Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Click.311.origin
- Android.DownLoader.906.origin
- Android.Xiny.287.origin
- Android.Xiny.5281
Загружает из Интернета следующие детектируемые угрозы:
- Android.Click.311.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 5.z####.top:80
- TCP(HTTP/1.1) 4####.56.90.98:80
- TCP(HTTP/1.1) c####.lab####.com:80
- TCP(HTTP/1.1) api.s####.com:6262
- TCP(HTTP/1.1) api.bi####.com:80
- TCP(HTTP/1.1) ggg.koapk####.com:80
- TCP(HTTP/1.1) www.shiyiwe####.com:7005
- TCP(HTTP/1.1) ks####.3q####.com:12038
- TCP(HTTP/1.1) 13.2####.16.115:8081
- TCP(HTTP/1.1) l####.tbs.qq.com:80
- TCP(TLS/1.0) datasta####.zhuifen####.top:443
Запросы DNS:
- 5.z####.top
- api.bi####.com
- api.s####.com
- c####.lab####.com
- c####.pay####.com
- datasta####.zhuifen####.top
- ggg.koapk####.com
- ks####.3q####.com
- l####.tbs.qq.com
- www.shiyiwe####.com
Запросы HTTP GET:
- 5.z####.top/thirdsdk/flowcashpack/11/m06151734.jar
- api.s####.com:6262/sdk-logs/sdk-logs-control/logs/control?appId=####&off...
- c####.lab####.com/upload/ssp/DynServiceConfig_v1.0.0_offline.json
- c####.lab####.com/upload/ssp/SSP-SDK-ZV-COMM-v3.0.46-WG-202005220959_dex...
Запросы HTTP POST:
- api.bi####.com/un
- api.s####.com:6262/sdk_logs/sdk-err-log/add
- api.s####.com:6262/sdk_logs/sdk-online-log/add
- ggg.koapk####.com/pgm/sr/gm/gy
- ks####.3q####.com:12038/neisdop/
- l####.tbs.qq.com/ajax?c=####&k=####
- www.shiyiwe####.com:7005/advsApi/getNewCfg
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.t
- /data/data/####/1.jar
- /data/data/####/20160121.xml
- /data/data/####/201905151050.apk
- /data/data/####/201905151050.dex
- /data/data/####/2d5dfe0e959511ea9799506b4b12c760b90b04be5561ceb...48.dex
- /data/data/####/2d5dfe0e959511ea9799506b4b12c760b90b04be5561ceb...rcache
- /data/data/####/4cfdd9d73f82fa12df3c9a76704cb8de.xml
- /data/data/####/5328655.dex
- /data/data/####/5328655.jar
- /data/data/####/6616f972f9884e301cd740268cfdf343
- /data/data/####/DynConfig.xml
- /data/data/####/MobikokCommonConfig.xml
- /data/data/####/MobikokDeviceConfig.xml
- /data/data/####/Q2hhbm5lbElES2V5MjAxNjEyMjcxODU3.xml
- /data/data/####/VirtualAPK_Settings.xml
- /data/data/####/_p.xml
- /data/data/####/_sh.xml
- /data/data/####/ag.xml
- /data/data/####/bdownloaders.db
- /data/data/####/bdownloaders.db-journal
- /data/data/####/c201905151050.apk
- /data/data/####/com.onw.cux.tw_preferences.xml
- /data/data/####/config.xml
- /data/data/####/core_info
- /data/data/####/data.dex
- /data/data/####/data.jar
- /data/data/####/download_upload
- /data/data/####/hk.xml
- /data/data/####/iuy_data.xml
- /data/data/####/libloaddex.hb.com.loaddex.psx.so
- /data/data/####/libnav-6mdw2z.so
- /data/data/####/lob.xml
- /data/data/####/m2019083117.apk
- /data/data/####/m2019083117.dex
- /data/data/####/mobikokdload.db
- /data/data/####/mobikokdload.db-journal
- /data/data/####/s2019083117.apk
- /data/data/####/s2019083117.dex
- /data/data/####/sEASgnB.dex (deleted)
- /data/data/####/sEASgnB.jar
- /data/data/####/swith1014.db
- /data/data/####/swith1014.db-journal
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbs_download_config.xml.bak
- /data/data/####/tbs_download_stat.xml
- /data/data/####/tbs_pv_config
- /data/data/####/tbscoreinstall.txt
- /data/data/####/tbslock.txt
- /data/data/####/temp.zip (deleted)
- /data/data/####/uuid_data.xml
- /data/data/####/ver.ini.xml
- /data/data/####/webview.db
- /data/data/####/webview.db-journal
- /data/media/####/.device
- /data/media/####/.dw
- /data/media/####/.nomedia
- /data/media/####/Config.txt
- /data/media/####/_pn
- /data/media/####/_shn
- /data/media/####/mobikokCacheFileInfos
- /data/media/####/tbslog.txt
Другие:
Запускает следующие shell-скрипты:
- app_process /system/bin com.android.commands.pm.Pm path <Package>
- awk {print $9}
- cat /sys/class/net/wlan0/address
- getprop
- getprop ro.product.cpu.abi
- grep 2930
- logcat -d -v time
- ps
- sh
Загружает динамические библиотеки:
- instabc
- loaddex.hb.com.loaddex
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- RSA-ECB-NoPadding
- RSA-None-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- RSA-None-PKCS1Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
