Техническая информация
Вредоносные функции:
Отправляет данные входящих SMS на удалённый хост.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) s####.diva####.com:80
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) rr6---s####.g####.com:443
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.0) servert####.site:443
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) www.google-####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) www.googlet####.com:443
- TCP(TLS/1.0) s####.diva####.com:443
- TCP(TLS/1.0) www.google####.com:443
- TCP(TLS/1.0) firebas####.google####.com:443
- TCP(TLS/1.2) and####.a####.go####.com:443
- TCP(TLS/1.2) www.google####.com:443
- TCP(TLS/1.2) 1####.250.74.174:443
- TCP(TLS/1.2) p####.google####.com:443
- TCP(TLS/1.2) firebas####.google####.com:443
Запросы DNS:
- and####.a####.go####.com
- api.d####.ir
- d####.ir
- f####.diva####.com
- f####.gst####.com
- firebas####.google####.com
- p####.google####.com
- postima####.diva####.com
- rr6---s####.g####.com
- s####.diva####.com
- se####.d####.cloud
- servert####.site
- t####.diva####.com
- trust####.en####.ir
- www.go####.com
- www.google####.com
- www.google-####.com
- www.googlet####.com
Запросы HTTP GET:
- s####.diva####.com/?deviceid=####
Запросы HTTP POST:
- firebas####.google####.com:443/v1/projects/fcmuser-4c7b0/installations
- servert####.site:443/divarPay/Beygi/GetLink.php
- servert####.site:443/divarPay/Beygi/RegisterDevice.php
- servert####.site:443/divarPay/Beygi/UploadSms.php
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-9099878871504622834
- /data/data/####/01b8a8b5c7616d53_0
- /data/data/####/0206be5748552187_0
- /data/data/####/02575f38e2abadb4_0
- /data/data/####/034b322955db47aa_0
- /data/data/####/0ab6710f46c64ae5_0
- /data/data/####/1184959823723163529
- /data/data/####/1338affe652ba3b2_0
- /data/data/####/1780a28e13d2db62_0
- /data/data/####/1856fd2c2b409ece_0
- /data/data/####/18d49bfae780a7c4_0
- /data/data/####/18d49bfae780a7c4_0 (deleted)
- /data/data/####/1a9a217983eac62d_0
- /data/data/####/1c70167dcc46887c_0
- /data/data/####/1cddf5fe10496309_0
- /data/data/####/1cddf5fe10496309_1
- /data/data/####/213bb53306805749_0
- /data/data/####/25882abcb6e76fe7_0
- /data/data/####/2940195bd9870d6e_0
- /data/data/####/2940195bd9870d6e_1
- /data/data/####/2a66d720257a51ef_0
- /data/data/####/2a66d720257a51ef_1
- /data/data/####/2e929e340188d4d6_0
- /data/data/####/33936c88acc72447_0
- /data/data/####/35b00bb060825cea_0
- /data/data/####/3bdcbdf219da2da0_0
- /data/data/####/449274e68b75f323_0
- /data/data/####/4735c0fdf2c84ea7_0 (deleted)
- /data/data/####/499ee6ac2dcd2122_0
- /data/data/####/499ee6ac2dcd2122_1
- /data/data/####/4c2aa01ba935eedd_0
- /data/data/####/4d13ec64f2e7b187_0
- /data/data/####/53ffd992c55af59d_0
- /data/data/####/5655882aac3ef753_0
- /data/data/####/5655882aac3ef753_1
- /data/data/####/575447fb61f73458_0
- /data/data/####/575447fb61f73458_1
- /data/data/####/58db4559516a3be6_0
- /data/data/####/5b76065b2a392308_0
- /data/data/####/5b76065b2a392308_1
- /data/data/####/5d7745c399b4946c_0
- /data/data/####/5d7745c399b4946c_1
- /data/data/####/5f161d6dd0e697a3_0
- /data/data/####/5f54d4ebf1678d24_0
- /data/data/####/623a1ed5988a0704_0
- /data/data/####/6a3b72541d6a73b9_0
- /data/data/####/6a3b72541d6a73b9_1
- /data/data/####/6aabf09df5ee8fd6_0
- /data/data/####/6fbc2c4569c841dc_0
- /data/data/####/76e8abaf83ff4218_0
- /data/data/####/7a5ccf01727c9bbe_0
- /data/data/####/7bfa9d9131f0c48e_0
- /data/data/####/86e3e2b6c8d1f023_0
- /data/data/####/86e3e2b6c8d1f023_0 (deleted)
- /data/data/####/89e7c73647d6fa6b_0
- /data/data/####/8bd879069b0174e1_0
- /data/data/####/8e0f4363bf5cb133_0
- /data/data/####/933a650817037800_0
- /data/data/####/933a650817037800_1
- /data/data/####/9790c120939f6ba2_0
- /data/data/####/98f77189fb7d7883_0
- /data/data/####/9ac17d8cfecc94c1_0
- /data/data/####/9ac17d8cfecc94c1_1
- /data/data/####/9c9c28065523fdbd_0
- /data/data/####/9c9c28065523fdbd_1
- /data/data/####/Cookies-journal
- /data/data/####/FirebaseHeartBeatW0RFRkFVTFRd+MTo3MjMzOTQxODM1N...Ri.xml
- /data/data/####/PersistedInstallation.W0RFRkFVTFRd+MTo3MjMzOTQx...i.json
- /data/data/####/PersistedInstallation1302906753tmp
- /data/data/####/PersistedInstallation73587648tmp
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/a0ebf103366e62ea_0
- /data/data/####/a68b95e1ef531422_0
- /data/data/####/b172cdac5469eb5b_0
- /data/data/####/bc49f520fb0a9265_0
- /data/data/####/bc49f520fb0a9265_1
- /data/data/####/c08a83bdcf6b5d0c_0
- /data/data/####/c08a83bdcf6b5d0c_1
- /data/data/####/c0e20714189b2106_0
- /data/data/####/c5ecfa22b6b6d2a3_0
- /data/data/####/ccdc153e11efd4bc_0
- /data/data/####/cf0c565bfab8637f_0
- /data/data/####/cf0c565bfab8637f_1
- /data/data/####/com.get_my_user_data.android_preferences.xml
- /data/data/####/com.google.android.gms.appid-no-backup
- /data/data/####/com.google.android.gms.appid.xml
- /data/data/####/d416db987b770d78_0
- /data/data/####/d5947244f77520ba_0
- /data/data/####/d5e60fd5b95e1b64_0
- /data/data/####/da20e15f4de47ec2_0
- /data/data/####/db03d8403b2326dd_0
- /data/data/####/dfffea2db3aa989b_0
- /data/data/####/e9754858f34b9e09_0
- /data/data/####/eb7654c758586a76_0
- /data/data/####/eeb4450c40f35451_0
- /data/data/####/eeb4450c40f35451_1
- /data/data/####/efd7282f21c0e215_0
- /data/data/####/efd7282f21c0e215_1
- /data/data/####/f171db0f0d403b49_0
- /data/data/####/f171db0f0d403b49_1
- /data/data/####/generatefid.lock
- /data/data/####/https_divar.ir_0.localstorage-journal
- /data/data/####/index
- /data/data/####/metrics_guid
- /data/data/####/myUserData.xml
- /data/data/####/the-real-index
- /data/misc/####/primary.prof
Другие:
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
