Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.467.origin
- Android.Xiny.287.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) casual####.cn:80
- TCP(HTTP/1.1) www.haoxi####.top:80
- TCP(HTTP/1.1) ff.s####.com:8080
- TCP(HTTP/1.1) www.okyes####.com:8081
- TCP(HTTP/1.1) api.f####.com:80
- TCP(HTTP/1.1) z.c####.com:80
- TCP(HTTP/1.1) 1####.237.136.195:80
- TCP(HTTP/1.1) api.bi####.com:80
- TCP(HTTP/1.1) rq.s####.com:8080
- TCP(HTTP/1.1) www.koapk####.com:8081
- TCP(HTTP/1.1) dy.kr.wildpet####.info:80
- TCP(HTTP/1.1) at.al####.com:80
- TCP(HTTP/1.1) h####.s####.com.####.com:80
- TCP(HTTP/1.1) s10.st.all.####.com:80
- TCP(HTTP/1.1) 1####.250.131.130:80
- TCP(HTTP/1.1) www.haox####.top:80
- TCP(HTTP/1.1) cdn.lk####.com:8080
- TCP(TLS/1.0) con####.face####.net:443
- TCP(TLS/1.0) stat####.face####.com:443
- TCP(TLS/1.0) www.face####.com:443
- TCP(TLS/1.0) s.m####.com:7777
Запросы DNS:
- api.bi####.com
- api.f####.com
- at.al####.com
- casual####.cn
- cdn.lk####.com
- con####.face####.net
- dy.kr.wildpet####.info
- ff.s####.com
- h####.c####.com
- h####.s####.com
- log.wildpet####.xyz
- rq.s####.com
- s.dailyre####.com
- s.m####.com
- st####.xx.f####.net
- stat####.face####.com
- www.face####.com
- www.haox####.top
- www.haoxi####.top
- www.koapk####.com
- www.okyes####.com
Запросы HTTP GET:
- api.f####.com/co?u=####&s=####&gaid=####&imei=####&androidId=####&at=###...
- at.al####.com/t/font_633469_vsn760jskh.ttf?t=####
- casual####.cn/favicon.ico
- casual####.cn/template1/detail.html?id=####&cat=####&channel_id=####
- cdn.lk####.com:8080/nicro/dfd1e46d805cf81ed5e11de1d65564f4
- ff.s####.com:8080/ttad/api/getAd/AoZxsSXUYO1c5B9tyHuXDA==
- h####.s####.com.####.com/hw08-10.y
- rq.s####.com:8080/ttad/api/jv5/AoZxsSXUYO1c5B9tyHuXDA==/c159657daa503498...
- s10.st.all.####.com/app/t2/assets/crypto-js.min.js
- s10.st.all.####.com/app/t2/jquery-2.1.1.min.js
- s10.st.all.####.com/app/t2/static/dist/css/basis.min.css
- s10.st.all.####.com/app/t2/static/dist/css/detail-v2.min.css
- s10.st.all.####.com/app/t2/static/dist/css/font_633469_vsn760jskh.css
- s10.st.all.####.com/app/t2/static/dist/images/border-img.png
- s10.st.all.####.com/app/t2/static/dist/js/flexible.min.js
- s10.st.all.####.com/app/t2/static/dist/js/util.js
- www.haox####.top/orter/md5.txt
- www.haoxi####.top/orter/real.jar
- z.c####.com/stat.htm?id=####&cnzz_eid=####
Запросы HTTP POST:
- api.bi####.com/un
- dy.kr.wildpet####.info/dykr/update
- www.koapk####.com:8081/sm/sr/rt/ry
- www.okyes####.com:8081/sdk/nsd.action?b=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/0bd1cdd4-aeff-4680-9889-b49a1d4be453.dex (deleted)
- /data/data/####/0bd1cdd4-aeff-4680-9889-b49a1d4be453.jar
- /data/data/####/20160121.xml
- /data/data/####/20160121.xml.bak
- /data/data/####/201908261150.apk
- /data/data/####/201908261150.dex
- /data/data/####/2b1e3b40-8eff-4559-ba6f-9d997cc9771b.dex (deleted)
- /data/data/####/2b1e3b40-8eff-4559-ba6f-9d997cc9771b.jar
- /data/data/####/543d42fd-27f4-4bbf-a3e6-6f4415cd45f4.jar
- /data/data/####/6ebd474d-7217-42af-a363-5d90c86f7347.dex (deleted)
- /data/data/####/6ebd474d-7217-42af-a363-5d90c86f7347.jar
- /data/data/####/8162c5a5-5b26-498a-94a4-2c0902bc936b.dex (deleted)
- /data/data/####/8162c5a5-5b26-498a-94a4-2c0902bc936b.jar
- /data/data/####/MobikokCommonConfig.xml
- /data/data/####/MobikokCommonConfig.xml.bak (deleted)
- /data/data/####/MobikokDeviceConfig.xml
- /data/data/####/Q2hhbm5lbElES2V5MjAxNjEyMjcxODU3.xml
- /data/data/####/ag.xml
- /data/data/####/bdownloaders.db
- /data/data/####/bdownloaders.db-journal
- /data/data/####/c201908261150.apk
- /data/data/####/db61e876.xml
- /data/data/####/f0e8f481-6e27-41a4-b050-2b3d769ca30c.dex (deleted)
- /data/data/####/f0e8f481-6e27-41a4-b050-2b3d769ca30c.jar
- /data/data/####/f87f8be5
- /data/data/####/f9660920.jar
- /data/data/####/libAlterHeader.so
- /data/data/####/real.dex
- /data/data/####/real.jar
- /data/data/####/rq_file.xml
- /data/data/####/rq_p.xml
- /data/data/####/sunn.dex
- /data/data/####/sunn.jar
- /data/data/####/sunn.tmp (deleted)
- /data/data/####/sunn.x
- /data/data/####/swith1014.db
- /data/data/####/swith1014.db-journal
- /data/data/####/webview.db
- /data/data/####/webview.db-journal
- /data/media/####/Config.txt
Другие:
Запускает следующие shell-скрипты:
- app_process /system/bin com.android.commands.pm.Pm path <Package>
- awk {print $9}
- grep 2215
- grep 3206
- grep 4134
- grep 4809
- grep 5292
- logcat -d -v time
- md5 /data/app/<Package>-1.apk
- ps
- sh
Загружает динамические библиотеки:
- com.poweralert
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES
- DESede
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-PKCS5Padding
- DES
- DES-CBC-PKCS5Padding
- DESede
- RSA-ECB-PKCS1Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
