Adware.Ninebox.80

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Ninebox.4.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) nav.cn.ron####.com:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) a####.51ca####.com:80
TCP(HTTP/1.1) pi####.qq.com:80
TCP(TLS/1.0) s####.map.b####.com:443
TCP 1####.92.22.206:8618

Запросы DNS:

a####.51ca####.com
a####.u####.com
loc.map.b####.com
nav.cn.ron####.com
pi####.qq.com
s####.map.b####.com

Запросы HTTP POST:

a####.51ca####.com/LoadInitData/Load_ImpressionInfo.aspx
a####.51ca####.com/TopicDataAction.aspx
a####.u####.com/app_logs
loc.map.b####.com/offline_loc
loc.map.b####.com/sdk.php
nav.cn.ron####.com/navipush.json
pi####.qq.com/mstat/report/?index=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.mta-wxop.xml
/data/data/####/Alvin2.xml
/data/data/####/AppStore.xml
/data/data/####/ContextData.xml
/data/data/####/LocationType.xml
/data/data/####/MY_DATA.xml
/data/data/####/authStatus_com.callme.jmmepa.xml
/data/data/####/authStatus_com.callme.jmmepa;ipc.xml
/data/data/####/authStatus_com.callme.jmmepa;remote.xml
/data/data/####/authStatus_com.callme.www.callmeservice.xml
/data/data/####/authStatus_io.rong.push.xml
/data/data/####/bj.jar
/data/data/####/callme6_db
/data/data/####/callme6_db-journal
/data/data/####/callmelog.xml
/data/data/####/com.callme.jmmepa_preferences.xml
/data/data/####/daemon
/data/data/####/dij.xml
/data/data/####/dim.xml
/data/data/####/firll.dat
/data/data/####/j-id.xml
/data/data/####/jh.jar
/data/data/####/lo.jar
/data/data/####/mid.xml
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/pri_wxop_tencent_analysis.db-journal
/data/data/####/rc_navigation_info.xml
/data/data/####/rong_version-journal
/data/data/####/so.jar
/data/data/####/type.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/ver.dat
/data/data/####/wh.jar
/data/data/####/wxop_tencent_analysis.db-journal
/data/data/####/xy.xml
/data/media/####/.cuid
/data/media/####/.mid.txt
/data/media/####/12.dat
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/MID.DAT
/data/media/####/conlts.dat
/data/media/####/journal
/data/media/####/journal.tmp
/data/media/####/ller.dat
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/names.dat
/data/media/####/share.dat
/data/media/####/test.0
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
<Package Folder>/app_bin/daemon -p <Package> -s io.rong.push.CommandService -t 120
chmod 0755 <Package Folder>/app_bin/daemon
sh <Package Folder>/app_bin/daemon -p <Package> -s io.rong.push.CommandService -t 120

Загружает динамические библиотеки: