Техническая информация
Вредоносные функции:
Загружает из Интернета следующие детектируемые угрозы:
- Android.Proxy.47
Сетевая активность:
Подключается к:
- UDP(???) 1####.150.236.88:443
- UDP(???) 1####.244.36.227:443
- UDP(???) 2####.102.58.193:443
- UDP(???) 1####.244.36.226:443
- UDP(???) f####.gst####.com:443
- UDP(???) 23.2####.194.58:443
- UDP(???) 1####.244.36.246:5051
- UDP(???) f####.google####.com:443
- UDP(???) 2####.102.58.209:5051
- UDP(???) 1####.181.164.43:5051
- UDP(???) 1####.199.46.251:5051
- UDP(???) 1####.244.36.229:443
- UDP(???) 57.1####.148.177:8443
- UDP(???) 46.1####.196.205:5051
- UDP(???) 1####.233.28.195:5051
- UDP(DNS) <Google DNS>
- TCP(TLS/1.0) api.mk####.com:443
- TCP(TLS/1.0) api.bugfe####.com:443
- TCP(TLS/1.0) sdk.lockert####.ai:443
- TCP(TLS/1.0) clearw####.tv:443
- TCP(TLS/1.0) downloa####.com:443
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) ws####.pu####.com:443
- TCP(TLS/1.0) f####.google####.com:443
- TCP(TLS/1.0) cdn.downloa####.com:443
- TCP(TLS/1.0) coin####.com:443
- TCP(TLS/1.0) content####.google####.com:443
- TCP(TLS/1.0) clients####.google####.com:443
- TCP(TLS/1.0) up####.google####.com:443
Запросы DNS:
- api.bugfe####.com
- api.mk####.com
- cdn.downloa####.com
- clearw####.tv
- clients####.google####.com
- coin####.com
- content####.google####.com
- downloa####.com
- f####.google####.com
- f####.gst####.com
- sdk.lockert####.ai
- up####.google####.com
- ws####.pu####.com
Запросы HTTP GET:
- clearw####.tv:443/hop.json
- clearw####.tv:443/hopmn_sdk/arm64.so
- clearw####.tv:443/launch/tea356/android
- clearw####.tv:443/launch/tea356/android/allowedLauncher?id=####
- clearw####.tv:443/launch/tea356/android/servicecheck?id=####
- clearw####.tv:443/sdk/arm64.so
Запросы HTTP POST:
- api.bugfe####.com:443/app/device-status
- api.bugfe####.com:443/device/keyvalue
Изменения в файловой системе:
Создает следующие файлы:
- /app_webview_com.rikkv.tea356/Default/####/000003.log
- /app_webview_com.rikkv.tea356/Default/####/LOCK
- /app_webview_com.rikkv.tea356/Default/####/LOG
- /app_webview_com.rikkv.tea356/Default/####/MANIFEST-000001
- /app_webview_com.rikkv.tea356/Default/Cookies
- /app_webview_com.rikkv.tea356/Default/Web Data
- /app_webview_com.rikkv.tea356/Default/Web Data-journal
- /app_webview_com.rikkv.tea356/webview_data.lock
- /data/data/####/-8425187731073577159
- /data/data/####/.org.chromium.Chromium.6W0BmW
- /data/data/####/.org.chromium.Chromium.qVlGaN
- /data/data/####/000001.dbtmp
- /data/data/####/0970dcffb7d89344_0
- /data/data/####/0cbc9665102ab2cd_0
- /data/data/####/100482183-2882098
- /data/data/####/1744560734-173977367
- /data/data/####/192e88ced8e1ad3d_0
- /data/data/####/1e5a919b76e3d8c4_0
- /data/data/####/1ee1dae6eff8f557_0
- /data/data/####/2a702a471dd91c86_0
- /data/data/####/4138cb3de4b385f4_0
- /data/data/####/4247162cb893be2c_0
- /data/data/####/6b06e1107ef997b6_0
- /data/data/####/7298243c685c2051_0
- /data/data/####/796300999b0e92fb_0
- /data/data/####/81f364962275bdaa_0
- /data/data/####/89659a012e408d96_0
- /data/data/####/BrowserMetrics-spare.pma.tmp
- /data/data/####/Cookies-journal
- /data/data/####/MANIFEST-000001
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/ad24b729557169e2_0
- /data/data/####/b04717059dfd8fd5_0
- /data/data/####/bb4786ca9624b9f1_0
- /data/data/####/bugfender.device.key.xml
- /data/data/####/bugfender.preferences.xml
- /data/data/####/c218869d61d9a1b1_0
- /data/data/####/device_status.json
- /data/data/####/ed9f510f86f58934_0
- /data/data/####/f7b805cb42886f53_0
- /data/data/####/fd73384434695d5f_0
- /data/data/####/font_unique_name_table.pb
- /data/data/####/hiphop.cfg
- /data/data/####/hiphop.xml
- /data/data/####/hop_prefs.xml
- /data/data/####/hoplib.so
- /data/data/####/index
- /data/data/####/logs
- /data/data/####/quic_prefs.xml
- /data/data/####/sdklib1.so
- /data/data/####/sdklib2.so
- /data/data/####/session.json
- /data/data/####/settings.dat
- /data/data/####/temp-index
- /data/data/####/the-real-index
- /data/data/####/variations_seed_new
- /data/data/####/variations_stamp
- /data/misc/####/primary.prof
Другие:
Запускает следующие shell-скрипты:
- ifconfig
Отрисовывает собственные окна поверх других приложений.
Пытается определить окружение песочницы.
