Техническая информация
Вредоносные функции:
Отправляет данные входящих SMS на удалённый хост.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) s####.diva####.com:80
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.0) 1####.250.74.35:443
- TCP(TLS/1.0) rr9---s####.g####.com:443
- TCP(TLS/1.0) servert####.site:443
- TCP(TLS/1.0) www.googlet####.com:443
- TCP(TLS/1.0) s####.diva####.com:443
- TCP(TLS/1.0) firebas####.google####.com:443
- TCP(TLS/1.0) 74.1####.163.88:443
- TCP(TLS/1.0) gmscomp####.google####.com:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.2) firebas####.google####.com:443
- TCP(TLS/1.2) 1####.250.74.110:443
- TCP(TLS/1.2) 1####.250.74.100:443
- TCP(TLS/1.2) 1####.250.74.35:443
Запросы DNS:
- and####.a####.go####.com
- and####.google####.com
- api.d####.ir
- d####.ir
- f####.diva####.com
- f####.gst####.com
- firebas####.google####.com
- gmscomp####.google####.com
- p####.google####.com
- rr9---s####.g####.com
- s####.diva####.com
- se####.d####.cloud
- servert####.site
- www.google####.com
- www.googlet####.com
Запросы HTTP GET:
- s####.diva####.com/?deviceid=####
Запросы HTTP POST:
- firebas####.google####.com:443/v1/projects/fcmuser-4c7b0/installations
- servert####.site:443/divarPay/Beygi/GetLink.php
- servert####.site:443/divarPay/Beygi/RegisterDevice.php
- servert####.site:443/divarPay/Beygi/UploadSms.php
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-9099878871504622834
- /data/data/####/.font4404-4404-0
- /data/data/####/.font4404-4404-0 (deleted)
- /data/data/####/01b8a8b5c7616d53_0
- /data/data/####/04650a3d1e504764_0
- /data/data/####/052b424df64c7a38_0
- /data/data/####/052b424df64c7a38_1
- /data/data/####/0ab6710f46c64ae5_0
- /data/data/####/0dc21e425ce69343_0
- /data/data/####/1184959823723163529
- /data/data/####/1338affe652ba3b2_0
- /data/data/####/173cb25ecd8fa548_0
- /data/data/####/173cb25ecd8fa548_1
- /data/data/####/1856fd2c2b409ece_0
- /data/data/####/18d49bfae780a7c4_0
- /data/data/####/1cff7576a9b0cad9_0
- /data/data/####/213bb53306805749_0
- /data/data/####/2430075d656bc5da_0
- /data/data/####/2430075d656bc5da_1
- /data/data/####/266532600dcefb32_0
- /data/data/####/29c42e8f5d1cc323_0 (deleted)
- /data/data/####/2e929e340188d4d6_0
- /data/data/####/31aadd79f1a63dd0_0
- /data/data/####/31aadd79f1a63dd0_1
- /data/data/####/449274e68b75f323_0
- /data/data/####/449274e68b75f323_0 (deleted)
- /data/data/####/519cc6175009028d_0
- /data/data/####/5431ce19286795f8_0
- /data/data/####/5431ce19286795f8_1
- /data/data/####/567569e83d5d34db_0
- /data/data/####/575447fb61f73458_0
- /data/data/####/575447fb61f73458_1
- /data/data/####/5a85a6235446c6e3_0
- /data/data/####/6bd97dc5a1838d19_0
- /data/data/####/704665d965c2dd22_0
- /data/data/####/76e8abaf83ff4218_0
- /data/data/####/7a5ccf01727c9bbe_0
- /data/data/####/7bfa9d9131f0c48e_0
- /data/data/####/7f85b5bcf69c6856_0
- /data/data/####/8179dda14c389f0c_0
- /data/data/####/8358b193f4558d33_0
- /data/data/####/8358b193f4558d33_0 (deleted)
- /data/data/####/86e3e2b6c8d1f023_0
- /data/data/####/8b7f01e56efdc1a7_0
- /data/data/####/8b7f01e56efdc1a7_1
- /data/data/####/8df46a1f2c568694_0
- /data/data/####/8df46a1f2c568694_1
- /data/data/####/8fdc02877de0633d_0
- /data/data/####/956f6db785ebca3e_0
- /data/data/####/Cookies-journal
- /data/data/####/FirebaseHeartBeatW0RFRkFVTFRd+MTo3MjMzOTQxODM1N...Ri.xml
- /data/data/####/PersistedInstallation.W0RFRkFVTFRd+MTo3MjMzOTQx...i.json
- /data/data/####/PersistedInstallation186494341tmp
- /data/data/####/PersistedInstallation719033166tmp
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/a318e0fb03ded576_0
- /data/data/####/a3a1987358f079bd_0
- /data/data/####/a431ae0cd89c1f5d_0
- /data/data/####/a431ae0cd89c1f5d_1
- /data/data/####/abbf873a62c2e60b_0
- /data/data/####/abbf873a62c2e60b_1
- /data/data/####/b0126084e771304e_0
- /data/data/####/b172cdac5469eb5b_0
- /data/data/####/b89346aa2ce8069a_0
- /data/data/####/b89346aa2ce8069a_1
- /data/data/####/c0e20714189b2106_0
- /data/data/####/c5ccf5d747fb349d_0
- /data/data/####/c5ecfa22b6b6d2a3_0
- /data/data/####/com.google.android.gms.appid-no-backup
- /data/data/####/com.google.android.gms.appid.xml
- /data/data/####/com.myapplication.get_my_user_preferences.xml
- /data/data/####/d2c06e866f280183_0
- /data/data/####/d2c06e866f280183_1
- /data/data/####/da20e15f4de47ec2_0
- /data/data/####/da4de9be6ddd3bce_0
- /data/data/####/da4de9be6ddd3bce_1
- /data/data/####/db95d6c84e2fe83d_0
- /data/data/####/f13b7a3e2c4afd08_0
- /data/data/####/f472c90058b47402_0 (deleted)
- /data/data/####/fbc6b9b16e9ffcde_0
- /data/data/####/generatefid.lock
- /data/data/####/https_divar.ir_0.localstorage-journal
- /data/data/####/index
- /data/data/####/metrics_guid
- /data/data/####/myUserData.xml
- /data/data/####/the-real-index
- /data/misc/####/primary.prof
Другие:
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
