Adware.Panda.210

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Panda.5.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) www.md####.cn:80
TCP(HTTP/1.1) scs.opensp####.cn:80
TCP(HTTP/1.1) p####.s####.com:80
TCP(HTTP/1.1) h####.opensp####.cn:80
TCP(HTTP/1.1) i####.sogo####.com.####.com:80
TCP(HTTP/1.1) f####.s####.com:80
TCP(HTTP/1.1) cdn.zs####.cn.####.cn:8080
TCP(HTTP/1.1) d####.opensp####.cn:80
TCP(TLS/1.0) a####.a####.m.####.com:443
TCP(TLS/1.0) p####.s####.com:443
TCP ope####.m.ta####.com:443

Запросы DNS:

a####.m.ta####.com
a####.u####.com
ag####.m.ta####.com
cdn.zs####.cn
d####.opensp####.cn
f####.s####.com
h####.opensp####.cn
i####.sogo####.com
p####.s####.com
pb.s####.com
scs.opensp####.cn
umen####.m.ta####.com
umengj####.m.ta####.com
www.md####.cn

Запросы HTTP GET:

cdn.zs####.cn.####.cn:8080/resource/gis/45
f####.s####.com/reventondc/appVersion.jws?type=####
h####.opensp####.cn/launchconfig?t=####&p=dGRzZ####
i####.sogo####.com.####.com/v2/thumb/resize/w/300/h/225/t/1/crop/w/300/h...

Запросы HTTP POST:

a####.u####.com/app_logs
d####.opensp####.cn/index.php/clientrequest/clientcollect/isCollect
f####.s####.com/reventondc/feed.jws
p####.s####.com/pv.gif?uigs_productid=####
scs.opensp####.cn/scs?cmd=####&logver=####&size=####
www.md####.cn/pservers/loadip

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/0193644f585d77664b463a5c1d737f0067f83eca268387d....0.tmp
/data/data/####/0b9d16e9fec3f9d3135690848b4da0796701f960985aa00....0.tmp
/data/data/####/32431a7e6245cb1abc47b1b0b4f814350c8d27c6c7d785e....0.tmp
/data/data/####/33f9079ee7fe60e9cffc33414d4fad465fdf53fe5be0f22....0.tmp
/data/data/####/5a1210607f9676a9bf72cc2c5d56e7f4736a42cd5efb24b....0.tmp
/data/data/####/ACCS_BINDumeng;596dc85c310c934051000e4c.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/SOGOUPLUS_CONFIG.xml
/data/data/####/SOGOUPLUS_CONFIG.xml.bak
/data/data/####/SOGOUPLUS_CONFIG.xml.bak (deleted)
/data/data/####/SOGOUPLUS_EXS.xml
/data/data/####/a085531cf231a8da79e924ce34861b3e194f69cce142343....0.tmp
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.iflytek.id.xml
/data/data/####/com.soghbaou.ytdsg-1.apk.classes-1822250007.zip
/data/data/####/dexlock
/data/data/####/dexstamp
/data/data/####/e0b68a1ebb24fb4c563eaf6fc4f1364ba2367c1e1d0347f....0.tmp
/data/data/####/ex1548667078312.dat
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/ifly_launch_lib.xml
/data/data/####/iflytek_state_com.soghbaou.ytdsg.xml
/data/data/####/journal.tmp
/data/data/####/message.zip
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/multidex.version.xml
/data/data/####/sogou_translate.xml
/data/data/####/translator.db-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/vjFngL.zip
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/.2F6E2C5B63F0F83B
/data/media/####/.nomedia
/data/media/####/1285c3bd09ad40589883185e9d56ceb5
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/abbb37c652474d0e9e663ab695520d78
/data/media/####/iflyworkdir_test
/data/media/####/inapp_20190128.log
/data/media/####/journal
/data/media/####/journal.tmp

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:596dc85c310c934051000e4c","utdid":"XE7IxGn/VrkDAGdzx1FoduUN","sdkVersion":"220"} -I agoodm.m.taobao.com -O 80 -T -Z
chmod 500 <Package Folder>/files/DaemonServer
sh

Загружает динамические библиотеки: