Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.MobiDash.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) cou####.y####.ru:80
- TCP(HTTP/1.1) d####.adx.com.ru:80
- TCP(HTTP/1.1) www.go####.com:80
- TCP(HTTP/1.1) s####.mo####.ru:80
- TCP(HTTP/1.1) fran####.net:80
- TCP(HTTP/1.1) t.tra####.com:80
- TCP(HTTP/1.1) uuidk####.net:80
- TCP(HTTP/1.1) 3qpxx98####.barrows####.bid:80
- TCP(HTTP/1.1) bashi####.biz:80
- TCP(HTTP/1.1) s####.upr####.com:80
- TCP(HTTP/1.1) cm.target####.info:80
- TCP(HTTP/1.1) cou####.lentain####.com:80
- TCP(HTTP/1.1) marke####.com:80
- TCP(HTTP/1.1) jsc.marke####.com:80
- TCP(HTTP/1.1) v####.com:80
- TCP(HTTP/1.1) serv####.marke####.com:80
- TCP(HTTP/1.1) octoma####.com:80
- TCP(HTTP/1.1) kadam-####.ruta####.ru:80
- TCP(HTTP/1.1) qui####.net:80
- TCP(HTTP/1.1) t####.recre####.ru:80
- TCP(HTTP/1.1) ssp.adr####.ru:80
- TCP(HTTP/1.1) adser####.com:80
- TCP(HTTP/1.1) www.l####.ru:80
- TCP(HTTP/1.1) trans####.go####.com:80
- TCP(HTTP/1.1) h####.biz:80
- TCP(HTTP/1.1) buckr####.link:80
- TCP(HTTP/1.1) rtb.k####.ru:80
- TCP(HTTP/1.1) vogo####.ru:80
- TCP(HTTP/1.1) cm.marke####.com:80
- TCP(TLS/1.0) cou####.ram####.ru:443
- TCP(TLS/1.0) i.bi####.net:443
- TCP(TLS/1.0) t####.marke####.com:443
- TCP(TLS/1.0) pp.use####.com:443
- TCP(TLS/1.0) top100-####.ram####.ru:443
- TCP(TLS/1.0) c####.cloudf####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) jsc.marke####.com:443
- TCP(TLS/1.0) syn####.exe.bid:443
- TCP(TLS/1.0) v####.com:443
- TCP(TLS/1.0) mg.marke####.com:443
- TCP(TLS/1.0) marke####.com:443
- TCP(TLS/1.0) cm.g.doublec####.net:443
- TCP(TLS/1.0) f####.google####.com:443
- TCP(TLS/1.0) www.megas####.ru:443
- TCP(TLS/1.0) c####.jq####.com:443
- TCP(TLS/1.0) cdn.m####.com:443
- TCP(TLS/1.0) topb####.marke####.com:443
Запросы DNS:
- 3qpxx98####.barrows####.bid
- 56qkn5t####.barrows####.bid
- adser####.com
- bashi####.biz
- buckr####.link
- c####.cloudf####.com
- c####.jq####.com
- c.marke####.com
- cdn.m####.com
- cm.g.doublec####.net
- cm.marke####.com
- cm.target####.info
- cou####.lentain####.com
- cou####.ram####.ru
- cou####.tov####.com
- cou####.y####.ru
- d####.adx.com.ru
- d.uuidk####.net
- f####.google####.com
- fran####.net
- h####.biz
- i####.marke####.com
- i####.marke####.com
- i.bi####.net
- img.marke####.com
- jsc.marke####.com
- kadam-####.ruta####.ru
- l####.ru
- marke####.com
- mg.marke####.com
- octoma####.com
- pp.use####.com
- qui####.net
- rtb.k####.ru
- s####.adsn####.ru
- s####.mo####.ru
- s####.upr####.com
- s.uuidk####.net
- serv####.marke####.com
- ssp.adr####.ru
- syn####.exe.bid
- t####.marke####.com
- t####.recre####.ru
- t.tra####.com
- top100-####.ram####.ru
- topb####.marke####.com
- trans####.go####.com
- trans####.google####.com
- uuidk####.net
- v####.com
- vogo####.ru
- vogo####.ru
- www.go####.com
- www.l####.ru
- www.marke####.com
- www.megas####.ru
Запросы HTTP GET:
- 3qpxx98####.barrows####.bid/r/?auid=####&p=####
- adser####.com/r/?auid=####&p=####
- bashi####.biz/r/?auid=####&p=####
- buckr####.link/r/?auid=####&p=####
- cm.marke####.com/c?pv=####&f=####&t=####&v=####&fw=####&v=####&v=####&v=...
- cm.marke####.com/i.js
- cm.target####.info/kadam?ssp_id=####
- cou####.lentain####.com/setmuidn/images/mui.gif?muidn=####
- cou####.y####.ru/hit?q;rhttp####
- cou####.y####.ru/hit?rhttp:/####
- d####.adx.com.ru/marketgid?uid=####
- d####.adx.com.ru/marketgid?uid=####&check=####&r=####
- fran####.net/r/?auid=####&p=####
- h####.biz/r/?auid=####&p=####
- jsc.marke####.com/54595/54595746_200x200.jpg
- jsc.marke####.com/55193/55193892_200x200.jpg
- jsc.marke####.com/55194/55194009_200x200.jpg
- jsc.marke####.com/55448/55448856_200x200.jpg
- jsc.marke####.com/l/e/lenov.ru.619562.js?t=####
- kadam-####.ruta####.ru/sync
- marke####.com/
- octoma####.com/cm.png?uid=####&network=####
- qui####.net/point/?method=####&type=####&id=####&key=####&extUid=####
- qui####.net/r/?auid=####&p=####
- rtb.k####.ru/get_data?blockID=####&v=####&page=####&domain=####&noFlash=...
- s####.mo####.ru/?src=####&s_data=####
- s####.mo####.ru/?src=####&uid=####
- s####.upr####.com/google/sync
- s####.upr####.com/image?source=####&id=####
- s####.upr####.com/image?source=####&id=####&session_tpt=####
- serv####.marke####.com/619562/1?w=####&h=####&cols=####&pv=####&cbuster=...
- ssp.adr####.ru/cgi-bin/dmp2.cgi?pub_id=####
- t####.recre####.ru/mtch.php?nid=####&psid=####
- t.tra####.com/images/1px-matching-kadam.gif?id=####
- trans####.go####.com/translate_a/element.js?cb=####
- uuidk####.net/match.html
- uuidk####.net/match/-1/BhOLljuxca8mbW2yxOKh
- uuidk####.net/match/56/24956883195
- uuidk####.net/match/72/jMQhl3enz_2Z
- uuidk####.net/soc.html
- uuidk####.net/uniqsinc.min.html
- uuidk####.net/unique2
- v####.com/js/api/openapi.js?7####
- vogo####.ru/0484236900633a0023e27579dc768e78.js
- vogo####.ru/b25af7137840f94f47b81298ddcca56c.js
- vogo####.ru/kadam.base.min.js?5####
- www.go####.com/complete/search?hl=####&client=####&q=####
- www.l####.ru/
- www.l####.ru/engine/classes/min/index.php?charset=####&g=####&1####
- www.l####.ru/engine/modules/light_chat/assets/libs.js
- www.l####.ru/engine/modules/light_chat/assets/styles.css
- www.l####.ru/engine/modules/light_chat/smilies/1/29.gif
- www.l####.ru/engine/modules/light_chat/smilies/1/31.gif
- www.l####.ru/templates/lenov/css/styleorder.css
- www.l####.ru/templates/lenov/dleimages/noavatar.png
- www.l####.ru/templates/lenov/images/bg.jpg
- www.l####.ru/templates/lenov/images/favicon.png
- www.l####.ru/templates/lenov/images/gplus.png
- www.l####.ru/templates/lenov/images/logo-black.png
- www.l####.ru/templates/lenov/images/red_micro_carbon.png
- www.l####.ru/templates/lenov/images/youtube.png
- www.l####.ru/templates/lenov/js/bootstrap.min.js
- www.l####.ru/templates/lenov/js/libs.js
- www.l####.ru/templates/lenov/style/bootstrap.min.css
- www.l####.ru/templates/lenov/style/engine.css
- www.l####.ru/templates/lenov/style/styles.css
- www.l####.ru/uploads/fotos/foto_1.gif
- www.l####.ru/uploads/fotos/foto_11107.jpg
- www.l####.ru/uploads/fotos/foto_14711.jpg
- www.l####.ru/uploads/fotos/foto_18802.jpg
- www.l####.ru/uploads/fotos/foto_20926.jpg
- www.l####.ru/uploads/fotos/foto_21500.jpg
- www.l####.ru/uploads/fotos/foto_23325.jpg
- www.l####.ru/uploads/fotos/foto_23497.jpg
- www.l####.ru/uploads/fotos/foto_23922.jpg
- www.l####.ru/uploads/fotos/foto_23952.jpg
- www.l####.ru/uploads/fotos/foto_24073.jpg
- www.l####.ru/uploads/fotos/foto_24134.jpg
- www.l####.ru/uploads/fotos/foto_24151.jpg
- www.l####.ru/uploads/fotos/foto_24177.jpg
- www.l####.ru/uploads/fotos/foto_24391.jpg
- www.l####.ru/uploads/fotos/foto_24418.jpg
- www.l####.ru/uploads/fotos/foto_24429.jpg
- www.l####.ru/uploads/fotos/foto_24434.jpg
- www.l####.ru/uploads/posts/2013-10/thumbs/1380607483_0.jpg
- www.l####.ru/uploads/posts/2013-10/thumbs/1381509808_0.jpg
- www.l####.ru/uploads/posts/2015-10/thumbs/1444325017_0.jpg
- www.l####.ru/uploads/posts/2015-11/thumbs/1448303054_1.jpg
- www.l####.ru/uploads/posts/2016-03/thumbs/1457774201_1.jpg
- www.l####.ru/uploads/posts/2017-03/thumbs/1488774037_n1.jpg
- www.l####.ru/uploads/posts/2017-10/thumbs/1508811417_n1.jpg
- www.l####.ru/uploads/posts/2017-12/1514134820_0.jpg
- www.l####.ru/uploads/posts/2017-12/thumbs/1514177087_n1.jpg
- www.l####.ru/uploads/posts/2017-12/thumbs/1514177610_n1.jpg
- www.l####.ru/uploads/posts/2017-12/thumbs/1514178137_n0.jpg
- www.l####.ru/uploads/posts/2017-12/thumbs/1514178643_n1.jpg
- www.l####.ru/uploads/posts/2017-12/thumbs/1514179330_n1.jpg
- www.l####.ru/uploads/posts/2017-12/thumbs/1514179812_n1.jpg
- www.l####.ru/uploads/posts/2017-12/thumbs/1514181482_n2.jpg
- www.l####.ru/uploads/posts/2017-12/thumbs/1514181938_n1.jpg
- www.l####.ru/uploads/posts/2017-12/thumbs/1514182581_n1.jpg
- www.l####.ru/uploads/posts/2017-12/thumbs/1514183161_n1.jpg
Запросы HTTP POST:
- rtb.k####.ru/get_data?blockID=####&post=####&v=####&page=####&domain=###...
- www.l####.ru/engine/modules/light_chat/ajax/index.php
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/app_app_apk/RBIBaseball2017.dat.jar
- <Package Folder>/code_cache/####/MultiDex.lock
- <Package Folder>/code_cache/####/tmp-<Package>-1.apk.classes60219346.zip
- <Package Folder>/files/wErHDDfbQ
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/multidex.version.xml
Другие:
Загружает динамические библиотеки:
- main
- wErHDDfbQ
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
