLS/1.2) 1####.250.150.100:443
- TCP(TLS/1.2) www.google####.com:443
- TCP(TLS/1.2) 1####.177.14.94:443
- UDP www.google####.com:443
- UDP rr2---s####.g####.com:443
Запросы DNS:
- and####.a####.go####.com
- and####.google####.com
- app-mea####.com
- gmscomp####.google####.com
- rr2---s####.g####.com
- www.google####.com
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/1AI5ZK68YCK8WtVU1vUxqlp8nysWnf95.dex
- /data/data/####/1AI5ZK68YCK8WtVU1vUxqlp8nysWnf95.dex.flock (deleted)
- /data/data/####/5YbeV02cQ21mFRhXF94bcRW54JIP2HEs.dex
- /data/data/####/AAAAAAAAAAAAAAAAAAAAAAAAAAAA (deleted)
- /data/data/####/AAAAAAAAAAAAAAAAAAAAAAAAAAAAA
- /data/data/####/AAAAAAAAAAAAAAAAAAAAAAAAAAAAA (deleted)
- /data/data/####/AAAAAAAAAAAAAAAAAAAAAAAAAAAAAA (deleted)
- /data/data/####/BoIAJnyUBaJQTBn8pORmiyImyNmJYmiw.dex
- /data/data/####/BoIAJnyUBaJQTBn8pORmiyImyNmJYmiw.dex.flock (deleted)
- /data/data/####/C2SHybDuo0dOLslNC94MASjLYcpYFLH8.dex
- /data/data/####/C2SHybDuo0dOLslNC94MASjLYcpYFLH8.dex.flock (deleted)
- /data/data/####/FDyQGsIF1rUAK1dTenAY27tcLvnrdVfg.dex
- /data/data/####/FDyQGsIF1rUAK1dTenAY27tcLvnrdVfg.dex.flock (deleted)
- /data/data/####/G407dX9K657U3ctj8ObHuuask0ccRZXF.dex
- /data/data/####/G407dX9K657U3ctj8ObHuuask0ccRZXF.dex.flock (deleted)
- /data/data/####/Jcrb16ZZ0dP6l9yoiKud0NApc48WnkXc.dex
- /data/data/####/Jcrb16ZZ0dP6l9yoiKud0NApc48WnkXc.dex.flock (deleted)
- /data/data/####/S9aheEHVllzp3tgGZqTiqz6HPX8T7Jrj.dex
- /data/data/####/S9aheEHVllzp3tgGZqTiqz6HPX8T7Jrj.dex.flock (deleted)
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/ZfCdIi0lzQAS0ZWFxKNjTVWMujufsUFb.dex
- /data/data/####/ZfCdIi0lzQAS0ZWFxKNjTVWMujufsUFb.dex.flock (deleted)
- /data/data/####/cloneSettings_29537464.json
- /data/data/####/euUwnr5NxKWX6yslKWa4TCuUWgiFuH7j.dex
- /data/data/####/index
- /data/data/####/jjF1B0AcVMfU4XwCA7zHevJ14ZLZzxw3.dex
- /data/data/####/licNu01AhLWTkyF6dmRV3D4buTfaRdkN.dex
- /data/data/####/mB9AsRbLXmXHaG9tCD5buvR2EItYZWxh.dex
- /data/data/####/mB9AsRbLXmXHaG9tCD5buvR2EItYZWxh.dex.flock (deleted)
- /data/data/####/metrics_guid
- /data/data/####/natives_sec_blob1505805257.dex
- /data/data/####/natives_sec_blob1505805257.dex.flock (deleted)
- /data/data/####/natives_sec_blob2141598992.dex
- /data/data/####/natives_sec_blob2141598992.dex.flock (deleted)
- /data/data/####/natives_sec_blob295662697.dex
- /data/data/####/natives_sec_blob295662697.dex.flock (deleted)
- /data/data/####/natives_sec_blob30723947.dex
- /data/data/####/natives_sec_blob30723947.dex.flock (deleted)
- /data/data/####/natives_sec_blob779941986.dex
- /data/data/####/natives_sec_blob779941986.dex.flock (deleted)
- /data/data/####/the-real-index
- /data/data/####/wuBLz2oyqOaJIMcJWdEWRhmsCRDtEhsh.dex
- /data/data/####/wuBLz2oyqOaJIMcJWdEWRhmsCRDtEhsh.dex.flock (deleted)
Другие:
Запускает следующие shell-скрипты:
- rm -r/data/user/0/<Package>/app_ded/1AI5ZK68YCK8WtVU1vUxqlp8nysWnf95.dex
- rm -r/data/user/0/<Package>/app_ded/5YbeV02cQ21mFRhXF94bcRW54JIP2HEs.dex
- rm -r/data/user/0/<Package>/app_ded/BoIAJnyUBaJQTBn8pORmiyImyNmJYmiw.dex
- rm -r/data/user/0/<Package>/app_ded/C2SHybDuo0dOLslNC94MASjLYcpYFLH8.dex
- rm -r/data/user/0/<Package>/app_ded/FDyQGsIF1rUAK1dTenAY27tcLvnrdVfg.dex
- rm -r/data/user/0/<Package>/app_ded/G407dX9K657U3ctj8ObHuuask0ccRZXF.dex
- rm -r/data/user/0/<Package>/app_ded/Jcrb16ZZ0dP6l9yoiKud0NApc48WnkXc.dex
- rm -r/data/user/0/<Package>/app_ded/S9aheEHVllzp3tgGZqTiqz6HPX8T7Jrj.dex
- rm -r/data/user/0/<Package>/app_ded/ZfCdIi0lzQAS0ZWFxKNjTVWMujufsUFb.dex
- rm -r/data/user/0/<Package>/app_ded/jjF1B0AcVMfU4XwCA7zHevJ14ZLZzxw3.dex
- rm -r/data/user/0/<Package>/app_ded/mB9AsRbLXmXHaG9tCD5buvR2EItYZWxh.dex
- rm -r/data/user/0/<Package>/app_ded/wuBLz2oyqOaJIMcJWdEWRhmsCRDtEhsh.dex
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-ECB-PKCS5Padding
Получает информацию о сети.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
