Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Mobifun.11.origin
Сетевая активность:
Подключается к:
- UDP(???) rr1---s####.g####.com:443
- UDP(???) p####.google####.com:443
- UDP(???) rr5---s####.g####.com:443
- UDP(???) rr4---s####.g####.com:443
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(SSL/3.0) api.higam####.com:443
- TCP(TLS/1.0) connect####.gst####.com:443
- TCP(TLS/1.0) ssl.google-####.com:443
- TCP(TLS/1.0) pla####.google####.com:443
- TCP(TLS/1.0) api.higam####.com:443
- TCP(TLS/1.2) 1####.251.157.119:443
- TCP(TLS/1.2) 1####.251.209.227:443
Запросы DNS:
- a####.u####.com
- api.higam####.com
- connect####.gst####.com
- m####.go####.com
- p####.google####.com
- pla####.google####.com
- rr1---s####.g####.com
- rr4---s####.g####.com
- rr5---s####.g####.com
- ssl.google-####.com
Запросы HTTP POST:
- a####.u####.com/app_logs
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/06b789a3_45da_40c4_b703_437d3bd085f2.jar
- /data/data/####/07b9af2a_31aa_4959_bbee_0d51d711de4d.dex
- /data/data/####/07b9af2a_31aa_4959_bbee_0d51d711de4d.dex.flock (deleted)
- /data/data/####/07b9af2a_31aa_4959_bbee_0d51d711de4d.jar
- /data/data/####/1f6d2835_3956_49bf_aff4_fd4c3894490a.dex
- /data/data/####/1f6d2835_3956_49bf_aff4_fd4c3894490a.dex.flock (deleted)
- /data/data/####/1f6d2835_3956_49bf_aff4_fd4c3894490a.jar
- /data/data/####/2f1598f6_c638_41b2_90ee_e5631c962e24.dex
- /data/data/####/2f1598f6_c638_41b2_90ee_e5631c962e24.dex.flock (deleted)
- /data/data/####/2f1598f6_c638_41b2_90ee_e5631c962e24.jar
- /data/data/####/368a80c8_f5c4_490b_b212_24cdd1915f99.dex
- /data/data/####/368a80c8_f5c4_490b_b212_24cdd1915f99.dex.flock (deleted)
- /data/data/####/368a80c8_f5c4_490b_b212_24cdd1915f99.jar
- /data/data/####/462e88b3_4f43_4738_aa18_5ebdf488abe7.dex
- /data/data/####/462e88b3_4f43_4738_aa18_5ebdf488abe7.dex.flock (deleted)
- /data/data/####/462e88b3_4f43_4738_aa18_5ebdf488abe7.jar
- /data/data/####/4b702ede_4d9c_492e_be49_e29903d2590c.dex
- /data/data/####/4b702ede_4d9c_492e_be49_e29903d2590c.dex.flock (deleted)
- /data/data/####/4b702ede_4d9c_492e_be49_e29903d2590c.jar
- /data/data/####/4b964b82_ed89_4377_b03e_a0d3919fab41.dex
- /data/data/####/4b964b82_ed89_4377_b03e_a0d3919fab41.dex.flock (deleted)
- /data/data/####/4b964b82_ed89_4377_b03e_a0d3919fab41.jar
- /data/data/####/7f3db31a_e438_4629_bb0e_98826faa44c3.dex
- /data/data/####/7f3db31a_e438_4629_bb0e_98826faa44c3.dex.flock (deleted)
- /data/data/####/7f3db31a_e438_4629_bb0e_98826faa44c3.jar
- /data/data/####/822c8653_2921_4e7a_94e5_f88f24476ae8.dex
- /data/data/####/822c8653_2921_4e7a_94e5_f88f24476ae8.dex.flock (deleted)
- /data/data/####/822c8653_2921_4e7a_94e5_f88f24476ae8.jar
- /data/data/####/84110100_4433_4a71_9a56_d578ffcf6cb1.dex
- /data/data/####/84110100_4433_4a71_9a56_d578ffcf6cb1.dex.flock (deleted)
- /data/data/####/84110100_4433_4a71_9a56_d578ffcf6cb1.jar
- /data/data/####/953eacc7_728a_420a_84a0_2c0b7d7d762e.dex
- /data/data/####/953eacc7_728a_420a_84a0_2c0b7d7d762e.dex.flock (deleted)
- /data/data/####/953eacc7_728a_420a_84a0_2c0b7d7d762e.jar
- /data/data/####/97959d95_9399_4972_ae46_7821d26e7178.dex
- /data/data/####/97959d95_9399_4972_ae46_7821d26e7178.dex.flock (deleted)
- /data/data/####/97959d95_9399_4972_ae46_7821d26e7178.jar
- /data/data/####/Alvin2.xml
- /data/data/####/Cocos2dxPrefsFile.xml
- /data/data/####/ContextData.xml.bak (deleted)
- /data/data/####/DataFirst.xml
- /data/data/####/U925.apk
- /data/data/####/U925.dex
- /data/data/####/U925.dex.flock (deleted)
- /data/data/####/a.log
- /data/data/####/a.xml
- /data/data/####/bill.xml.xml
- /data/data/####/bill.xml.xml.bak
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.vemobi.FishingPlayer.Self_preferences.xml
- /data/data/####/d0253e59_e845_433c_b321_b3ce9efe03c2.dex
- /data/data/####/d0253e59_e845_433c_b321_b3ce9efe03c2.dex.flock (deleted)
- /data/data/####/d0253e59_e845_433c_b321_b3ce9efe03c2.jar
- /data/data/####/d22a0063_8841_4f23_b5e0_ac51399cc32d.dex
- /data/data/####/d22a0063_8841_4f23_b5e0_ac51399cc32d.dex.flock (deleted)
- /data/data/####/d22a0063_8841_4f23_b5e0_ac51399cc32d.jar
- /data/data/####/enforce.dex
- /data/data/####/enforce.dex (deleted)
- /data/data/####/enforce.dex.flock (deleted)
- /data/data/####/enforce.jar
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/gaClientId
- /data/data/####/gpay_jquery_1_6.ap
- /data/data/####/gpay_pay_event_5_6.ap
- /data/data/####/gpay_pay_sms_4_6.ap
- /data/data/####/gpay_res.apk
- /data/data/####/jquery_1_6.applet
- /data/data/####/la.so
- /data/data/####/payRestraint.xml
- /data/data/####/pay_event_5_6.applet
- /data/data/####/pay_sms_4_6.applet
- /data/data/####/proc_auxv
- /data/data/####/snowplowEvents.sqlite
- /data/data/####/snowplowEvents.sqlite-journal
- /data/data/####/snowplowEvents.sqlite-journal (deleted)
- /data/data/####/snowplowEvents.sqlite-shm (deleted)
- /data/data/####/snowplowEvents.sqlite-wal (deleted)
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_g_cache.xml
- /data/data/####/um_g_cache.xml.bak (deleted)
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak
- /data/data/####/umeng_general_config.xml.bak (deleted)
- /data/data/####/umeng_it.cache
- /data/data/####/unsent_requests
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/gptrxsn
- /data/media/####/gptrxsn.lock
- /data/media/####/gptrxsn.rlck
- /data/media/####/gptrxsn.wlck
Другие:
Запускает следующие shell-скрипты:
- cat /proc/cpuinfo
- ps
Загружает динамические библиотеки:
- la
- libcocos2dcpp
- libgnio
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-CFB-NoPadding
- AES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-CFB-NoPadding
- AES-ECB-PKCS5Padding
- DES
- RSA-ECB-PKCS1Padding
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
Пытается определить окружение песочницы.
