Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Siggen.Susp.50544
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- UDP(DNS) <Google DNS>
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) to####.ctobsn####.com.####.com:443
- TCP(TLS/1.0) www.google####.com:443
- TCP(TLS/1.0) dig.b####.net.####.com:443
- TCP(TLS/1.0) to####.ctobsn####.com.####.net:443
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.2) 1####.217.21.164:443
- TCP(TLS/1.2) www.google####.com:443
- TCP(TLS/1.2) 1####.194.222.95:443
- TCP(TLS/1.2) 1####.250.74.131:443
- TCP(TLS/1.2) 1####.250.74.174:443
Запросы DNS:
- and####.a####.go####.com
- dig.b####.net
- ga####.gamenew####.com
- is.sn####.com
- p####.google####.com
- sf3-fe####.pglstat####.com
- sf3-ttc####.ps####.com
- sg.tyg####.cn
- to####.ctobsn####.com
- www.google####.com
Запросы HTTP GET:
- dig.b####.net.####.com:443/obj/ad-pattern/renderer/35e8f3/index.html
- dig.b####.net.####.com:443/obj/ad-pattern/renderer/35e8f3/index.js
- dig.b####.net.####.com:443/obj/ad-pattern/renderer/35e8f3/vendors~lp-sdk...
- dig.b####.net.####.com:443/obj/ad-pattern/renderer/package.json
- dig.b####.net.####.com:443/q?host=####&aid=####
- to####.ctobsn####.com.####.com:443/service/2/app_alert_check/?&os_api=##...
- to####.ctobsn####.com.####.net:443/service/2/app_alert_check/?&os_api=##...
Запросы HTTP POST:
- dig.b####.net.####.com:443/api/ad/union/sdk/get_ads/
- dig.b####.net.####.com:443/api/ad/union/sdk/settings/
- dig.b####.net.####.com:443/api/ad/union/sdk/stats/
- dig.b####.net.####.com:443/api/ad/union/sdk/upload/app_info/
- to####.ctobsn####.com.####.com:443/service/2/app_log/?tt_data=####&&os_a...
- to####.ctobsn####.com.####.com:443/service/2/device_register_only/?&os_a...
- to####.ctobsn####.com.####.net:443/service/2/app_log/?tt_data=####&&os_a...
- to####.ctobsn####.com.####.net:443/service/2/device_register_only/?&os_a...
- to####.ctobsn####.com.####.net:443/service/2/log_settings/?&os_api=####&...
Изменения в файловой системе:
Создает следующие файлы:
- /data/anr/traces.txt
- /data/data/####/-1127729055-1266689676
- /data/data/####/1021689741840853517
- /data/data/####/C2UrFncWRlxbAUUM.dex
- /data/data/####/C2UrFncWRlxbAUUM.dex.flock (deleted)
- /data/data/####/C2UrFncWRlxbAUUM.zip
- /data/data/####/Cocos2dxPrefsFile.xml
- /data/data/####/Cocos2dxPrefsFile.xml.bak
- /data/data/####/DDBxEyZERgtbUEIP.zip
- /data/data/####/F4QcGqYUmtjt7nid8zzSqX68EgU=
- /data/data/####/Q6SoI48vGt6E7NJX.zip
- /data/data/####/TzxVa9cImSXWY3-DX1e7lhQh2-o=
- /data/data/####/WzZ-R3BBQwBbBRQL.dex
- /data/data/####/WzZ-R3BBQwBbBRQL.dex.flock (deleted)
- /data/data/####/WzZ-R3BBQwBbBRQL.zip
- /data/data/####/bd_embed_tea_agent.db-journal
- /data/data/####/bytedance_downloader.db-journal
- /data/data/####/data.dat.tmp
- /data/data/####/e77DEMA7B7Csg5vqZqZvHg==
- /data/data/####/embed_applog_stats.xml
- /data/data/####/embed_last_sp_session.xml
- /data/data/####/libexec.so
- /data/data/####/libtt.so
- /data/data/####/proc_auxv
- /data/data/####/snssdk_openudid.xml
- /data/data/####/tt_dns_settings.xml
- /data/data/####/tt_sdk_settings.xml
- /data/data/####/tt_sdk_settings.xml.bak
- /data/data/####/tt_sp_app_list.xml
- /data/data/####/tt_sp_app_list.xml.bak
- /data/data/####/ttopenadsdk.xml
- /data/data/####/ttopenadsdk.xml.bak
- /data/data/####/ttopensdk.db-journal
- /data/data/####/zImbgVVxT9gLotLoQo92Uf2GrgA=
- /data/media/####/1ee125724f92d83da779662c9bd5093b
- /data/media/####/1ee125724f92d83da779662c9bd5093b.tmp
- /data/media/####/clientudid.dat
- /data/media/####/d25b5e9c333cae9b296b93df991d76d3.tmp
- /data/media/####/e5ea8e8203c54ad9547e93b991da36cf.tmp
- /data/media/####/temp_pkg_info.json
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- getprop ro.build.version.emui
- getprop ro.letv.release.version
- getprop ro.product.cpu.abi
- getprop ro.vivo.os.build.display.id
- sh -c cat /proc/3778/wchan
- sh -c cat /proc/4072/wchan
- sh -c cat /proc/4311/wchan
Загружает динамические библиотеки:
- libexec
- libgame
- libgcsdkurl
- libnms
- libtobEmbedEncrypt
Использует следующие алгоритмы для шифрования данных:
- AES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
Пытается определить окружение песочницы.
