Adware.Waps.293

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Waps.5.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) u####.umengc####.com:80
TCP(HTTP/1.1) 1####.40.181.235:3553
TCP(HTTP/1.1) u####.tv####.com:80
TCP(HTTP/1.1) 1####.40.181.218:3553
TCP(HTTP/1.1) s####.tc.qq.com:80
TCP(HTTP/1.1) tvnow####.tv####.com:80
TCP(HTTP/1.1) dl1.tv####.com:80
TCP(HTTP/1.1) p####.tc.qq.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) 1####.199.13.76:3553
TCP(HTTP/1.1) p####.tv####.com:80
TCP(HTTP/1.1) a.appj####.com:80
TCP(HTTP/1.1) v.g####.qq.com:80
TCP(HTTP/1.1) n####.tv####.com:80
TCP(HTTP/1.1) 1####.40.182.172:3553
TCP(HTTP/1.1) msg.umengc####.com:80
TCP(HTTP/1.1) epg.tv####.com:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) dl2.nag####.net:80
TCP(HTTP/1.1) api.m.ta####.com:80
TCP(HTTP/1.1) 1####.124.119.182:3553
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) cdn####.a8####.com.####.com:80
TCP(HTTP/1.1) a####.m.ta####.com:80
TCP(HTTP/1.1) oc.u####.com:80
TCP(HTTP/1.1) api.5####.com:80
TCP(HTTP/1.1) q####.tv####.com:80
TCP(HTTP/1.1) 42.1####.111.105:8085
TCP(HTTP/1.1) app.w####.cn:80
TCP(HTTP/1.1) mi.g####.qq.com:80
TCP(HTTP/1.1) 1####.40.182.164:3553
TCP(TLS/1.0) ssl.gst####.com:443
TCP(TLS/1.0) www.go####.com:443
TCP(TLS/1.0) www.gst####.com:443
TCP(TLS/1.0) co####.ad####.cn:443
TCP 1####.11.61.13:80

Запросы DNS:

125111####.cdn.myqc####.com
a####.m.ta####.com
a####.u####.com
a.appj####.com
api.5####.com
app.w####.cn
au.u####.co
au.u####.com
cdn####.a8####.com
co####.ad####.cn
dl1.tv####.com
dl2.nag####.net
epg.tv####.com
fb.u####.com
imgc####.qq.com
loc.map.b####.com
mi.g####.qq.com
msg.umengc####.com
n####.tv####.com
oc.u####.com
p####.tv####.com
p####.ugd####.com
q####.tv####.com
s####.e.qq.com
ssl.gst####.com
tvnow####.tv####.com
u####.tv####.com
u####.umengc####.com
u####.umengc####.com
v.g####.qq.com
www.go####.com
www.gst####.com

Запросы HTTP GET:

api.5####.com/2.0/open/app_url?appid=####&channel=####&sign=####
api.m.ta####.com/spdyip/?appkey=####&ttid=####&deviceId=####&imei=####&n...
app.w####.cn/action/connect/active?app_id=####&udid=####&imsi=####&net=#...
cdn####.a8####.com.####.com/campaign_nav_file_153450446842791.png
cdn####.a8####.com.####.com/campaign_nav_file_153658163578296.jpg
cdn####.a8####.com.####.com/campaign_nav_file_153658328498952.jpg
cdn####.a8####.com.####.com/campaign_nav_file_15367580116635.jpg
cdn####.a8####.com.####.com/campaign_nav_file_153683774272378.jpg
dl1.tv####.com/download?key=####
dl2.nag####.net/file_upload/hongbaoxunfu.png
epg.tv####.com/6019417309aa40cfe3eb797b53210dcc.jpg?OSSAccessKeyId=####&...
epg.tv####.com/9123e021997381e9d3554c2389dd875c.jpg?OSSAccessKeyId=####&...
epg.tv####.com/91f40c859ef98638b8d4d0b53d1027dc.jpg?OSSAccessKeyId=####&...
epg.tv####.com/9f279eec91e4005432ca64a6a25fe3e8.jpg?OSSAccessKeyId=####&...
epg.tv####.com/ac67b4af30ed334b4ed8e69cc467c3f2.jpg?OSSAccessKeyId=####&...
epg.tv####.com/d0d65524b7138b05c146a60ce6cb66ca.jpg?OSSAccessKeyId=####&...
mi.g####.qq.com/gdt_mview.fcg?datatype=####&posid=####&count=####&r=####...
n####.tv####.com/epg_tvnow_android_with_tag.php?tag=####&version=####
n####.tv####.com/list_plugin_meta.php?app_name_version=####
n####.tv####.com/navigation.php?count=####&market=####
n####.tv####.com/tv/tvnow_andriod_init.php
n####.tv####.com/tv/tvnow_andriod_lab_df_v4.php?isp=####&market=####&sou...
p####.tc.qq.com/1251115869/x86/x86_lib_20150206.zip
p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
p####.tv####.com/activate?source=####&version=####&imei=####&uid=####&fr...
q####.tv####.com/219b19b5c44687fd34e0ded29e5f0455.jpg?OSSAccessKeyId=###...
q####.tv####.com/45b8b831046a99f9150775ebfced7b7d.jpg?OSSAccessKeyId=###...
q####.tv####.com/5822d59ebb2a643c78265b368366934a.jpg?OSSAccessKeyId=###...
q####.tv####.com/8a3ee0ba7c513c3ba8f39223a82ee7d4.jpg?OSSAccessKeyId=###...
q####.tv####.com/9cdde628eccf15c36c45b20b3c0c5e31.jpg?OSSAccessKeyId=###...
q####.tv####.com/a1ccd475d83ef2480d7ec8ebbd851de0.jpg?OSSAccessKeyId=###...
q####.tv####.com/abad0b6f835cded1f5c768cd12d1d2d1.jpg?OSSAccessKeyId=###...
q####.tv####.com/c2b1402d510ecbf0c6f5d2e708dc580a.jpg?OSSAccessKeyId=###...
s####.tc.qq.com/gdt/0/DAAgoqqAUAALQABPBbklZbBQmEnmQ8.jpg/0?ck=####
tvnow####.tv####.com/campaign_nav_file_153675786691151.jpg
tvnow####.tv####.com/channel_snapshot_file_147495775848429.jpg
tvnow####.tv####.com/channel_snapshot_file_147495787408731.jpg
tvnow####.tv####.com/channel_snapshot_file_147495813613266.jpg
tvnow####.tv####.com/json/campaign_yuntu_android_a.json
tvnow####.tv####.com/json/public_notice_yuntu_android.json
tvnow####.tv####.com/plugin/1c8d26cc4ec9069f66790556549e8644
u####.tv####.com/ad/get_one?types=####&nwtime=####&sign=####&_u=####
u####.tv####.com/app_conf?nwtime=####&sign=####&app=####&keys=####&versi...
u####.tv####.com/get_conf?nwtime=####&keys=####&versionName=####&sign=##...
u####.tv####.com/get_subscriptions?version=####&imei=####&nwtime=####&so...
u####.tv####.com/init_account?version=####&imei=####&nwtime=####&source=...
u####.umengc####.com/rest/api3.do?t=####&deviceId=####&imei=####&appKey=...
u####.umengc####.com/rest/api3.do?ttid=####&t=####&deviceId=####&imei=##...
u####.umengc####.com/rest/api3.do?ttid=####&t=####&imei=####&appKey=####...

Запросы HTTP POST:

a####.m.ta####.com/rest/gc?ak=####&av=####&c=####&v=####&s=####&d=####&s...
a####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=####&...
a####.u####.com/app_logs
a.appj####.com/ad-service/ad/mark
app.w####.cn/action/user_info
loc.map.b####.com/offline_loc
loc.map.b####.com/sdk.php
msg.umengc####.com/v2/register
oc.u####.com/check_config_update
s####.e.qq.com/activate
v.g####.qq.com/gdt_stats.fcg

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/5miao-sdk.prefs.xml
/data/data/####/AGOO_CONNECT.xml
/data/data/####/AGOO_HOST.xml
/data/data/####/Alvin2.xml
/data/data/####/AppSettings.xml
/data/data/####/AppStore.xml
/data/data/####/CacheTime.dat
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/Fungolive.db
/data/data/####/Fungolive.db-journal
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/PhoneUtil.xml
/data/data/####/SDK20151701050946fo28oaa0y1m5w00AdInstl.xml
/data/data/####/ShowAdFlag.xml
/data/data/####/UTMCBase.xml
/data/data/####/UTMCConf916823314.xml
/data/data/####/UTMCLog916823314.xml
/data/data/####/agoo.pid
/data/data/####/block.jar
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/firll.dat
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_plugin.tmp.sig
/data/data/####/gdt_suid
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/libcuid.so
/data/data/####/libfungo_ffmpeg.so
/data/data/####/libfungo_player.so
/data/data/####/libfungo_render.so
/data/data/####/libfungo_util.so
/data/data/####/libfungolivee.so
/data/data/####/libjiagu.so
/data/data/####/mobclick_agent_cached_org.fungo.fungolive3640
/data/data/####/mobclick_agent_online_setting_org.fungo.fungolive.xml
/data/data/####/multidex.version.xml
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/org.fungo.fungolive.xml
/data/data/####/org.fungo.fungolive_ownad.xml
/data/data/####/org.fungo.fungolive_preferences.xml
/data/data/####/preferences.xml
/data/data/####/register.xml
/data/data/####/s_update.xml
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/umeng_feedback_conversations.xml
/data/data/####/umeng_feedback_user_info.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/umeng_socialize_qq.xml
/data/data/####/update_lc
/data/data/####/x86_so.zip
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/10efbruejd3woun8rvc6t1sxf.0.tmp
/data/media/####/1lwrwys751if597v149zm0mjb.0.tmp
/data/media/####/1ubwiigrpbpq974uhkl52cc5m.0.tmp
/data/media/####/1ytdaigtee0kxy5tphj7s2mxs.0.tmp
/data/media/####/25thnaza16ghxwcsaaatac17m.0.tmp
/data/media/####/2vlpo6s6ppaq2i553vohw10eg.0.tmp
/data/media/####/2y2tppqnro6hnh7hmrrxe1he6.0.tmp
/data/media/####/379ymzlp121askj5o2wcw87ov.0.tmp
/data/media/####/3us9rkzihlncjmjug2s0a3dmc.0.tmp
/data/media/####/40cr6kqckoll74so15djw2qxv.0.tmp
/data/media/####/4j4y79prydc1tzkm8yi3pmrwb.0.tmp
/data/media/####/4j9l2nbjvzvull19aac38wg4v.0.tmp
/data/media/####/57cz4jc120u0xzwrebhq46uj2.0.tmp
/data/media/####/5pkj1ybkfvwmy4cnvf14vfycs.0.tmp
/data/media/####/64lo2nl6y9hhg7c68e75ieqfg.0.tmp
/data/media/####/6oxkw20ekmp3bb8097xic72gh.0.tmp
/data/media/####/6u3jcji5uej4ealpt9ixy3tbq.0.tmp
/data/media/####/6wubnx40sd5elrr83dblsfn7m.0.tmp
/data/media/####/Alvin2.xml
/data/media/####/AppPacAppPackage.datkage.dat
/data/media/####/CacheTime.dat
/data/media/####/ContextData.xml
/data/media/####/UnPackage.dat
/data/media/####/android
/data/media/####/conlts.dat
/data/media/####/gsh0ny6xee1nsxe15hivjr73.0.tmp
/data/media/####/iqwiovs5sk1a6dk7eniupcza.0.tmp
/data/media/####/journal.tmp
/data/media/####/l3f21iqzr730l1bgpon31qge.0.tmp
/data/media/####/ller.dat
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/ocgovheysjgjqu5fec4r535y.0.tmp
/data/media/####/p9zdhwb78atogxi4yqmlg21m.0.tmp
/data/media/####/test.0
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -a <Package>.intent.action.COCKROACH --es cockroach cockroach-PPreotect --es pack <Package> --user 0 -f <Package Folder> -t 60 -c agoo.pid -P <Package Folder> -K 9527 -U tb_android_daemon_1.1.0 -L http://100.69.168.33/agoo/report -D {"package":"<Package>","appKey":"umeng:5218671c56240beed9029b0f","utdid":"W50P4SuVENcDAGdzx1EdC9xs","sdkVersion":"20150423"} -I 100.69.168.33 -O 80 -T -Z
chmod 500 <Package Folder>/files/DaemonServer
getprop ro.product.cpu.abi
sh

Загружает динамические библиотеки:

bspatch
fungolivec
libfungo_ffmpeg
libjiagu
locSDK6a
tnet-2.0

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS7Padding
DES-CBC-PKCS5Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-ECB-PKCS7Padding
RSA-ECB-PKCS1Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации о настроках APN.

Осуществляет доступ к информации об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней