Adware.Airpush.9

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Airpush.7.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) int.d####.s####.####.cn:80
TCP(HTTP/1.1) app.w####.cn:80
TCP 1####.121.49.76:3010
UDP s.j####.cn:19000

Запросы DNS:

a####.u####.com
api.appgen####.com
app.w####.cn
int.d####.s####.####.cn
s.j####.cn

Запросы HTTP GET:

app.w####.cn/action/account/getinfo?app_id=####&udid=####&imsi=####&net=...
app.w####.cn/action/account/offerlist?app_id=####&udid=####&imsi=####&ne...
app.w####.cn/action/connect/active?app_id=####&udid=####&imsi=####&net=#...
int.d####.s####.####.cn/iplookup/iplookup.php?format=####

Запросы HTTP POST:

a####.u####.com/app_logs
app.w####.cn/action/user_info

Изменения в файловой системе:

Создает следующие файлы:

<Package Folder>/.cache/<Package>
<Package Folder>/.cache/<Package>.art
<Package Folder>/.cache/classes.dex
<Package Folder>/.cache/classes.jar
<Package Folder>/.cache/libsecexe.x86.so
<Package Folder>/.cache/libsecmain.x86.so
<Package Folder>/.md5
<Package Folder>/.sec_version
<Package Folder>/app_bangcleplugin/container.apk
<Package Folder>/app_bangcleplugin/libcpu
<Package Folder>/app_data/container.pre_global_config
<Package Folder>/databases/favorites
<Package Folder>/databases/favorites-journal
<Package Folder>/databases/rep.db-journal
<Package Folder>/databases/webview.db-journal
<Package Folder>/files/####/udclog
<Package Folder>/files/Data.Index
<Package Folder>/files/Grid.ca
<Package Folder>/files/PrefsFile
<Package Folder>/files/SatData.Index
<Package Folder>/files/Satllite.ca
<Package Folder>/files/UnPackage.dat
<Package Folder>/shared_prefs/<Package>_preferences.xml
<Package Folder>/shared_prefs/AppSettings.xml
<Package Folder>/shared_prefs/Finalize_Flag.xml
<Package Folder>/shared_prefs/ShowAdFlag.xml
<Package Folder>/shared_prefs/Start_Tag.xml
<Package Folder>/shared_prefs/cn.jpush.serverconfig.xml
<Package Folder>/shared_prefs/dataPrefs.xml
<Package Folder>/shared_prefs/device_id.xml.xml
<Package Folder>/shared_prefs/enableAdPref.xml
<Package Folder>/shared_prefs/mobclick_agent_header_<Package>.xml
<Package Folder>/shared_prefs/mobclick_agent_state_<Package>.xml
<Package Folder>/shared_prefs/sdkPrefs.xml
<Package Folder>/shared_prefs/testgpsprefs.xml
<SD-Card>/Android/####/AppPackage.dat
<SD-Card>/Android/####/CacheTime.dat
<SD-Card>/Android/####/UnPackage.dat
<SD-Card>/mockgps/data

Другие:

Запускает следующие shell-скрипты:

<Package> <Package> -1829172040 0 /data/app/<Package>-1.apk 40 <Package> 48 49
chmod 755 <Package Folder>/.cache/<Package>
chmod 755 <Package Folder>/.cache/<Package>.art
chmod 775 <Package Folder>/app_bangcleplugin/libcpu
getprop ro.product.cpu.abi
sh -c <Package Folder>/app_bangcleplugin/libcpu /storage/emulated/0/.6eebdf6c-9c44-321f-b4f3-3059d8248bfe 18 1 <Package>
sh -c chmod 775 <Package Folder>/app_bangcleplugin/libcpu

Загружает динамические библиотеки: