Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Click.311.origin
- Android.Triada.467.origin
- Android.Xiny.287.origin
Детект на основе машинного обучения.
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) www.okyes####.com:8081
- TCP(HTTP/1.1) 45.79.2####.113:80
- TCP(HTTP/1.1) api.bi####.com:80
- TCP(HTTP/1.1) www.koapk####.com:8081
- TCP(TLS/1.0) 1####.250.179.170:443
- TCP(TLS/1.0) safebro####.google####.com:443
- TCP(TLS/1.0) md####.google####.com:443
- TCP(TLS/1.2) safebro####.google####.com:443
- TCP(TLS/1.2) 1####.251.36.3:443
- TCP(TLS/1.2) 1####.217.17.46:443
- TCP(TLS/1.2) 1####.250.179.170:443
- UDP 1####.250.179.170:443
Запросы DNS:
- api.bi####.com
- api.in####.com
- md####.google####.com
- safebro####.google####.com
- www.koapk####.com
- www.okyes####.com
Запросы HTTP GET:
- api.bi####.com/co?u=####&androidId=####&s=####&at=####&imei=####&imsi=##...
Запросы HTTP POST:
- api.bi####.com/un
- www.koapk####.com:8081/sm/sr/rt/ry
- www.okyes####.com:8081/sdk/nsd.action?b=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/0286e3da-828d-444f-aa3d-3dfc7163f382.dex
- /data/data/####/0286e3da-828d-444f-aa3d-3dfc7163f382.dex.flock (deleted)
- /data/data/####/0286e3da-828d-444f-aa3d-3dfc7163f382.jar
- /data/data/####/12052b27-cff9-4593-a8e1-bdb959a9cc26.dex
- /data/data/####/12052b27-cff9-4593-a8e1-bdb959a9cc26.dex.flock (deleted)
- /data/data/####/12052b27-cff9-4593-a8e1-bdb959a9cc26.jar
- /data/data/####/20160121.xml
- /data/data/####/20160121.xml.bak
- /data/data/####/20160121.xml.bak (deleted)
- /data/data/####/201906201650.apk
- /data/data/####/201906201650.dex
- /data/data/####/201906201650.dex.flock (deleted)
- /data/data/####/258df288-9435-466a-9ca4-05fa8ac848b0.dex
- /data/data/####/258df288-9435-466a-9ca4-05fa8ac848b0.dex.flock (deleted)
- /data/data/####/258df288-9435-466a-9ca4-05fa8ac848b0.jar
- /data/data/####/301bde1d-ec5b-4a80-a287-d78af954c5af.dex
- /data/data/####/301bde1d-ec5b-4a80-a287-d78af954c5af.dex.flock (deleted)
- /data/data/####/301bde1d-ec5b-4a80-a287-d78af954c5af.jar
- /data/data/####/4ee8f1ac-8316-44f1-a0da-a1a925e239f6.dex
- /data/data/####/4ee8f1ac-8316-44f1-a0da-a1a925e239f6.dex.flock (deleted)
- /data/data/####/4ee8f1ac-8316-44f1-a0da-a1a925e239f6.jar
- /data/data/####/5bb1ed75-6f6b-4ef1-b5b3-4b1eb105d529.dex
- /data/data/####/5bb1ed75-6f6b-4ef1-b5b3-4b1eb105d529.dex.flock (deleted)
- /data/data/####/5bb1ed75-6f6b-4ef1-b5b3-4b1eb105d529.jar
- /data/data/####/93614089.apk
- /data/data/####/93614089.dex
- /data/data/####/93614089.dex.flock
- /data/data/####/959cf11d-30bf-4963-b4b8-2d88fecaf045.dex
- /data/data/####/959cf11d-30bf-4963-b4b8-2d88fecaf045.dex.flock (deleted)
- /data/data/####/959cf11d-30bf-4963-b4b8-2d88fecaf045.jar
- /data/data/####/99f7eaa0-379d-49ab-8d7e-5f7f7c7fd3ca.dex
- /data/data/####/99f7eaa0-379d-49ab-8d7e-5f7f7c7fd3ca.dex.flock (deleted)
- /data/data/####/99f7eaa0-379d-49ab-8d7e-5f7f7c7fd3ca.jar
- /data/data/####/MobikokCommonConfig.xml
- /data/data/####/MobikokCommonConfig.xml.bak
- /data/data/####/Q2hhbm5lbElES2V5MjAxNjEyMjcxODU3.xml
- /data/data/####/Web Data
- /data/data/####/Web Data-journal
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/ag.xml
- /data/data/####/bdownloaders.db
- /data/data/####/bdownloaders.db-journal
- /data/data/####/c201906201650.apk
- /data/data/####/com.loaber.lono_preferences.xml
- /data/data/####/f8edd688-6e8b-43a1-a92c-830eb85d100d.dex
- /data/data/####/f8edd688-6e8b-43a1-a92c-830eb85d100d.dex.flock (deleted)
- /data/data/####/f8edd688-6e8b-43a1-a92c-830eb85d100d.jar
- /data/data/####/metrics_guid
- /data/data/####/oa.dex
- /data/data/####/oa.dex.flock
- /data/data/####/oa.dex.flock (deleted)
- /data/data/####/onlyjsauto202106101350.data
- /data/data/####/proc_auxv
- /data/data/####/rtr.db
- /data/data/####/rtr.db-journal
- /data/data/####/swith1014.db
- /data/data/####/swith1014.db-journal
- /data/data/####/uuid_data.xml
- /data/data/####/wdc_data.xml
- /data/data/####/webview_data.lock
- /data/data/####/wpd.db
- /data/data/####/wpd.db-journal
Другие:
Запускает следующие shell-скрипты:
- app_process /system/bin com.android.commands.pm.Pm path <Package>
- awk {print $9}
- grep 3464
- grep 4088
- grep 4596
- grep 5125
- grep 5734
- grep 6211
- grep 6674
- grep 7100
- grep 7672
- logcat -d -v time
- ps
- sh
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Перехватывает уведомления.
Запрашивает разрешение на отображение системных уведомлений.
