Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.337.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(TLS/1.0) firebas####.google####.com:443
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) 74.1####.131.94:443
- TCP(TLS/1.0) rr9---s####.g####.com:443
- TCP(TLS/1.0) 1####.250.150.138:443
- TCP(TLS/1.0) t300-t2####.c####.c####.####.com:443
- TCP(TLS/1.0) det-ta####.am####.com:443
- TCP(TLS/1.0) m####.amazon-####.com:443
- TCP(TLS/1.0) gmscomp####.google####.com:443
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.0) tp.c47710e####.media-a####.com:443
- TCP(TLS/1.0) s.amazon-####.com:443
- TCP(TLS/1.0) arcus-u####.am####.com:443
- TCP(TLS/1.0) t300-t2####.c####.glo.####.com:443
- TCP(TLS/1.2) 1####.250.150.138:443
- TCP(TLS/1.2) gmscomp####.google####.com:443
- TCP(TLS/1.2) 1####.177.14.103:443
- TCP(TLS/1.2) 74.1####.131.94:443
- TCP e####.ar####.com:10009
- TCP p####.us-ea####.s####.####.dev:443
- TCP e####.ar####.com:10004
- UDP rr2---s####.g####.com:443
- TCP e####.ar####.com:10017
- TCP e####.ar####.com:10007
- UDP gmscomp####.google####.com:443
- TCP w####.glob####.telem####.####.com:443
Запросы DNS:
- ab49qxk####.api.amazonv####.com
- ab49qxk####.eu.api.####.com
- and####.a####.go####.com
- and####.cli####.go####.com
- and####.google####.com
- api.eu-we####.aiv-del####.net
- arcus-u####.am####.com
- det-ta####.am####.com
- e####.ar####.com
- f####.gst####.com
- firebas####.google####.com
- gmscomp####.google####.com
- m####.amazon-####.com
- m.media-a####.com
- p####.us-ea####.s####.####.dev
- pla####.googleu####.com
- ra####.tech
- rr2---s####.g####.com
- rr9---s####.g####.com
- s.amazon-####.com
Запросы HTTP GET:
- m####.amazon-####.com:443/msdk/getConfig?fp=####&appId=####&dinfo=####&s...
- t300-t2####.c####.c####.####.com:443/acm/GetConfiguration/AppResiliency?...
- t300-t2####.c####.c####.####.com:443/cdp/playback/GetDefaultSettings?dev...
- t300-t2####.c####.c####.####.com:443/cdp/switchblade/android/getDataByJv...
- t300-t2####.c####.glo.####.com:443/cdp/mobile/getDataByTransform/v1/dv-a...
- t300-t2####.c####.glo.####.com:443/cdp/usage/v3/GetAppStartupConfig?devi...
- tp.c47710e####.media-a####.com:443/images/S/pv-target-images/0b50961d269...
- tp.c47710e####.media-a####.com:443/images/S/pv-target-images/1a34073c7c7...
- tp.c47710e####.media-a####.com:443/images/S/pv-target-images/394aca08c67...
- tp.c47710e####.media-a####.com:443/images/S/pv-target-images/9f51e8ce411...
- tp.c47710e####.media-a####.com:443/images/S/pv-target-images/b354570fede...
- tp.c47710e####.media-a####.com:443/images/S/pv-target-images/b7366b9ac74...
- tp.c47710e####.media-a####.com:443/images/S/pv-target-images/bc5cc0f5858...
- tp.c47710e####.media-a####.com:443/images/S/pv-target-images/c3f907e39f5...
- tp.c47710e####.media-a####.com:443/images/S/pv-target-images/c5e1ffea964...
- tp.c47710e####.media-a####.com:443/images/S/sonata-images-prod/SVOD_ROW_...
Запросы HTTP POST:
- arcus-u####.am####.com:443/
- det-ta####.am####.com:443/DeviceEventProxy/DETLogServlet?key=####
- firebas####.google####.com:443/v1/projects/amazon-video/installations
- s.amazon-####.com:443/api3/generate_did?oo=####&sdkVer=####&aud=####&idf...
- t300-t2####.c####.c####.####.com:443/lps/setDevicePreferredLanguage/v1?d...
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.fsgkea
- /data/data/####/.jg.ac
- /data/data/####/.jg.ri
- /data/data/####/.jg.store.report_cf
- /data/data/####/.jg.store.report_pid
- /data/data/####/.nomedia
- /data/data/####/165a3d5159d87baaffc89057a66727e1729f2e0a942396b....0.tmp
- /data/data/####/165a3d5159d87baaffc89057a66727e1729f2e0a942396b...a0c2.0
- /data/data/####/1717274884347_us-east-1_0001
- /data/data/####/1ee4062267b9e5ac8f7b845cd9ca80b53ab0a6a68526f6b....0.tmp
- /data/data/####/1ee4062267b9e5ac8f7b845cd9ca80b53ab0a6a68526f6b...bf6b.0
- /data/data/####/24afb38a39782723dd04f4e4702c1ca7135ae1a6a4eeb79....0.tmp
- /data/data/####/24afb38a39782723dd04f4e4702c1ca7135ae1a6a4eeb79...619b.0
- /data/data/####/2d97156dc0028d70a7cfda835176dadf61962b1c0e2dfe3....0.tmp
- /data/data/####/2d97156dc0028d70a7cfda835176dadf61962b1c0e2dfe3...a597.0
- /data/data/####/343bd6398474e6ffb2c0c210b583cc944455cb10ad2c2f9...ad3a.0
- /data/data/####/3a8f6358b866965457f74f25f34b17c374435ff7569538b....0.tmp
- /data/data/####/3a8f6358b866965457f74f25f34b17c374435ff7569538b...374c.0
- /data/data/####/5e33a44870f2db5addbd69f413b63a641df71254c1b0166...91d6.0
- /data/data/####/5e70dbc8ddde4da5b560385cf22ce8abe224587ea7812e5...31.tmp
- /data/data/####/5e70dbc8ddde4da5b560385cf22ce8abe224587ea7812e5...7700c9
- /data/data/####/6892d9695cf67a8cd240bd95253c0044d7a4522239a7616...1f5642
- /data/data/####/6892d9695cf67a8cd240bd95253c0044d7a4522239a7616...51.tmp
- /data/data/####/77141364bfb4543539f304aef6e6c321c1feac35c1c9a2e....0.tmp
- /data/data/####/77141364bfb4543539f304aef6e6c321c1feac35c1c9a2e...2668.0
- /data/data/####/818cc4592536fc977731a534399e79fc8b078b7fa91ffc9...44.tmp
- /data/data/####/818cc4592536fc977731a534399e79fc8b078b7fa91ffc9...4486f8
- /data/data/####/818cc4592536fc977731a534399e79fc8b078b7fa91ffc9...87.tmp
- /data/data/####/9b062b4e3e97147c40deadef4677f6ea60c538605e29fa5....0.tmp
- /data/data/####/9b062b4e3e97147c40deadef4677f6ea60c538605e29fa5...7e87.0
- /data/data/####/AmazonMobileAds.xml
- /data/data/####/AmazonMobileAds.xml.bak
- /data/data/####/CachePersistence.xml
- /data/data/####/Cookies-journal
- /data/data/####/CrashDetectionHelper.crashManager3rdParty.xml
- /data/data/####/FirebaseHeartBeatW0RFRkFVTFRd+MTozNTQ4MDA2NDUzM...Bi.xml
- /data/data/####/FirebaseHeartBeatW0RFRkFVTFRd+MTozNTQ4MDA2NDUzM...ml.bak
- /data/data/####/IdentityPreferences.xml
- /data/data/####/InternalPreferences.xml
- /data/data/####/InternalPreferences.xml.bak
- /data/data/####/Lambortish_Clock_Store.xml
- /data/data/####/LocalizationPreferences.xml
- /data/data/####/LocalizationPreferences.xml.bak
- /data/data/####/PersistedInstallation.W0RFRkFVTFRd+MTozNTQ4MDA2...i.json
- /data/data/####/PersistedInstallation634161261tmp
- /data/data/####/PersistentPreferences.xml
- /data/data/####/PersistentPreferences.xml.bak
- /data/data/####/PlaybackHeuristicsPreferences.xml
- /data/data/####/SSOInfo.config.xml
- /data/data/####/ServerPreferences.xml
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/account_change_observer.xml
- /data/data/####/account_change_observer.xml.bak
- /data/data/####/androidx.work.workdb-journal (deleted)
- /data/data/####/androidx.work.workdb.lck
- /data/data/####/arn;aws;remote-config;us-west-2;455205533140;ap...che.db
- /data/data/####/arn;aws;remote-config;us-west-2;455205533140;ap...fs.xml
- /data/data/####/arn;aws;remote-config;us-west-2;455205533140;ap...ournal
- /data/data/####/b342905b7e952863eebcc486444ae2b9cea3b66af1cbd4b....0.tmp
- /data/data/####/b342905b7e952863eebcc486444ae2b9cea3b66af1cbd4b...d64a.0
- /data/data/####/bookmark-journal (deleted)
- /data/data/####/classes.dex
- /data/data/####/classes.dex;classes2.dex
- /data/data/####/classes.dex;classes3.dex
- /data/data/####/classes.dex;classes4.dex
- /data/data/####/classes.dex;classes5.dex
- /data/data/####/classes.dex;classes6.dex
- /data/data/####/classes.dex;classes7.dex
- /data/data/####/classes.dex;classes8.dex
- /data/data/####/classes.dex;classes9.dex
- /data/data/####/classes.oat
- /data/data/####/clearDataSentinel
- /data/data/####/com.amazon.avod.thirdpartyclient_preferences.xml
- /data/data/####/com.amazon.client.metrics.xml
- /data/data/####/com.amazon.minerva.client.thirdparty.persistedC...es.xml
- /data/data/####/com.google.android.datatransport.events-journal
- /data/data/####/com.google.android.datatransport.events-journal (deleted)
- /data/data/####/com.google.android.gms.appid-no-backup
- /data/data/####/crashlog.v2.amzcl#data_app_crash#65645745a5736e...00485f
- /data/data/####/d48a5b3393e2a51335c215c52ae4dd89a2f98417258c604...42.tmp
- /data/data/####/d48a5b3393e2a51335c215c52ae4dd89a2f98417258c604...d05547
- /data/data/####/dbcachedcontent-journal (deleted)
- /data/data/####/distributed.datastore.info.store.xml
- /data/data/####/downloads-journal (deleted)
- /data/data/####/event-journal (deleted)
- /data/data/####/generatefid.lock
- /data/data/####/jgobfppppp
- /data/data/####/jgobfppppp (deleted)
- /data/data/####/journal
- /data/data/####/libInit.so
- /data/data/####/libjiagu.so
- /data/data/####/map_data_storage.db
- /data/data/####/map_data_storage.db-journal
- /data/data/####/mediaEvents
- /data/data/####/mediaEvents-journal
- /data/data/####/mediaEvents-journal (deleted)
- /data/data/####/mediaEvents-shm (deleted)
- /data/data/####/mediaEvents-wal
- /data/data/####/mediaEvents-wal (deleted)
- /data/data/####/playback_downloads-journal (deleted)
- /data/data/####/proc_auxv
- /data/data/####/response_cache.db-journal (deleted)
- /data/data/####/response_cache.db.lck
- /data/data/####/sonar_local_database-journal
- /data/data/####/sync_dirty_data_store.xml
- /data/data/####/sync_dirty_data_store.xml.bak
- /data/media/####/.nomedia
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /system/xbin/which su
- logcat -d -v threadtime
- logcat -d -v threadtime -b events
Загружает динамические библиотеки:
- libAIVDash
- libAIVHeuristics
- libAIVMemoryAllocator
- libAIVPlayReadyLicensing
- libAIVVisualOnRenderer
- libATVPlaybackSmoothStream
- libAutobahnTraceroute
- libcrashmanager-ndk
- libjiagu
- libvoOSCEngine
Использует следующие алгоритмы для шифрования данных:
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует повышенные привилегии.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
