Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Mobikok.1.origin
- Android.Mixi.32.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) x####.g####.com:8808
- TCP(HTTP/1.1) api.bi####.com:80
- TCP(HTTP/1.1) api.ki####.com:80
- TCP(HTTP/1.1) gp.miaoxi####.com:80
- TCP(HTTP/1.1) overt####.com:80
- TCP(HTTP/1.1) t####.bruce####.com:80
- TCP(HTTP/1.1) rt.yq####.com:80
- TCP(SSL/3.0) despite####.com:443
- TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
- TCP(TLS/1.0) despite####.com:443
Запросы DNS:
- api.bi####.com
- api.ki####.com
- despite####.com
- gp.lik####.com
- gp.miaoxi####.com
- overt####.com
- plb####.u####.com
- rt.yq####.com
- t####.bruce####.com
- u####.u####.com
- x####.g####.com
- x####.g####.com
Запросы HTTP GET:
- api.bi####.com/sdkOffer?os=####&model=####&gaid=####&imei=####&androidId...
- api.ki####.com/click?tid=####
- api.ki####.com/express?tid=####
- gp.miaoxi####.com/cr/sv/getGoFile?name=####
- gp.miaoxi####.com/cr/sv/getRltNew?eid=####&estatus=####&appkey=####&pid=...
- overt####.com/d/46801059bf4cd8312d4?sub=####&source=####
- overt####.com/d/46801059bf4cd8312d4?sub=####&source=####&code=####
- overt####.com/gw?sub=e782b5dd-60b9-413d-95f0-1fe1ec39b996&source=11244&u...
- rt.yq####.com/apk/des_v171204_libneo32.zip
- rt.yq####.com/apk/goplaysdk_v171201.dat
- rt.yq####.com/rtf/408c223fa967dc4d9933c57041b7f49f.slze
- rt.yq####.com/rtf/421d8d61ecc491beaa0499837e702272.slze
- rt.yq####.com/rtf/4303e8e0c1feae973da3a9e9f6774365.slze
- rt.yq####.com/rtf/6106c835e4d5906917109492ee4c4578.slze
- rt.yq####.com/rtf/6115c9af6b1c30917b41f5c378956f40.slze
- rt.yq####.com/rtf/617d41e9630fe337ac7a57c083c1c068.slze
- rt.yq####.com/rtf/6408c259f823e8db8ced83ef353a06b4.slze
- rt.yq####.com/rtf/806a6b70c891c315e00b5dfd26af42ed.slze
- t####.bruce####.com/ck.php?line_item_id=####&aff_sub=####&site=####
- t####.bruce####.com/ck_jump?id=####&__if=####&__type=####&__deviceid=####
- x####.g####.com:8808/a/e?a=####
Запросы HTTP POST:
- api.bi####.com/un
- gp.miaoxi####.com/cr/sv/getEPList
- x####.g####.com:8808/a/f
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.md
- /data/data/####/1526453960552_libneo32.so
- /data/data/####/168BEDA69E54D88F50049572D06C664F
- /data/data/####/3B647EFF366537AA3A74F3BDAB073A8F
- /data/data/####/408.jar
- /data/data/####/421.jar
- /data/data/####/430.jar
- /data/data/####/44DFC3DBF80FEE3266775D6E647480C5
- /data/data/####/523EF5551C86A470E96D8A453E709987
- /data/data/####/5flashlight2DB8520H46
- /data/data/####/610.jar
- /data/data/####/611.jar
- /data/data/####/617.jar
- /data/data/####/627C0A519A442005B3E3CBF6554686C2
- /data/data/####/640.jar
- /data/data/####/6B4CDF2EDFCDB10C79A417584BA94573
- /data/data/####/806.jar
- /data/data/####/C6A0656E0FC6EDC9490E61CB835FFF40
- /data/data/####/FCD78692585CA88A10C962D20149F3F5
- /data/data/####/MobikokCache_Type_2.xml
- /data/data/####/MobikokConfig_Type_2.xml
- /data/data/####/SpZvShPrefs.xml
- /data/data/####/UM_PROBE_DATA.xml
- /data/data/####/a==7.5.1&&1.0_1526453959740_envelope.log
- /data/data/####/baiya.flashlight12golden2
- /data/data/####/baiya.flashlight_preferences.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/device_gpid.xml.xml
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f_000001
- /data/data/####/gpdu
- /data/data/####/hftJcw46N.jar
- /data/data/####/i==1.2.0&&1.0_1526453959191_envelope.log
- /data/data/####/index
- /data/data/####/info.xml
- /data/data/####/ntmp20632117
- /data/data/####/plug.dataBase
- /data/data/####/plug.dataBase-journal
- /data/data/####/samsung112.jar
- /data/data/####/share.xml
- /data/data/####/test
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/us.908GhK3z1XIE6J7u3B4nRKlfEI88s
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/zxcf.jar
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.umm.dat
- /data/media/####/GPMID.bin
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- <Package Folder>/files/.play/test <Package Folder>/files/.play/ 6b5fcf8965a14a8d8cbaf3c0fc5db1f3
- <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s -h 6b5fcf8965a14a8d8cbaf3c0fc5db1f3 <Package Folder>/.syslib-
- chmod 0771 <Package Folder>/.syslib-
- chmod 770 <Package Folder>/files/.play/test
- getenforce
- ls /
- ls /sys/class/thermal
- rm -f <Package Folder>/files/hftJcw46N.dex
- rm -f <Package Folder>/files/hftJcw46N.jar
- rm -f <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s
- rm <Package Folder>/files/hftJcw46N.dex
- rm <Package Folder>/files/hftJcw46N.jar
- rm <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s
- sh -c /system/usr/toolbox rm -f <Package Folder>/files/hftJcw46N.dex > /dev/null 2>&1
- sh -c /system/usr/toolbox rm -f <Package Folder>/files/hftJcw46N.jar > /dev/null 2>&1
- sh -c /system/usr/toolbox rm -f <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s > /dev/null 2>&1
- sh -c rm <Package Folder>/files/hftJcw46N.dex > /dev/null 2>&1
- sh -c rm <Package Folder>/files/hftJcw46N.jar > /dev/null 2>&1
- sh -c rm <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s > /dev/null 2>&1
- sh -c rm -f <Package Folder>/files/hftJcw46N.dex > /dev/null 2>&1
- sh -c rm -f <Package Folder>/files/hftJcw46N.jar > /dev/null 2>&1
- sh -c rm -f <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s > /dev/null 2>&1
- sh <Package Folder>/files/.play/test <Package Folder>/files/.play/ 6b5fcf8965a14a8d8cbaf3c0fc5db1f3
- sh <Package Folder>/files/us.908GhK3z1XIE6J7u3B4nRKlfEI88s -h 6b5fcf8965a14a8d8cbaf3c0fc5db1f3 <Package Folder>/.syslib-
Загружает динамические библиотеки:
- 1526453960552_libneo32
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Отрисовывает собственные окна поверх других приложений.
