Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Spy.1478.origin
Детект на основе машинного обучения.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- UDP(DNS) 8####.8.4.4:53
- TCP(TLS/1.0) www.ray####.live:443
- TCP(TLS/1.0) ed####.me.g####.com:443
- TCP(TLS/1.0) www.hg####.net:443
- TCP(TLS/1.0) clients####.google####.com:443
- TCP(TLS/1.0) www.kuaij####.com:443
- TCP(TLS/1.0) up####.google####.com:443
- TCP(TLS/1.0) sunl####.o####.com:443
- TCP(TLS/1.0) a####.s####.360.cn:443
- TCP(TLS/1.0) hsk.o####.com:443
- TCP(TLS/1.0) che####.amazo####.com:443
Запросы DNS:
- a####.s####.360.cn
- che####.amazo####.com
- clients####.google####.com
- ed####.me.g####.com
- hsk.o####.com
- sunl####.o####.com
- up####.google####.com
- www.hg####.net
- www.kuaij####.com
- www.ray####.live
Изменения в файловой системе:
Создает следующие файлы:
- /app_webview/Default/####/000003.log
- /app_webview/Default/####/LOCK
- /app_webview/Default/####/LOG
- /app_webview/Default/####/MANIFEST-000001
- /app_webview/Default/Cookies
- /app_webview/Default/Web Data
- /app_webview/Default/Web Data-journal
- /app_webview/webview_data.lock
- /data/data/####/.org.chromium.Chromium.aMjmxC
- /data/data/####/000001.dbtmp
- /data/data/####/BarHeight.xml
- /data/data/####/Barheight.xml
- /data/data/####/BrowserMetrics-spare.pma.tmp
- /data/data/####/Cookies-journal
- /data/data/####/MANIFEST-000001
- /data/data/####/Media.db-journal
- /data/data/####/ServerLog.db-journal
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/androidx.work.workdb-journal (deleted)
- /data/data/####/androidx.work.workdb-wal
- /data/data/####/boomBarheight.xml
- /data/data/####/cachevalue.xml
- /data/data/####/font_unique_name_table.pb
- /data/data/####/index
- /data/data/####/installtime.xml
- /data/data/####/isInstall.xml
- /data/data/####/number.xml
- /data/data/####/pref_store
- /data/data/####/settings.dat
- /data/data/####/temp-index
- /data/data/####/the-real-index
- /data/data/####/todelete_d514a7a42b7d6891_0_1 (deleted)
- /data/data/####/variations_seed_new
- /data/data/####/variations_stamp
- /data/data/####/w2nt1.dex
- /data/data/####/w2nt2.dex
- /data/data/####/w2nt3.dex
- /data/data/####/w2nt4.dex
- /data/data/####/w2nt5.dex
- /data/data/####/w2nt6.dex
- /data/data/####/w2nt7.dex
- /data/data/####/w2ntd.dex
- /data/data/####/w2ntd.dex.cur.prof
- /data/data/####/w2ntd.vdex
- /data/data/####/w2ntdd.dex
- /data/data/####/wifi_sleep_policy.xml
- /data/misc/####/primary.prof
- /databases/Media.db
- /databases/ServerLog.db
- /no_backup/androidx.work.workdb
- /no_backup/androidx.work.workdb-shm
- /no_backup/androidx.work.workdb-wal
- /storage/emulated/####/1778721394697283.jpeg (deleted)
- /storage/emulated/####/1778721395175880.jpeg (deleted)
- /storage/emulated/####/1778721395484602.jpeg (deleted)
- /storage/emulated/####/1778721395853580.jpeg (deleted)
- /storage/emulated/####/1778721395898477.jpeg (deleted)
- /storage/emulated/####/1778721396112267.jpeg (deleted)
- /storage/emulated/####/1778721396383553.jpeg (deleted)
- /storage/emulated/####/1778721396560739.jpeg (deleted)
- /storage/emulated/####/1778721396730752.jpeg (deleted)
- /storage/emulated/####/1778721397011143.jpeg (deleted)
- /storage/emulated/####/1778721397277244.jpeg (deleted)
- /storage/emulated/####/1778721397678998.jpeg (deleted)
- /storage/emulated/####/1778721398364402.jpeg (deleted)
- /storage/emulated/####/1778721399395544.jpeg (deleted)
- /storage/emulated/####/1778721399604375.jpeg (deleted)
- /storage/emulated/####/1778721399762887.jpeg (deleted)
- /storage/emulated/####/1778721399902377.jpeg (deleted)
- /storage/emulated/####/1778721399973212.jpeg (deleted)
- /storage/emulated/####/1778721400094187.jpeg (deleted)
- /storage/emulated/####/1778721400240323.jpeg (deleted)
- /storage/emulated/####/1778721400518812.jpeg (deleted)
- /storage/emulated/####/1778721400659367.jpeg (deleted)
- /storage/emulated/####/1778721400724414.jpeg (deleted)
- /storage/emulated/####/1778721400787309.jpeg (deleted)
- /storage/emulated/####/1778721400933786.jpeg (deleted)
- /storage/emulated/####/salami-2645403_640.jpg (deleted)
Другие:
Запускает следующие shell-скрипты:
- logcat *:e *:w | grep (3021)
Перехватывает уведомления.
Запрашивает разрешение на отображение системных уведомлений.
Изменяет файлы на устройстве.
Содержит скрытые альтернативные главные активности.
