Android.Packed.42989

Technical information

Malicious functions:

Sends SMS:

106901332942: rg|308|AhB3j.S11wiZPLfC4voMlAPLf5l4OMLO8Og5z74T385P,mOWqq4ckPtLpVZ43sNPcAg2fvWOm4cHenUfbSQ6jNPz8cUEQbdSR,H8Mm9LTNo!

Executes code of the following detected threats:

Android.DownLoader.691.origin

Accesses the ITelephony private interface.

Network activity:

Connects to:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) 1####.55.93.104:9004
TCP(HTTP/1.1) w####.cns####.com:9005
TCP(HTTP/1.1) z####.heyc####.net:80
TCP(HTTP/1.1) 1####.224.16.33:6600
TCP(HTTP/1.1) 1####.15.2.156:6600
TCP(HTTP/1.1) qq####.top:660
TCP(HTTP/1.1) 1####.55.161.68:29092

DNS requests:

fy.bigb####.com
lp.lapia####.com
qq####.top
w####.cns####.com
z####.heyc####.net

HTTP POST requests:

qq####.top:660/d0ed/7c7
qq####.top:660/d300/ed4562
qq####.top:660/d34fb12/e1db0
qq####.top:660/d3fe/8e822b2
qq####.top:660/d4e30e3/6f6f1
qq####.top:660/d50f0/57aba4
qq####.top:660/d51ae/67f80c
qq####.top:660/d70b81/c517d9
qq####.top:660/d783/8d5
qq####.top:660/d798/767
qq####.top:660/d87/b6468
qq####.top:660/d88fe/24049
qq####.top:660/d8c3da/336b
qq####.top:660/d8e06f/b25d8
qq####.top:660/d8ea/edaaa9
qq####.top:660/d90/5c997
qq####.top:660/d9db49/4d742
qq####.top:660/d9e/06ec77
qq####.top:660/dafaaf/6f78f81
qq####.top:660/db68b/5f9
qq####.top:660/dc8e41f/8fa69d
qq####.top:660/dc9a/1bf
qq####.top:660/dcad2ae/30ad
qq####.top:660/dcebf/e97d
qq####.top:660/dd5cc67/a5f77e8
qq####.top:660/de0/27d2
qq####.top:660/de1/49267b
qq####.top:660/de655/ef07
qq####.top:660/o5166/b68
w####.cns####.com:9005/csk/st_c/cn_i_sec.json
w####.cns####.com:9005/csk/st_c/cn_sk_login.json
w####.cns####.com:9005/csk/st_c/getst_tegy.json
z####.heyc####.net/getlist
z####.heyc####.net/xlogin

File system changes:

Creates the following files:

/data/anr/traces.txt
/data/data/####/.jar
/data/data/####/YV92X2dkdF9jb25maWc=.xml
/data/data/####/a_tmp
/data/data/####/app_test.apk
/data/data/####/baidu
/data/data/####/black.png
/data/data/####/box0.png
/data/data/####/box1.png
/data/data/####/box10.png
/data/data/####/box11.png
/data/data/####/box12.png
/data/data/####/box13.png
/data/data/####/box14.png
/data/data/####/box15.png
/data/data/####/box16.png
/data/data/####/box17.png
/data/data/####/box18.png
/data/data/####/box19.png
/data/data/####/box2.png
/data/data/####/box20.png
/data/data/####/box21.png
/data/data/####/box22.png
/data/data/####/box23.png
/data/data/####/box24.png
/data/data/####/box25.png
/data/data/####/box26.png
/data/data/####/box27.png
/data/data/####/box28.png
/data/data/####/box29.png
/data/data/####/box3.png
/data/data/####/box30.png
/data/data/####/box31.png
/data/data/####/box32.png
/data/data/####/box33.png
/data/data/####/box34.png
/data/data/####/box4.png
/data/data/####/box5.png
/data/data/####/box6.png
/data/data/####/box7.png
/data/data/####/box8.png
/data/data/####/box9.png
/data/data/####/brushs.xml
/data/data/####/by0.png
/data/data/####/by1.png
/data/data/####/by10.png
/data/data/####/by11.png
/data/data/####/by12.png
/data/data/####/by2.png
/data/data/####/by3.png
/data/data/####/by4.png
/data/data/####/by5.png
/data/data/####/by6.png
/data/data/####/by7.png
/data/data/####/by8.png
/data/data/####/by9.png
/data/data/####/cds.xml
/data/data/####/dpi
/data/data/####/fen.png
/data/data/####/fmoonStore.db
/data/data/####/fmoonStore.db-journal
/data/data/####/fplay_arthc
/data/data/####/hid.db
/data/data/####/juese.png
/data/data/####/jx_im.png
/data/data/####/lpdf.jar
/data/data/####/menu_an.png
/data/data/####/menu_ph.png
/data/data/####/menu_top.png
/data/data/####/mid_yy.mp3
/data/data/####/oew.EEl.fyov_preferences.xml
/data/data/####/oewEElfyov
/data/data/####/order_sp.xml
/data/data/####/over_an0.png
/data/data/####/over_an1.png
/data/data/####/over_jm.png
/data/data/####/over_tc.png
/data/data/####/over_zi0.png
/data/data/####/ph_back.png
/data/data/####/ph_di0.png
/data/data/####/ph_di1.png
/data/data/####/ph_jm.png
/data/data/####/ph_kuang.png
/data/data/####/shu.png
/data/data/####/shu2.png
/data/data/####/shu3.png
/data/data/####/shu4.png
/data/data/####/shu5.png
/data/data/####/shunpay_config
/data/data/####/sod_chaoshi.mp3
/data/data/####/sod_obegin.mp3
/data/data/####/sod_over.mp3
/data/data/####/sod_ozhongxin.mp3
/data/data/####/sod_xiashui.mp3
/data/data/####/sod_xl.mp3
/data/data/####/tou_0.png
/data/data/####/tou_1.png
/data/data/####/tou_10.png
/data/data/####/tou_11.png
/data/data/####/tou_12.png
/data/data/####/tou_13.png
/data/data/####/tou_14.png
/data/data/####/tou_15.png
/data/data/####/tou_16.png
/data/data/####/tou_17.png
/data/data/####/tou_18.png
/data/data/####/tou_19.png
/data/data/####/tou_2.png
/data/data/####/tou_20.png
/data/data/####/tou_21.png
/data/data/####/tou_22.png
/data/data/####/tou_23.png
/data/data/####/tou_24.png
/data/data/####/tou_25.png
/data/data/####/tou_26.png
/data/data/####/tou_27.png
/data/data/####/tou_28.png
/data/data/####/tou_29.png
/data/data/####/tou_3.png
/data/data/####/tou_30.png
/data/data/####/tou_31.png
/data/data/####/tou_32.png
/data/data/####/tou_33.png
/data/data/####/tou_34.png
/data/data/####/tou_35.png
/data/data/####/tou_36.png
/data/data/####/tou_37.png
/data/data/####/tou_38.png
/data/data/####/tou_39.png
/data/data/####/tou_4.png
/data/data/####/tou_40.png
/data/data/####/tou_41.png
/data/data/####/tou_42.png
/data/data/####/tou_43.png
/data/data/####/tou_44.png
/data/data/####/tou_45.png
/data/data/####/tou_46.png
/data/data/####/tou_47.png
/data/data/####/tou_48.png
/data/data/####/tou_49.png
/data/data/####/tou_5.png
/data/data/####/tou_6.png
/data/data/####/tou_7.png
/data/data/####/tou_8.png
/data/data/####/tou_9.png
/data/data/####/tx_dian.png
/data/data/####/tx_jia.png
/data/data/####/tx_quan.png
/data/data/####/uid.f
/data/data/####/userData.xml
/data/data/####/userDatas.xml
/data/data/####/webview.db-journal
/data/data/####/ying.png
/data/data/####/yunUid.f
/data/data/####/zdhf.jar
/data/media/####/.nid
/data/media/####/sys.lock

Miscellaneous:

Executes the following shell scripts:

./fplay_arthc
/system/bin/sh
cat /sys/class/android_usb/android0/idProduct
cat /sys/class/android_usb/android0/idVendor
chmod 777 <Package Folder>/files/fplay_arthc
chmod 777 <Package Folder>/oewEElfyov
dd if=<Package Folder>/files/fplay_arthc of=<Package Folder>/oewEElfyov
getprop
getprop ro.product.cpu.abi
ls -l /dev
ls -l /dev/block
ls -l /dev/block/vold
ls -l /dev/bus
ls -l /dev/bus/usb
ls -l /dev/bus/usb/001
ls -l /dev/com.android.settings.daemon
ls -l /dev/cpuctl
ls -l /dev/cpuctl/apps
ls -l /dev/cpuctl/apps/bg_non_interactive
ls -l /dev/graphics
ls -l /dev/input
ls -l /dev/log
ls -l /dev/pts
ls -l /dev/snd
ls -l /dev/socket
ps
sh
sh ./fplay_arthc

Loads the following dynamic libraries:

fshrimp
nf9bd2
shunpay

Uses the following algorithms to encrypt data:

AES
AES-CBC-PKCS5Padding

Uses the following algorithms to decrypt data:

AES
AES-CBC-PKCS5Padding
DES

Gets information about location.

Gets information about network.

Gets information about phone status (number, IMEI, etc.).

Gets information about installed apps.

Adds tasks to the system scheduler.

Displays its own windows over windows of other apps.

Gets information about sent/received SMS.

テクノロジー

用語

トレーニングコースおよび啓蒙プロジェクト

アンチウイルスに関する誤解と噂

Technical information

Curing recommendations

Free trial