SHA1
- cc832d04b6b7fd5f3fcf7265fc2f091a426a3351 – пакет com.adups.fota
- 2f01be010f04cd7f7744932b1d30cfbfe000ad09 – пакет com.adups.fota.sysoper
Android.Spy.332.origin представляет собой приложение, выполняющее обновление прошивок мобильных Android-устройств по воздуху (Over The Air или сокращенно OTA), благодаря чему имеет расширенные системные полномочия и функции. Оно способно незаметно скачивать, устанавливать и удалять ПО, выполнять shell-команды, передавать на удаленный сервер информацию об объеме свободного пространства на внутреннем и внешнем запоминающем устройстве смартфона или планшета, а также сведения об установленных приложениях. Изначально эта программа не была вредоносной, но одна из ее последних версий, которая была предустановлена на некоторых смартфонах (например, BLU R1 HD), получила троянский функционал. Он реализован в программных пакетах com.adups.fota (основной пакет) и com.adups.fota.sysoper (вспомогательный пакет), работающих совместно.
Android.Spy.332.origin каждые 72 часа передает на управляющий сервер следующие данные:
- getSmsInPhone – информация об имеющихся СМС-сообщениях;
- getCallLogList – информация о совершенных телефонных звонках;
- getMessageData – содержимое СМС-сообщений;
- getCellIDInfo (getBaseStationId/getCid) – сведения об используемой базовой станции мобильного оператора;
- mapNetworkTypeToType ("UNKNOWN";"GPRS";"EDGE"; "UMTS";"CDMA"; "EVDO_0"; "EVDO_A";"1xRTT"; "HSDPA";"HSUPA";"HSPA";"IDEN"; "EVDO_B"; "LTE"; "EHRPD";"HSPAP";"WIFI") – информация о типе используемой мобильной сети;
- getRomMemroy – информация об объеме встроенной памяти;
- getRamUsedDetail – информация об объеме используемой оперативной памяти;
- getSDCardMemorySize – информация об объеме памяти SD-карты;
- isRootSystem – информация о наличии в системе root-доступа;
- querySysAppInfo – информация об установленных системных приложениях;
- queryDataAppInfo – информация об установленных пользовательских приложениях;
- getRunningProcess – информация об активных процессах;
- getDfBrowser – информация об используемом по умолчанию веб-браузере;
- getDfLauncher – информация об используемой по умолчанию графической оболочке;
- hasShortCut – информация обо всех имеющихся ярлыках приложений на главном экране.
Для сбора сведений об СМС-сообщениях и телефонных звонках основной модуль Android.Spy.332.origin обращается к вспомогательному компоненту, в котором задействует поставщик контента (Content Provider) под названием com.ad.dinfo и с его помощью получает доступ к content://com.ad.dinfo/msg. Задействуя этот поставщик, основной модуль троянца в действительности получает доступ к списку СМС-сообщений (content://sms). Аналогичным образом вредоносная программа получает доступ к истории звонков.
Вся собранная троянцем информация сохраняется в базы данных формата SQLite, которые затем преобразуются в JSON, сохраняются в один каталог и отправляются на удаленный сервер в zip-архиве. При этом передаваемые данные шифруются: сначала с использованием Base64, а затем DES-ключом.
Троянец отправляет данные в следующем виде:
- DcMobileStatus.json – {cell, apn, romused, ramused, builtinsdused, scused, root, dctime} – общая техническая информация о мобильном устройстве;
- DcApp.json – {systemapps, dataapps, appused, dflauncher, dfbrowser, desktopshortcut, dctime} – информация об установленных приложениях;
- DcTellMessage.json – {tells, messages, dctime} – информация о телефонных звонках и список номеров, с которыми велась СМС-переписка;
- DcAppOp.json – {packagename, op, optime} – информация об истории установки и удаления приложений;
- dc_app_flow.json – {appname, pkg_name, flow, dctime} – объем данных, переданных и полученных приложениями с момента загрузки системы;
- dc_msg_key.json – {tell, md5, msg_type, dc_type, keyword, msg_date, dc_date} – информация об СМС-сообщениях, включая их содержимое;
- DcRootInfo.json – {bin, xbin} – информация обо всех файлах, расположенных в системных каталогах system/bin и system/xbin.
