Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.BackDoor.2536
- Android.Triada.467.origin
- Android.Xiny.287.origin
Загружает из Интернета следующие детектируемые угрозы:
- Android.Triada.467.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) z.c####.com:80
- TCP(HTTP/1.1) x####.g####.com:8808
- TCP(HTTP/1.1) 13.2####.16.115:8081
- TCP(HTTP/1.1) 1####.200.19.80:80
- TCP(HTTP/1.1) api.bi####.com:80
- TCP(HTTP/1.1) new.faceboo####.com:80
- TCP(HTTP/1.1) 45.79.2####.161:80
- TCP(HTTP/1.1) ggg.koapk####.com:80
- TCP(HTTP/1.1) sty.zk####.com:80
- TCP(HTTP/1.1) pi####.qq.com:80
- TCP(HTTP/1.1) www.okyes####.com:8081
- TCP(HTTP/1.1) api.f####.com:80
- TCP(HTTP/1.1) www.hao####.top:80
- TCP(HTTP/1.1) www.koapk####.com:8081
- TCP(TLS/1.0) s.t####.com:7777
Запросы DNS:
- api.bi####.com
- api.f####.com
- ggg.koapk####.com
- new.faceboo####.com
- pi####.qq.com
- s.t####.com
- sty.zk####.com
- www.hao####.top
- www.koapk####.com
- www.okyes####.com
- x####.g####.com
- x####.g####.com
- z9.c####.com
Запросы HTTP GET:
- api.f####.com/co?u=####&s=####&gaid=####&imei=####&androidId=####&at=###...
- www.hao####.top/md5.txt
- www.hao####.top/real.jar
- x####.g####.com:8808/a/e?a=####
- z.c####.com/stat.htm?id=####&cnzz_eid=####
Запросы HTTP POST:
- 13.2####.16.115:8081/sm/sr/sdl/in
- api.bi####.com/un
- ggg.koapk####.com/pgm/sr/gm/gy
- new.faceboo####.com/index.php?r=####
- pi####.qq.com/mstat/report/?index=####
- sty.zk####.com/cc/v1/api?sid=####
- www.koapk####.com:8081/sm/sr/rt/ry
- www.koapk####.com:8081/sm/sr/sdl/in
- www.okyes####.com:8081/sdk/nsd.action?b=####
- x####.g####.com:8808/a/f
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/16792074.apk
- /data/data/####/16792074.dex
- /data/data/####/20160121.xml
- /data/data/####/201905151050.apk
- /data/data/####/201905151050.dex
- /data/data/####/MobikokCommonConfig.xml
- /data/data/####/Q2hhbm5lbElES2V5MjAxNjEyMjcxODU3.xml
- /data/data/####/VirtualAPK_Settings.xml
- /data/data/####/ag.xml
- /data/data/####/as_aa.xml
- /data/data/####/bdownloaders.db
- /data/data/####/bdownloaders.db-journal
- /data/data/####/c201905151050.apk
- /data/data/####/com.android.system.ui.infos.hw014.mid.world.ro.xml
- /data/data/####/com.android.system.ui.infos.hw014_preferences.xml
- /data/data/####/dhwwwsas.data
- /data/data/####/dhwwwsas.data-journal
- /data/data/####/ja201908091350.data
- /data/data/####/libloaddex.hb.com.loaddex.psx.so
- /data/data/####/lob.xml
- /data/data/####/m2019051512.apk
- /data/data/####/m2019051512.dex
- /data/data/####/pl_config.xml
- /data/data/####/pri_tencent_analysis.db_com.android.system.ui.i...ournal
- /data/data/####/pri_tencent_analysis.db_com.android.system.ui.infos.hw014
- /data/data/####/real.dex
- /data/data/####/real.jar
- /data/data/####/rtr.db
- /data/data/####/rtr.db-journal
- /data/data/####/s2019051512.apk
- /data/data/####/s2019051512.dex
- /data/data/####/swith1014.db
- /data/data/####/swith1014.db-journal
- /data/data/####/temp.zip (deleted)
- /data/data/####/tencent_analysis.db_com.android.system.ui.infos...ournal
- /data/data/####/tencent_analysis.db_com.android.system.ui.infos.hw014
- /data/data/####/uuid_data.xml
- /data/data/####/ver.ini.xml
- /data/data/####/wdc_data.xml
- /data/data/####/webview.db
- /data/data/####/webview.db-journal
- /data/data/####/wpd.db
- /data/data/####/wpd.db-journal
- /data/data/####/wwsaweww.xml
- /data/media/####/1305471bfe9fcdcd6c281ac41dbdd4cd
- /data/media/####/29f4cfdc4245c964628eec8fad0bf239
- /data/media/####/5079f3ee7a88a830915d6c3568e3016d
- /data/media/####/ac851b72668a34f2d31999be36c55c52
- /data/media/####/hts.mark
- /data/media/####/ids.cd
- /data/media/####/mot.db
- /data/media/####/test1573369387359
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- app_process /system/bin com.android.commands.pm.Pm path <Package>
- awk {print $9}
- grep 3459
- grep 5578
- logcat -d -v time
- md5 /data/app/<Package>-1.apk
- ps
- sh
Загружает динамические библиотеки:
- MtaNativeCrash_v2
- loaddex.hb.com.loaddex
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DESede
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
- DESede
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
