Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Backdoor.791.origin
Скрывает свою иконку с экрана.
Сетевая активность:
Подключается к:
- UDP(???) rr5---s####.g####.com:443
- UDP(???) rr6---s####.g####.com:443
- UDP(???) pla####.google####.com:443
- UDP(DNS) <Google DNS>
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) www.google####.com:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
- TCP(TLS/1.0) android####.go####.com:443
- TCP(TLS/1.0) pla####.google####.com:443
- TCP(TLS/1.0) rr5---s####.g####.com:443
- TCP(TLS/1.0) playsto####.google####.com:443
- TCP(TLS/1.0) connect####.gst####.com:443
- TCP(TLS/1.2) and####.cli####.go####.com:443
- TCP(TLS/1.2) 1####.250.150.99:443
- TCP(TLS/1.2) www.google####.com:443
- TCP(TLS/1.2) playsto####.google####.com:443
Запросы DNS:
- and####.a####.go####.com
- and####.cli####.go####.com
- and####.google####.com
- android####.go####.com
- connect####.gst####.com
- devicei####.google####.com
- firebas####.google####.com
- i.y####.com
- p####.google####.com
- pla####.google####.com
- pla####.googleu####.com
- playsto####.google####.com
- prod-lt####.google####.com
- rr5---s####.g####.com
- rr6---s####.g####.com
- thunder####.por####.host
- www.go####.com
- www.google####.com
Запросы HTTP GET:
- www.go####.com:443/
Изменения в файловой системе:
Создает следующие файлы:
- /data/app/####/.x86_64
- /data/app/####/com.android.vending.apk
- /data/app/####/config.en
- /data/app/####/config.x86_64
- /data/app/####/libandroidx.graphics.path.so
- /data/app/####/libapkanalysis.so
- /data/app/####/libbrotli.so
- /data/app/####/libcronet.149.0.7827.114.so
- /data/app/####/libmappedcountercacheversionjni.so
- /data/app/####/libtensorflowlite_jni.so
- /data/app/####/libzucchini.so
- /data/app/####/libzwrapper.so
- /data/data/####/com.android.tester_preferences.xml
- /data/data/####/jbJqkOOhYePUCmuxWqWgMUsPjCzNPIZZ.dex
- /data/data/####/jbJqkOOhYePUCmuxWqWgMUsPjCzNPIZZ.dex.flock (deleted)
- /data/data/####/sTqkrp3bYYBRNwRVAZJ0RozXdQSpyWZm.dex
- /data/data/####/sTqkrp3bYYBRNwRVAZJ0RozXdQSpyWZm.dex.flock (deleted)
- /data/data/####/zA43EOQwfsE9wgNCrV3GWZYpFQhe9Kyt.dex
- /data/data/####/zA43EOQwfsE9wgNCrV3GWZYpFQhe9Kyt.dex.flock (deleted)
- /data/media/####/config23-06-2026.log
Другие:
Запускает следующие shell-скрипты:
- rm -r/data/user/0/<Package>/app_ded/jbJqkOOhYePUCmuxWqWgMUsPjCzNPIZZ.dex
- rm -r/data/user/0/<Package>/app_ded/sTqkrp3bYYBRNwRVAZJ0RozXdQSpyWZm.dex
- rm -r/data/user/0/<Package>/app_ded/zA43EOQwfsE9wgNCrV3GWZYpFQhe9Kyt.dex
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-ECB-PKCS5Padding
Использует права администратора.
Получает информацию об активных администраторах устройства.
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
Пытается определить окружение песочницы.
