Adware.Waps.323

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Waps.5.origin

Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) 1####.55.247.239:80
TCP(HTTP/1.1) p####.tv####.com:80
TCP(HTTP/1.1) 1####.124.119.14:3553
TCP(HTTP/1.1) et2-####.wagbr####.ali####.com:80
TCP(HTTP/1.1) 1####.40.182.117:3553
TCP(HTTP/1.1) na61-####.wagbr####.ali####.####.com:80
TCP(HTTP/1.1) 1####.205.135.204:80
TCP(HTTP/1.1) tvnow####.tv####.com:80
TCP(HTTP/1.1) 1####.59.70.226:80
TCP(HTTP/1.1) 1####.205.143.143:80
TCP(HTTP/1.1) 2####.107.1.1:80
TCP(HTTP/1.1) 1####.40.182.155:3553
TCP(HTTP/1.1) ws.tv####.com:80
TCP(HTTP/1.1) na61-####.wagbr####.non####.####.com:80
TCP(HTTP/1.1) msg.umengc####.com:80
TCP(HTTP/1.1) g3.l####.cn:80
TCP(HTTP/1.1) loc.map.b####.com:80
TCP(HTTP/1.1) n####.tv####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) cdn####.a8####.com.####.com:80
TCP(HTTP/1.1) a####.m.ta####.com:80
TCP(HTTP/1.1) oc.u####.com:80
TCP(HTTP/1.1) app.w####.cn:80
TCP(HTTP/1.1) api.m.ta####.com:80
TCP(HTTP/1.1) 1####.124.119.149:3553
TCP(TLS/1.0) co####.ad####.cn:443
TCP(TLS/1.0) 1####.217.17.110:443
TCP 1####.205.203.87:80

Запросы DNS:

a####.m.ta####.com
a####.m.ta####.com
a####.u####.com
ag####.m.ta####.com
api.m.ta####.com
app.w####.cn
au.u####.co
au.u####.com
cdn####.a8####.com
co####.ad####.cn
fb.u####.com
g3.l####.cn
h####.ali####.com
loc.map.b####.com
msg.umengc####.com
n####.tv####.com
oc.u####.com
p####.tv####.com
tvnow####.tv####.com
wb.110.ta####.com
ws.tv####.com
y####.al####.com

Запросы HTTP GET:

1####.59.70.226/json/campaign_yuntu_android_a.json?version=####&platform...
1####.59.70.226/json/public_notice_yuntu_android.json?version=####&platf...
1####.59.70.226/json/rnd_user1.json?version=####&platform=####&appx=####...
a####.m.ta####.com/rest/abtest?logid=####&ak=####&av=####&c=####&v=####&...
api.m.ta####.com/rest/api3.do?t=####&deviceId=####&imei=####&appKey=####...
api.m.ta####.com/rest/api3.do?ttid=####&t=####&deviceId=####&imei=####&a...
api.m.ta####.com/rest/api3.do?ttid=####&t=####&imei=####&appKey=####&v=#...
api.m.ta####.com/spdyip/?appkey=####&ttid=####&deviceId=####&imei=####&n...
app.w####.cn/action/connect/active?app_id=####&udid=####&imsi=####&net=#...
cdn####.a8####.com.####.com/campaign_nav_file_153614792396078.jpg
cdn####.a8####.com.####.com/campaign_nav_file_153675690542346.jpg
cdn####.a8####.com.####.com/campaign_nav_file_153743297859236.jpg
g3.l####.cn/recommend?format=####
n####.tv####.com/list_plugin_meta.php?app_name_version=####&version=####...
n####.tv####.com/navigation.php?count=####&market=####&version=####&plat...
n####.tv####.com/tv/tvnow_andriod_init.php?version=####&platform=####&ap...
n####.tv####.com/tv/tvnow_andriod_lab_df_v4.php?version=####&source=####...
na61-####.wagbr####.non####.####.com/m/um.htm?c=####
na61-####.wagbr####.non####.####.com/m/um.htm?c={"ser####
p####.tv####.com/activate?source=####&imei=####&uid=####&from=####&isp=#...
tvnow####.tv####.com/campaign_nav_file_153675615272811.jpg
tvnow####.tv####.com/campaign_nav_file_153743395473513.jpg
tvnow####.tv####.com/plugin/1c8d26cc4ec9069f66790556549e8644
ws.tv####.com/websocket

Запросы HTTP POST:

a####.m.ta####.com/rest/gc?dd=####&nsgs=####&ak=####&av=####&c=####&v=##...
a####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=####&...
a####.u####.com/app_logs
app.w####.cn/action/user_info
et2-####.wagbr####.ali####.com/mobile_wap_adv/get_aid/?auth[token]=####&...
loc.map.b####.com/offline_loc
msg.umengc####.com/v2/register
na61-####.wagbr####.ali####.####.com/api/update.do
na61-####.wagbr####.non####.####.com/saveWb.json
oc.u####.com/check_config_update

