Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.SmsSpy.11629
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) www.go####.com:80
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) 1####.250.150.95:443
- TCP(TLS/1.0) feed####.googleu####.com:443
- TCP(TLS/1.0) 1####.194.73.94:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) pla####.google####.com:443
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.0) ssl.gst####.com:443
- TCP(TLS/1.0) api.tele####.org:443
- TCP(TLS/1.2) and####.a####.go####.com:443
- TCP(TLS/1.2) 64.2####.162.94:443
- TCP(TLS/1.2) 1####.194.73.95:443
- TCP(TLS/1.2) ssl.gst####.com:443
- TCP(TLS/1.2) 64.2####.164.95:443
- TCP(TLS/1.2) 1####.177.14.99:443
- TCP(TLS/1.2) 1####.250.150.100:443
- TCP(TLS/1.2) 1####.250.150.95:443
- TCP(TLS/1.2) 74.1####.205.95:443
- UDP p####.google####.com:443
- TCP api.tele####.org:443
- UDP rr2---s####.g####.com:443
- UDP 1####.250.150.95:443
Запросы DNS:
- and####.a####.go####.com
- api.tele####.org
- clie####.go####.com
- feed####.googleu####.com
- p####.google####.com
- pla####.google####.com
- rr2---s####.g####.com
- ssl.gst####.com
- www.go####.com
Запросы HTTP GET:
- www.go####.com/
- www.go####.com/favicon.ico
- www.go####.com/gwt/x?u=/www.google.com/policies/privacy/?hl=####
- www.go####.com/images/branding/googlelogo/1x/googlelogo_color_150x54dp.png
- www.go####.com/images/errors/robot.png
Изменения в файловой системе:
Создает следующие файлы:
- /data/anr/traces.txt
- /data/data/####/0438dc8034130bf8_0
- /data/data/####/1551f6ce48ddf59d_0
- /data/data/####/1c1bff834aa8a3e6_0
- /data/data/####/1c1bff834aa8a3e6_1
- /data/data/####/251721d7b63a8a47_0
- /data/data/####/57a08a697cab420e_0 (deleted)
- /data/data/####/5ca50924ce3c5c59_0
- /data/data/####/82ebf4e4296a3237_0
- /data/data/####/8f171212b47ed78d_0
- /data/data/####/8fecf014b1ab9cd2_0 (deleted)
- /data/data/####/93754b2cd16b0cec_0
- /data/data/####/Cookies-journal
- /data/data/####/FK3iVeLp4JpleSDACvyCpLyDqxoIOWRZ.dex
- /data/data/####/FYvqgi0gXXQnD34d7o80GxbKzu243mUT.dex
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/YrLcMjGc8v9ePKVabShUGFvQoDCjWajD.dex
- /data/data/####/YrLcMjGc8v9ePKVabShUGFvQoDCjWajD.dex.flock (deleted)
- /data/data/####/ZHJm8fPFm2TxqmsLcZVlP2I867DvwQhR.dex
- /data/data/####/ZHJm8fPFm2TxqmsLcZVlP2I867DvwQhR.dex.flock (deleted)
- /data/data/####/abyssalarmy.smseye2_preferences.xml
- /data/data/####/ac952f81ac50ea31_0
- /data/data/####/aiP48sFVT8i06rXZdFqUUZ67hCJdFReD.dex
- /data/data/####/c48ce3cfb82f8d18_0
- /data/data/####/dfb04b550f94b669_0
- /data/data/####/e4E4bL0oJDQ5X1TfvgZPQPjTOudkDgce.dex
- /data/data/####/ee8ddf302d05f04d_0
- /data/data/####/f0bab3e87779491a_0
- /data/data/####/f300bd5fe7dec0df_0
- /data/data/####/f4192c025e1711d1_0
- /data/data/####/hepPStOrgIsiW5lZyNE1HnwTmoxZQNmN.dex
- /data/data/####/hepPStOrgIsiW5lZyNE1HnwTmoxZQNmN.dex.flock (deleted)
- /data/data/####/https_www.google.com_0.localstorage-journal
- /data/data/####/index
- /data/data/####/metrics_guid
- /data/data/####/the-real-index
- /data/data/####/xx0CgTvykgoxeeIgrwy8if70Jq6NtWjR.dex
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- rm -r/data/user/0/<Package>/app_ded/FK3iVeLp4JpleSDACvyCpLyDqxoIOWRZ.dex
- rm -r/data/user/0/<Package>/app_ded/FYvqgi0gXXQnD34d7o80GxbKzu243mUT.dex
- rm -r/data/user/0/<Package>/app_ded/YrLcMjGc8v9ePKVabShUGFvQoDCjWajD.dex
- rm -r/data/user/0/<Package>/app_ded/ZHJm8fPFm2TxqmsLcZVlP2I867DvwQhR.dex
- rm -r/data/user/0/<Package>/app_ded/aiP48sFVT8i06rXZdFqUUZ67hCJdFReD.dex
- rm -r/data/user/0/<Package>/app_ded/e4E4bL0oJDQ5X1TfvgZPQPjTOudkDgce.dex
- rm -r/data/user/0/<Package>/app_ded/hepPStOrgIsiW5lZyNE1HnwTmoxZQNmN.dex
- rm -r/data/user/0/<Package>/app_ded/xx0CgTvykgoxeeIgrwy8if70Jq6NtWjR.dex
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-ECB-PKCS5Padding
Получает информацию о сети.
Отрисовывает собственные окна поверх других приложений.
