Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Mobifun.11.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.0) ssl.google-####.com:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) gmscomp####.google####.com:443
- TCP(TLS/1.0) rr9---s####.g####.com:443
- TCP(TLS/1.0) 1####.250.74.67:443
- TCP(TLS/1.0) 1####.250.68.14:443
- TCP(TLS/1.2) 74.1####.205.95:443
- TCP(TLS/1.2) 1####.250.74.67:443
- TCP(TLS/1.2) 1####.177.14.99:443
- TCP(TLS/1.2) 1####.194.220.95:443
Запросы DNS:
- a####.shiny####.com
- a####.u####.com
- and####.a####.go####.com
- and####.google####.com
- api.higam####.com
- gmscomp####.google####.com
- p####.google####.com
- rr9---s####.g####.com
- sn####.iapp####.com
- ssl.google-####.com
- www.google####.com
Запросы HTTP POST:
- a####.u####.com/app_logs
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.appInfo
- /data/data/####/.imprint
- /data/data/####/1c12a8a0_5627_432b_9c2b_2f9fe3f2b354.dex
- /data/data/####/1c12a8a0_5627_432b_9c2b_2f9fe3f2b354.dex.flock (deleted)
- /data/data/####/1c12a8a0_5627_432b_9c2b_2f9fe3f2b354.jar
- /data/data/####/9e121df5_7717_485d_8eea_c7120c85d9a4.dex
- /data/data/####/9e121df5_7717_485d_8eea_c7120c85d9a4.dex.flock (deleted)
- /data/data/####/9e121df5_7717_485d_8eea_c7120c85d9a4.jar
- /data/data/####/Alvin2.xml
- /data/data/####/Cocos2dxPrefsFile.xml
- /data/data/####/Cocos2dxPrefsFile.xml.bak
- /data/data/####/ContextData.xml
- /data/data/####/DataFirst.xml
- /data/data/####/U925.apk
- /data/data/####/U925.dex.flock (deleted)
- /data/data/####/a.log
- /data/data/####/a.xml
- /data/data/####/bill.xml.xml
- /data/data/####/bill.xml.xml.bak
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.vemobi.herogo_preferences.xml
- /data/data/####/com.vemobi.herogo_preferences.xml.bak
- /data/data/####/e7675939_c3e1_4587_b672_7537542e2a5b.jar
- /data/data/####/enforce.dex
- /data/data/####/enforce.dex (deleted)
- /data/data/####/enforce.dex.flock (deleted)
- /data/data/####/enforce.jar
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f1e1fbb2_dc18_40bc_a068_f3bc655a1291.dex
- /data/data/####/f1e1fbb2_dc18_40bc_a068_f3bc655a1291.dex.flock (deleted)
- /data/data/####/f1e1fbb2_dc18_40bc_a068_f3bc655a1291.jar
- /data/data/####/gaClientId
- /data/data/####/gpay_jquery_1_6.ap
- /data/data/####/gpay_pay_event_5_6.ap
- /data/data/####/gpay_pay_sms_4_6.ap
- /data/data/####/gpay_res.apk
- /data/data/####/jquery_1_6.applet
- /data/data/####/la.so
- /data/data/####/la.so (deleted)
- /data/data/####/mobclick_agent_cached_com.vemobi.herogo7
- /data/data/####/payRestraint.xml
- /data/data/####/pay_event_5_6.applet
- /data/data/####/pay_sms_4_6.applet
- /data/data/####/proc_auxv
- /data/data/####/snowplowEvents.sqlite
- /data/data/####/snowplowEvents.sqlite-journal
- /data/data/####/snowplowEvents.sqlite-journal (deleted)
- /data/data/####/snowplowEvents.sqlite-shm
- /data/data/####/snowplowEvents.sqlite-shm (deleted)
- /data/data/####/snowplowEvents.sqlite-wal
- /data/data/####/snowplowEvents.sqlite-wal (deleted)
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak
- /data/data/####/umeng_general_config.xml.bak (deleted)
- /data/data/####/umeng_it.cache
- /data/data/####/unsent_requests
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/ContextData.xml.bak (deleted)
- /data/media/####/gptrxsn
- /data/media/####/gptrxsn.bak
- /data/media/####/gptrxsn.lock
- /data/media/####/gptrxsn.rlck
- /data/media/####/gptrxsn.wlck
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- cat /proc/cpuinfo
- ps
Загружает динамические библиотеки:
- la
- libcocos2dcpp
- libgnio
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-CFB-NoPadding
- AES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CFB-NoPadding
- AES-ECB-PKCS5Padding
- DES
- RSA-ECB-PKCS1Padding
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