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/0a231bd8575dcf72.txt
/data/data/####/1537978969101.pluginlist
/data/data/####/1d77ea041509fe06.lock
/data/data/####/49814c4f5ac2f2f9.lock
/data/data/####/AGOO_CONNECT.xml
/data/data/####/AGOO_HOST.xml
/data/data/####/ALIBABA_SDK_DYNAMIC_CONFIG.xml
/data/data/####/Alvin2.xml
/data/data/####/AppSettings.xml
/data/data/####/AppStore.xml
/data/data/####/CacheTime.dat
/data/data/####/CommonPlugin-4.1.apk
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/FeedPlugin-2.4.apk
/data/data/####/FrameworkPlugin-3.2.apk
/data/data/####/Fungolive.db
/data/data/####/Fungolive.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/OfJbkLdFbPOMbGyP.xml
/data/data/####/OfJbkLdFbPOMbGyP.xml.bak
/data/data/####/PhoneUtil.xml
/data/data/####/SDK20151701050946fo28oaa0y1m5w00AdInstl.xml
/data/data/####/SGMANAGER_DATA.xml
/data/data/####/ShowAdFlag.xml
/data/data/####/UTCommon.xml
/data/data/####/UTMCConf-1048697214.xml
/data/data/####/UTMCConf-2022611437.xml
/data/data/####/UTMCConf1390253378.xml
/data/data/####/UTMCConf641222718.xml
/data/data/####/UTMCConf916823314.xml
/data/data/####/UTMCLog-1048697214.xml
/data/data/####/UTMCLog-2022611437.xml
/data/data/####/UTMCLog1390253378.xml
/data/data/####/UTMCLog641222718.xml
/data/data/####/UTMCLog916823314.xml
/data/data/####/UmengLocalNotificationStore.db-journal
/data/data/####/agoo.pid
/data/data/####/block.jar
/data/data/####/defaultcomment.txt
/data/data/####/hack.apk
/data/data/####/imei.xml
/data/data/####/libcuid.so
/data/data/####/libfungolivee.so
/data/data/####/libjiagu.so
/data/data/####/libsecuritysdkx-3.1.27.so.tmp
/data/data/####/mobclick_agent_cached_org.fungo.fungolive3720
/data/data/####/mobclick_agent_online_setting_org.fungo.fungolive.xml
/data/data/####/multidex.version.xml
/data/data/####/ofl.config
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/onesdk_device.xml
/data/data/####/onesdk_hotpatch.xml
/data/data/####/org.fungo.fungolive.xml
/data/data/####/org.fungo.fungolive_preferences.xml
/data/data/####/preferences.xml
/data/data/####/register.xml
/data/data/####/sp.lock
/data/data/####/umeng_feedback_conversations.xml
/data/data/####/umeng_feedback_user_info.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/umeng_socialize_qq.xml
/data/data/####/urlendcode.txt
/data/data/####/webview.db-journal
/data/data/####/wv_web_info.dat
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/1h3s6i4rhpjgrq4mj9225n5do.0.tmp
/data/media/####/1w4no6h0j1nole5917pedr402.0.tmp
/data/media/####/28am6xvqdz593orbp3q62qbj5.0.tmp
/data/media/####/6c709c11d2d46a7b
/data/media/####/Alvin2.xml
/data/media/####/AppPacAppPackage.datkage.dat
/data/media/####/CacheTime.dat
/data/media/####/ContextData.xml
/data/media/####/UnPackage.dat
/data/media/####/android
/data/media/####/dd7893586a493dc3
/data/media/####/h85vpol51u437i15ic2undgp.0.tmp
/data/media/####/hid.dat
/data/media/####/journal.tmp
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/pf5xiqmq1cfibra3k0tvq5yi.0.tmp
/data/media/####/test.0
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.umeng.message.UmengService --es cockroach cockroach-PPreotect --es pack <Package> --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_android_daemon_1.1.0 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:5218671c56240beed9029b0f","utdid":"W6uyXhZ4rA0DAGdzx1Eva4NJ","sdkVersion":"20160215"} -I agoodm.m.taobao.com -O 80 -T -Z
cat /proc/cpuinfo | grep Serial
chmod 500 <Package Folder>/files/DaemonServer
chmod 755 <Package Folder>/files/libjiagu.so
getprop ro.product.cpu.abi
ls -l /system/xbin/su
sh

Загружает динамические библиотеки:

bspatch
fungolivec
libfungo_ffmpeg
libjiagu
locSDK6a
securitysdk-3.1
tnet-2.1.20

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS5Padding
DES-CBC-PKCS5Padding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байткода.

Осуществляет доступ к информации о геолокации.

Осуществляет доступ к информации о сети.

Осуществляет доступ к информации о телефоне (номер, imei и тд.).

Осуществляет доступ к информации о настроках APN.

Осуществляет доступ к информации об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней