Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.MobiDash.16.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) api.apk.v-####.mobi:80
- TCP(HTTP/1.1) res.apk.vid####.####.net:80
- TCP(HTTP/1.1) sdkupg####.ins####.u####.com:80
- TCP(HTTP/1.1) ya####.online:80
- TCP(HTTP/1.1) gj.ap####.uc.cn:80
- TCP(HTTP/1.1) ak.icec####.org:80
- TCP(HTTP/1.1) ins####.u####.com:80
- TCP(TLS/1.0) mobilep####.pass####.ya####.net:443
- TCP(TLS/1.0) api.face####.com:443
- TCP(TLS/1.0) re####.appmet####.ya####.net:443
- TCP(TLS/1.0) 1####.217.168.238:443
- TCP(TLS/1.0) sta####.mo####.ya####.net:443
Запросы DNS:
- ak.icec####.org
- api.apk.v-####.mobi
- certifi####.mo####.ya####.net
- g####.face####.com
- gj.ap####.uc.cn
- ins####.u####.com
- re####.appmet####.ya####.net
- res.apk.vid####.net
- sdkupg####.ins####.u####.com
- sta####.mo####.ya####.net
- ya####.online
Запросы HTTP GET:
- ak.icec####.org/rule?platform=####&os_version=####&package_name=####&app...
- res.apk.vid####.####.net/downloadso/libcrashsdk.so
Запросы HTTP POST:
- api.apk.v-####.mobi/check_app_update
- api.apk.v-####.mobi/config
- api.apk.v-####.mobi/gcm_reg_add
- api.apk.v-####.mobi/pingv2
- api.apk.v-####.mobi/svc_r/difoil_cmsflow/welcome_flash/getlist
- gj.ap####.uc.cn/collect?enc=####&zip=####&pf=####&pn=####&ve=####&vc=###...
- gj.ap####.uc.cn/collect?zip=####&app=####&uuid=####&vno=####&chk=####
- ins####.u####.com/sdkserver/fetch_config
- sdkupg####.ins####.u####.com/sdkserver/getupgradesdk
- ya####.online/
Изменения в файловой системе:
Создает следующие файлы:
- /data/anr/traces.txt
- /data/data/####/Alvin2.xml
- /data/data/####/Alvin2.xml.bak
- /data/data/####/AppDcom.nemo.vidmate.xml
- /data/data/####/ContextData.xml
- /data/data/####/DownloadGuideAdCache.db
- /data/data/####/ECBMD-2289-1550210284878
- /data/data/####/ECBMD-2289-1550210285313
- /data/data/####/ECPMD-2289-1550210284961
- /data/data/####/GlobalConfigDcom.nemo.vidmate.xml
- /data/data/####/HomeGuideAdCache.db
- /data/data/####/PBUD-2289-1550210283106
- /data/data/####/SMDcom.nemo.vidmate.xml
- /data/data/####/UnionDcom.nemo.vidmate.xml
- /data/data/####/VidMate.xml
- /data/data/####/VidMate.xml (deleted)
- /data/data/####/VidMate.xml.bak
- /data/data/####/VideoDetailGuideAdCache.db
- /data/data/####/adn_keep_alive.xml
- /data/data/####/ak.salvia.sdk.xml
- /data/data/####/arrkii.native.sdk.db-journal
- /data/data/####/com.facebook.internal.preferences.APP_SETTINGS.xml
- /data/data/####/com.google.android.gcm.xml
- /data/data/####/com.google.android.gms.appid-no-backup
- /data/data/####/com.google.android.gms.appid.xml
- /data/data/####/com.google.android.gms.measurement.prefs.xml
- /data/data/####/com.nemo.vidmate-1.apk.classes-1057489805.zip
- /data/data/####/com.nemo.vidmate-1.apk.classes1197715643.zip
- /data/data/####/com.nemo.vidmate-1.apk.classes3.zip
- /data/data/####/com.nemo.vidmate_boundentrypreferences.xml
- /data/data/####/com.nemo.vidmate_migrationpreferences.xml
- /data/data/####/com.nemo.vidmate_preferences.xml
- /data/data/####/com.nemo.vidmate_servertimeoffset.xml
- /data/data/####/com.nemo.vidmate_startupserviceinfopreferences.xml
- /data/data/####/com.yandex.metrica.configuration.xml
- /data/data/####/credentials.dat
- /data/data/####/db_metrica_com.nemo.vidmate_13-journal
- /data/data/####/db_metrica_com.nemo.vidmate_20799a27-fa80-4b36-...ournal
- /data/data/####/db_metrica_com.nemo.vidmate_ac7e6533-a3e5-4d83-...ournal
- /data/data/####/google_app_measurement_local.db
- /data/data/####/google_app_measurement_local.db-journal
- /data/data/####/metrica_client_data.db
- /data/data/####/metrica_client_data.db-journal
- /data/data/####/metrica_client_data.db.lock
- /data/data/####/metrica_data.db-journal
- /data/data/####/multidex.version.xml
- /data/data/####/p.l
- /data/data/####/p_vidmate.xml
- /data/data/####/p_vidmate_new.sp
- /data/data/####/p_vidmate_new.sp.bak
- /data/data/####/pushmessage-journal
- /data/data/####/sdk.bk
- /data/data/####/sdk.jar
- /data/data/####/sdk_pref.xml
- /data/data/####/sp_replace_flag.sp
- /data/data/####/sp_replace_flag.sp.bak
- /data/data/####/unique
- /data/data/####/ver
- /data/data/####/vidmate.dat.jar
- /data/data/####/vzfEYIvGm
- /data/media/####/1550210309042
- /data/media/####/Alvin2.xml
- /data/media/####/Alvin2.xml (deleted)
- /data/media/####/ContextData.xml
- /data/media/####/task-journal
- /data/media/####/torrents.db-journal
Другие:
Запускает следующие shell-скрипты:
- cat /sys/class/net/wlan0/address
Загружает динамические библиотеки:
- daemon
- m9secure
- uninstall
- vzfEYIvGm
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
Использует права администратора.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об активных администраторах устройства.
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
