Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.243.origin
- Android.Xiny.150.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) www.20####.com:80
- TCP(HTTP/1.1) s.psservi####.com:80
- TCP(HTTP/1.1) ip####.io:80
- TCP(TLS/1.0) www.20####.com:443
- TCP(TLS/1.0) www.google####.com:443
- TCP(TLS/1.0) 1####.194.221.94:443
- TCP(TLS/1.0) perform####.r####.cloudf####.com:443
- TCP(TLS/1.0) pla####.google####.com:443
- TCP(TLS/1.0) android####.go####.com:443
- TCP(TLS/1.0) challe####.cloudf####.com:443
- TCP(TLS/1.0) cf-as####.www.cloudf####.com:443
- TCP(TLS/1.0) gmscomp####.google####.com:443
- TCP(TLS/1.0) rr2---s####.g####.com:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.2) www.google####.com:443
- TCP(TLS/1.2) 1####.194.221.94:443
- TCP(TLS/1.2) 1####.177.14.147:443
- UDP pla####.google####.com:443
Запросы DNS:
- android####.go####.com
- cf-as####.www.cloudf####.com
- challe####.cloudf####.com
- e####.7####.com
- e####.h####.com
- ecup####.h####.com
- gmscomp####.google####.com
- hgup####.e####.com
- hgup####.h####.com
- ip####.io
- oc.u####.com
- ot.www.cloudf####.com
- p####.google####.com
- perform####.r####.cloudf####.com
- pla####.google####.com
- rr2---s####.g####.com
- s.psservi####.com
- t####.talking####.net
- www.20####.com
- www.cloudf####.com
- www.google####.com
- www.himobil####.com
- www.woo####.com
Запросы HTTP GET:
- ip####.io/json
- www.20####.com/?channelid=####&ver=####
Запросы HTTP POST:
- s.psservi####.com/api/s2s/tracks/?pn=####&vc=####&md=####&ov=####&mc=###...
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/1808e0b01c7f245e_0
- /data/data/####/1808e0b01c7f245e_1
- /data/data/####/21e0b156ac22921f_0
- /data/data/####/21e0b156ac22921f_0 (deleted)
- /data/data/####/279098edb42f5676_0
- /data/data/####/3efec29dba714977_0
- /data/data/####/3efec29dba714977_1
- /data/data/####/456828fab5f6ff4e_0
- /data/data/####/4ee28829d7f19a0d_0
- /data/data/####/4ee28829d7f19a0d_1
- /data/data/####/564740c8dad9a219_0
- /data/data/####/564740c8dad9a219_1
- /data/data/####/56982baef3535fa1_0
- /data/data/####/60fd9cbea3412ea6_0 (deleted)
- /data/data/####/635322209ed31046_0
- /data/data/####/6f32190527a53b93_0
- /data/data/####/788510dfb08d64c6_0
- /data/data/####/806742780bb1c4fb_0 (deleted)
- /data/data/####/80c234fd5569dfd9_0
- /data/data/####/83885819a69eaf91_0
- /data/data/####/83885819a69eaf91_1
- /data/data/####/8778e47949422836_0
- /data/data/####/8dc9916575999e99_0
- /data/data/####/8e6df7c1df8bc15d_0 (deleted)
- /data/data/####/Cookies-journal
- /data/data/####/Local.xml
- /data/data/####/SettingProvider.apk
- /data/data/####/TDtcagent.db
- /data/data/####/TDtcagent.db-journal
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/a91488cf4f5f079b_0
- /data/data/####/a91f38123d440f15_0
- /data/data/####/b0a6b27dcd25beff_0
- /data/data/####/b9c51f23f0dc8641_0
- /data/data/####/bdownloaders.db-journal
- /data/data/####/com.space.funhgames.september_preferences.xml
- /data/data/####/d4afbba2899b1c23_0
- /data/data/####/d4afbba2899b1c23_1
- /data/data/####/dfp.jar
- /data/data/####/dfx.jar
- /data/data/####/do.dex
- /data/data/####/do.dex.flock (deleted)
- /data/data/####/do.jar
- /data/data/####/dtlrt
- /data/data/####/etlrt
- /data/data/####/f3e5a6bc7d83c59d_0
- /data/data/####/f688dd5179337fb1_0
- /data/data/####/f688dd5179337fb1_1
- /data/data/####/f77ef0887076420d_0
- /data/data/####/fp.dex
- /data/data/####/fp.dex.flock (deleted)
- /data/data/####/fpssp.xml
- /data/data/####/fx.dex
- /data/data/####/fx.dex.flock (deleted)
- /data/data/####/fx.jar
- /data/data/####/fx_kit_unlock-journal
- /data/data/####/fxkit.xml
- /data/data/####/fxlock.db
- /data/data/####/fxlock.db-journal
- /data/data/####/fxssp.xml
- /data/data/####/index
- /data/data/####/l.xml
- /data/data/####/metrics_guid
- /data/data/####/mic.db-journal
- /data/data/####/mobclick_agent_online_setting_com.space.funhgam...er.xml
- /data/data/####/nis
- /data/data/####/pref_longtime.xml
- /data/data/####/pref_shorttime.xml
- /data/data/####/r1
- /data/data/####/r2
- /data/data/####/r3
- /data/data/####/r4
- /data/data/####/rsh
- /data/data/####/td.lock
- /data/data/####/tdid.xml
- /data/data/####/temp-index
- /data/data/####/tfp.jar
- /data/data/####/tfp.jar (deleted)
- /data/data/####/tfx.jar (deleted)
- /data/data/####/the-real-index
- /data/data/####/umeng_general_config.xml
- /data/media/####/.UUID
- /data/media/####/.tcookieid
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- /data/user/0/<Package>/app_rtt/r1 /data/user/0/<Package>/app_rtt/rsh
- /data/user/0/<Package>/app_rtt/r2 -c /data/user/0/<Package>/app_rtt/rsh
- /data/user/0/<Package>/app_rtt/r3 -c /data/user/0/<Package>/app_rtt/rsh
- /data/user/0/<Package>/app_rtt/r4 -c /data/user/0/<Package>/app_rtt/rsh
- /system/lib/arm/houdini /data/user/0/<Package>/app_rtt/r1 /data/user/0/<Package>/app_rtt/r1 /data/user/0/<Package>/app_rtt/rsh
- /system/lib/arm/houdini /data/user/0/<Package>/app_rtt/r2 /data/user/0/<Package>/app_rtt/r2 -c /data/user/0/<Package>/app_rtt/rsh
- /system/lib/arm/houdini /data/user/0/<Package>/app_rtt/r3 /data/user/0/<Package>/app_rtt/r3 -c /data/user/0/<Package>/app_rtt/rsh
- /system/lib/arm/houdini /data/user/0/<Package>/app_rtt/r4 /data/user/0/<Package>/app_rtt/r4 -c /data/user/0/<Package>/app_rtt/rsh
- cat /system/etc/install-recovery.sh |grep daemonnis
- grep daemonnis
- sh
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Получает информацию о привязанных к устройству аккаунтах.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
