Техническая информация
Вредоносные функции:
Отправляет данные о контактах устройства на удалённый хост.
Отправляет данные входящих SMS на удалённый хост.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 1####.0.0.1:7911
- TCP(HTTP/1.1) api.ra####.live:443
- TCP(TLS/1.0) api.ra####.live:7000
- TCP(TLS/1.0) api.ra####.live:443
Запросы DNS:
- a####.ra####.live
- api.ra####.live
Запросы HTTP GET:
- api.ra####.live:443/api/agent/query.json?deviceId=####
- api.ra####.live:443/api/containerApi/getCacheTask?containerCode=####&dev...
- api.ra####.live:443/api/device/mainPackageName?deviceId=####
- api.ra####.live:443/api/listen/windows.json?containerCode=####&deviceId=...
- api.ra####.live:443/api/locateValue/entryAppMap.json?deviceId=####&langC...
- api.ra####.live:443/api/pairKeyFile/query.json?deviceId=####
- api.ra####.live:443/api/smsRecognize/plug.json?deviceId=####
- api.ra####.live:443/bridge
- api.ra####.live:443/download/file/843926274171092992.ini
Запросы HTTP POST:
- api.ra####.live:443/api/contact/post.json
- api.ra####.live:443/api/device/register.json
- api.ra####.live:443/api/message/post.json
- api.ra####.live:443/api/package/post.json
- api.ra####.live:443/api/permission/post.json
- api.ra####.live:443/api/smsMessage/post.json
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/Cookies;api.rathat.live.xml
- /data/data/####/DEVICE_UNIQUE_ID.xml
- /data/data/####/batteryPercent.xml
- /data/data/####/batteryStatus.xml
- /data/data/####/deviceId.xml
- /data/data/####/isRoot.xml
- /data/data/####/mainPackageName.xml
- /data/data/####/screenMetrics.xml
- /data/data/####/screenState.xml
- /data/data/####/syncContacts.xml
- /data/data/####/syncPackages.xml
- /data/data/####/syncSmsMessage.xml
- /data/data/####/systemLangCode.xml
- /data/data/####/wifiState.xml
- /data/misc/####/primary.prof
- /storage/emulated/####/cert.pem (deleted)
- /storage/emulated/####/frpc.ini
- /storage/emulated/####/frpc.ini (deleted)
- /storage/emulated/####/libfrpc.so.error.log (deleted)
- /storage/emulated/####/libfrpc.so.out.log (deleted)
- /storage/emulated/####/listenWindows.json
- /storage/emulated/####/listenWindows.json (deleted)
- /storage/emulated/####/locateValues.json
- /storage/emulated/####/locateValues.json (deleted)
- /storage/emulated/####/private.key (deleted)
- /storage/emulated/####/smsRecognizePlugs.json
- /storage/emulated/####/smsRecognizePlugs.json (deleted)
Другие:
Запускает следующие shell-скрипты:
- /data/app/~~zxbsRfASVm1sshMX9jgq1Q==/<Package>-UQo2fSEhogXOq4J3Xs9M4Q==/lib/arm64/libfrpc.so -c /storage/emulated/0/Android/data/<Package>/files/frpc.ini
- echo root
- sh
- su
Использует повышенные привилегии.
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об активных администраторах устройства.
Получает информацию об установленных приложениях.
Получает информацию о привязанных к устройству аккаунтах.
Отрисовывает собственные окна поверх других приложений.
Получает информацию об отправленых/принятых SMS.
Перехватывает уведомления.
Запрашивает разрешение на отображение системных уведомлений.
Пытается определить окружение песочницы.
