Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.HiddenAds.593.origin
Сетевая активность:
Подключается к:
- UDP(???) pla####.google####.com:443
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) api.os.q####.com:80
- TCP(HTTP/1.1) 1####.29.29.98:80
- TCP(TLS/1.0) l####.cmpass####.com:9443
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.0) g####.vo####.com.####.com:443
- TCP(TLS/1.0) www.google####.com:443
- TCP(TLS/1.0) android####.go####.com:443
- TCP(TLS/1.0) 1####.177.14.94:443
- TCP(TLS/1.0) msh####.b####.com:443
- TCP(TLS/1.0) sy.c####.cn:443
- TCP(TLS/1.0) g####.cn:443
- TCP(TLS/1.0) api.map.b####.com:443
- TCP(TLS/1.0) p.s.3####.cn:443
- TCP(TLS/1.0) pla####.google####.com:443
- TCP(TLS/1.0) h.t####.qq.com:443
- TCP(TLS/1.0) con####.cmpass####.com:443
- TCP(TLS/1.0) pro.b####.qq.com:443
- TCP(TLS/1.0) sdk.s.360.####.com:443
- TCP(TLS/1.2) 1####.251.153.119:443
- TCP(TLS/1.2) 2####.239.38.223:443
- TCP(TLS/1.2) 2####.239.32.223:443
- TCP(TLS/1.2) www.google####.com:443
- TCP(TLS/1.2) 1####.250.129.102:443
Запросы DNS:
- a####.w####.cn
- and####.a####.go####.com
- and####.google####.com
- android####.go####.com
- api.map.b####.com
- api.os.q####.com
- c####.e.189.cn
- con####.cmpass####.com
- devicei####.google####.com
- ecm.cmpass####.com
- firebas####.google####.com
- g####.cn
- g####.vo####.com.####.com
- h.t####.qq.com
- i####.me
- l####.cmpass####.com
- m####.w####.cn
- msh####.b####.com
- on####.cmpass####.com
- one####.cmpass####.com
- one####.cmpass####.com
- p.s.3####.cn
- pla####.google####.com
- pro.b####.qq.com
- sdk.s.360.####.com
- sy.c####.cn
- www.cmpass####.com
- www.google####.com
Запросы HTTP GET:
- 1####.29.29.98/conf?id=####&alg=####
- 1####.29.29.98/d?dn=####&ip=####&clientip=####&ttl=####&id=####&type=###...
- g####.vo####.com.####.com:443/service/2/app_alert_check/?aid=####&tt_inf...
- sdk.s.360.####.com:443/su/index.php?k=####&av=####&slv=####&sv=####&be=#...
- sdk.s.360.####.com:443/su/unite.php?d=####&ail=####&ov=####&k=####&sv=####
Запросы HTTP POST:
- api.map.b####.com:443/sdkcs/verify
- api.os.q####.com/api/list/?app=####&version=####&api=####&sign=####
- con####.cmpass####.com:443/client/uniConfig
- g####.cn:443/app/ac.do
- g####.vo####.com.####.com:443/service/2/app_log/?device_platform=####&ve...
- g####.vo####.com.####.com:443/service/2/device_register/?aid=####&tt_inf...
- g####.vo####.com.####.com:443/service/2/log_settings/?device_platform=####
- l####.cmpass####.com:9443/log/logReport
- msh####.b####.com:443/c/11/z/250/985799323/1787021192/e729b61bf2fa282fbe...
- msh####.b####.com:443/f/2/jc/250/985799323/1787021193/2407fb9c18cb5d5b38...
- msh####.b####.com:443/p/1/auh/250/985050001/1787021189/689ea85f9be5dc482...
- msh####.b####.com:443/s/3/gd/250/985799323/1787021192/e729b61bf2fa282fbe...
- msh####.b####.com:443/s/5/aio/250/985799323/1787021190/433c9ce141e22e468...
- pro.b####.qq.com:443/appconfig/v7/config/3618c8e729/
- pro.b####.qq.com:443/v1/3618c8e729/upload-json
- sy.c####.cn:443/flash/thin/accountInit/v3
Изменения в файловой системе:
Создает следующие файлы:
- /data/anr/traces.txt
- /data/data/####/.guardapk.lock
- /data/data/####/20005871@bd_tea_agent.db-journal
- /data/data/####/BAIDUTRACE.db-journal
- /data/data/####/BUGLY_COMMON_VALUES.xml
- /data/data/####/BUGLY_COMMON_VALUES.xml.bak
- /data/data/####/BuglySdkInfos.xml
- /data/data/####/COURSE_DATA_0.xml
- /data/data/####/Device_File.lock
- /data/data/####/LD_SP_LOCK_FILE.lock
- /data/data/####/LD_SP_LOCK_FILE_UPLOAD.lock
- /data/data/####/Map_Privacy.xml
- /data/data/####/ParentLockPrefs.xml
- /data/data/####/ParentLockPrefs.xml.bak
- /data/data/####/Push_Page_Config.xml
- /data/data/####/QH_SDK_M2.xml
- /data/data/####/QH_SDK_M2.xml.bak
- /data/data/####/QH_SDK_UserData23313474da1b4c0684dc6914b9c51134.xml
- /data/data/####/QH_SDK_UserData23313474da1b4c0684dc6914b9c51134.xml.bak
- /data/data/####/QH_SDK_sessionID23313474da1b4c0684dc6914b9c51134
- /data/data/####/RMonitor_SP.xml
- /data/data/####/SP_EVENTLIST_FILE_NAME23313474da1b4c0684dc6914b9c51134
- /data/data/####/StrikerV1.db-journal
- /data/data/####/Y29tLnFpa3UucGFyZW50LmxvY2sucGFyZW50.tick.lock
- /data/data/####/_global_cache.xml
- /data/data/####/ad_auth.xml
- /data/data/####/affective_alarm.xml
- /data/data/####/applog_stats.xml
- /data/data/####/authStatus_com.qiku.parent.lock.parent.xml
- /data/data/####/bdtracker_dr_migrate_detector.xml
- /data/data/####/bugly_db_-journal
- /data/data/####/bugly_last_us_up_tm
- /data/data/####/cl_jm_database.db
- /data/data/####/cl_jm_database.db-journal
- /data/data/####/cl_jm_file.xml
- /data/data/####/cl_jm_file.xml.bak
- /data/data/####/classes.dex
- /data/data/####/classes.dex.flock (deleted)
- /data/data/####/classes2.dex
- /data/data/####/classes2.dex.flock (deleted)
- /data/data/####/classes3.dex
- /data/data/####/classes3.dex.flock (deleted)
- /data/data/####/classes4.dex
- /data/data/####/classes4.dex.flock (deleted)
- /data/data/####/cloud_folder_v3x.xml
- /data/data/####/cn.jiguang.helper.jpush_messenger.xml
- /data/data/####/cn.jiguang.prefs.xml
- /data/data/####/cn.jpush.config.xml
- /data/data/####/cn.jpush.preferences.v2.xml
- /data/data/####/com.qiku.parent.lock.parent_preferences.xml
- /data/data/####/crashrecord.xml
- /data/data/####/ct_account_api_sdk.xml
- /data/data/####/dc_cache_file
- /data/data/####/dc_cache_file_temp
- /data/data/####/header_custom.xml
- /data/data/####/internal_debug.xml
- /data/data/####/last_sp_session.xml
- /data/data/####/last_sp_session.xml.bak
- /data/data/####/ld_cache_file
- /data/data/####/ld_cache_file_temp
- /data/data/####/ldsdk.db-journal
- /data/data/####/leroadcfg.xml
- /data/data/####/leroadmshieldcfg.xml
- /data/data/####/local_crash_lock
- /data/data/####/map_pref.xml
- /data/data/####/msfffppcfg.xml
- /data/data/####/msfffppcfg.xml.bak
- /data/data/####/msgzpfc.xml
- /data/data/####/msgzpfc.xml.bak
- /data/data/####/msre.db-journal
- /data/data/####/msvolcano.db-journal
- /data/data/####/native_record_lock
- /data/data/####/parentlock.db-journal (deleted)
- /data/data/####/parentlock.db.lck
- /data/data/####/proc_auxv
- /data/data/####/processing_record_lock
- /data/data/####/prv_config.xml
- /data/data/####/rmonitor_db-journal
- /data/data/####/sec_gd_config_mshield.xml
- /data/data/####/sec_gd_config_mshield.xml.bak
- /data/data/####/snssdk_openudid.xml
- /data/data/####/snssdk_openudid.xml.bak
- /data/data/####/sso_config_xf.xml
- /data/data/####/ssoconfigs.xml
- /data/data/####/ug_install_settings_pref.xml
- /data/media/####/.g_b_d_v
- /data/media/####/.g_m_b_s
- /data/media/####/.gdidv
- /data/media/####/.x_b_d
- /data/media/####/2026-08-18
- /data/media/####/23313474da1b4c0684dc6914b9c51134
- /data/media/####/mO1
- /data/misc/####/primary.prof
- /data/user_de/####/move_to_de_records.xml
Другие:
Запускает следующие shell-скрипты:
- chmod 777 /data/user/0/<Package>
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.letv.release.version
- getprop ro.miui.ui.version.name
- getprop ro.smartisan.version
- getprop ro.vivo.os.build.display.id
- getprop ro.vivo.os.version
Загружает динамические библиотеки:
- libBaiduMapSDK_base_v7_6_1
- libBugly_Native
- libEncryptorP
- libhttpdns
- libmmkv
- libtiny_magic
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5PADDING
- AES-CBC-PKCS7Padding
- DES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7PADDING
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
- DES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
Пытается определить окружение песочницы.
