Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Waps.5.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) o####.b####.com:80
- TCP(HTTP/1.1) ads.w####.cn:80
- TCP(HTTP/1.1) www.12####.com:80
- TCP(HTTP/1.1) im####.w####.cn.####.com:80
- TCP(HTTP/1.1) ads.m####.net:80
- TCP(HTTP/1.1) mo####.b####.com:80
- TCP(HTTP/1.1) wx.mob.q####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) app.w####.cn:80
- TCP(HTTP/1.1) api.m####.net:80
- TCP(HTTP/1.1) www.beid####.com:80
- TCP(HTTP/1.1) www.dianm####.com:80
- TCP(TLS/1.0) mobads-####.b####.com:443
Запросы DNS:
- ads.m####.net
- ads.w####.cn
- api.m####.net
- app.w####.cn
- im####.w####.cn
- loc.map.b####.com
- mo####.b####.com
- mobads-####.b####.com
- o####.b####.com
- www.12####.com
- www.beid####.com
- www.dianm####.com
- wx.mob.q####.com
Запросы HTTP GET:
- ads.m####.net/newsdk/miidi_wall_plugin_dex_2_7_8.zip
- ads.m####.net/newsdk/update.xml
- ads.w####.cn/action/miniad/ad?app_id=####&udid=####&imsi=####&net=####&b...
- app.w####.cn/action/connect/active?app_id=####&udid=####&imsi=####&net=#...
- im####.w####.cn.####.com/appfile/stuff/1d10224a038e5edf5712a9bc1e9f6232/...
- im####.w####.cn.####.com/appfile/stuff/2b9b563ff49f72b0bd09722f6f9f9c60/...
- im####.w####.cn.####.com/appfile/stuff/3b2352e7e24458f4fa27f17a86e1e30a/...
- im####.w####.cn.####.com/appfile/stuff/3e5d97b60d7104037d0b99e6a00ad74a/...
- im####.w####.cn.####.com/appfile/stuff/45ce8e131cdf8c3af17b77ce9bd0e16f/...
- im####.w####.cn.####.com/appfile/stuff/5a1ad8889e75a162b89a156158bcbc29/...
- im####.w####.cn.####.com/appfile/stuff/5d4146f964f9aae24652921480293d81/...
- im####.w####.cn.####.com/appfile/stuff/5ee3623197e100697973213dad187a08/...
- im####.w####.cn.####.com/appfile/stuff/78859789d1e159ead82f536bfeab08d0/...
- im####.w####.cn.####.com/appfile/stuff/7fe67c939d5fd7acb30f1e45ec0d6928/...
- im####.w####.cn.####.com/appfile/stuff/88adb9de2934fce8705e3df43519141a/...
- im####.w####.cn.####.com/appfile/stuff/b2d619fa19e36718e2c10a22e03a4a6b/...
- im####.w####.cn.####.com/appfile/stuff/b88ca1d56a3005839830467895d56af8/...
- im####.w####.cn.####.com/appfile/stuff/e9ff9e5bd57e5b2e3454ddee63601db6/...
- im####.w####.cn.####.com/appfile/stuff/f96e545911d70bc089b411abf2273a18/...
- mo####.b####.com/ads/ads.appcache
- mo####.b####.com/ads/css/min/main.css
- mo####.b####.com/ads/index.htm
- mo####.b####.com/ads/js/ads.trunk.js
- mo####.b####.com/ads/js/c.js
- mo####.b####.com/ads/pa/__pasys.apk
- mo####.b####.com/ads/pa/__pasys.php
- mo####.b####.com/ads/pa/__pasys_remote_banner.jar
- mo####.b####.com/ads/pa/__pasys_remote_banner.php?v=####&tp=####&os=####...
- mo####.b####.com/cpro/ui/mads.php?code2=####&b1531011874314=####
- mo####.b####.com/wall/pa/__pasys_remote_offer_wall.jar
- mo####.b####.com/wall/pa/__pasys_remote_offer_wall.php?v=####&tp=####&os...
- o####.b####.com/special/time/
- www.12####.com/
- www.beid####.com/fct/fileDownLoadAction?filePath=####
- www.dianm####.com/sdk/DianCaiWall.zip
- wx.mob.q####.com/index.php/api/sdk/clickedandroid/connect?data=iO####
Запросы HTTP POST:
- ads.m####.net/appscore4/active.bin
- ads.m####.net/appscore4/getappconf.bin
- api.m####.net/sys_sta/aa.bin
- api.m####.net/sys_sta/an.bin
- app.w####.cn/action/user_info
- loc.map.b####.com/sdk.php
- www.dianm####.com/diancai/getConfig.json
- www.dianm####.com/diancai/init.json
- www.dianm####.com/diancai/wall.do
- wx.mob.q####.com/index.php/api/sdk/clickedandroid/package?app_code=####&...
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1006665748.xml
- /data/data/####/-825373533.xml
- /data/data/####/.jg.ic
- /data/data/####/1_1.jar
- /data/data/####/2144951822
- /data/data/####/2144951822.jar
- /data/data/####/AppSettings.xml
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/CacheTime.dat
- /data/data/####/ShowAdFlag.xml
- /data/data/####/__pasys.apk.beforesign.tm
- /data/data/####/__pasys_remote_banner.jar.beforesign.tm
- /data/data/####/__pasys_remote_banner.tmp.jar
- /data/data/####/__pasys_remote_offer_wall.jar.beforesign.tm
- /data/data/####/__pasys_remote_offer_wall.tmp.jar
- /data/data/####/bmob_sp.xml
- /data/data/####/com.QblSjzq_preferences.xml
- /data/data/####/com.QblSjzqwall_app_data.xml
- /data/data/####/com.e4a.runtime.android.mainActivity.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/firll.dat
- /data/data/####/http_mobads.baidu.com_0.localstorage-journal
- /data/data/####/index
- /data/data/####/libjiagu.so
- /data/data/####/spname.xml
- /data/data/####/wall_app_data.xml
- /data/data/####/wall_clientprofile.xml
- /data/data/####/wall_sdk_data.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.cuid
- /data/media/####/.mii
- /data/media/####/.org
- /data/media/####/02b9313d25db38d27a98ab49cb131de2
- /data/media/####/0db174e566f0042df6d4e6a0bef7b194
- /data/media/####/13245f6d9d203cac520491a8aec6f84a
- /data/media/####/1fae5c14022873a3e85a1b6caa2f3c49
- /data/media/####/46438af8107a26f8f63e5964efb81612
- /data/media/####/4dd073d4b655b32b58ef48178b302727
- /data/media/####/50cbb83b917232475005fda9eee3dc15
- /data/media/####/817baff03e6bb3559b9b3ef577c53b6e
- /data/media/####/8c0bd60712c8dedf71d16b9f4167b02b
- /data/media/####/977e97767fd09498be4b7bcb61b45b9f
- /data/media/####/9e33e6d071d6797bc024fc2a8fa171df
- /data/media/####/AppPackage.dat
- /data/media/####/CacheTime.dat
- /data/media/####/UnPackage.dat
- /data/media/####/ad.dat
- /data/media/####/android
- /data/media/####/beeb38a8a7f290df57b2643f89a40ef6
- /data/media/####/conlts.dat
- /data/media/####/d8ec419691d0b780e9130ef03ce97223
- /data/media/####/de81494ac02e499dda0027c961a6976b
- /data/media/####/f675427c698ba67678fc434a62624c49
- /data/media/####/ini.dat
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/sci.vmb
- /data/media/####/wzhi.vmb
Другие:
Запускает следующие shell-скрипты:
- chmod 604 <Package Folder>/cache/plugin/1_1.jar
- chmod 705 <Package Folder>/cache/plugin
Загружает динамические библиотеки:
- libjiagu
- locSDK5
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- DES
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
