Adware.Egame.346

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Egame.1.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) u####.umengc####.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) msg.umengc####.com:80
TCP(HTTP/1.1) api.s####.mob.com:80
TCP(HTTP/1.1) api.m.ta####.com:80
TCP(HTTP/1.1) a####.m.ta####.com:80
TCP 1####.205.36.17:80

Запросы DNS:

a####.exc.mob.com
a####.m.ta####.com
api.s####.mob.com
msg.umengc####.com
u####.umengc####.com
u####.umengc####.com

Запросы HTTP GET:

a####.m.ta####.com/rest/abtest?ak=####&av=####&c=####&v=####&s=####&d=##...
api.m.ta####.com/spdyip/?appkey=####&ttid=####&deviceId=####&imei=####&n...
u####.umengc####.com/rest/api3.do?t=####&deviceId=####&imei=####&appKey=...
u####.umengc####.com/rest/api3.do?ttid=####&t=####&deviceId=####&imei=##...
u####.umengc####.com/rest/api3.do?ttid=####&t=####&imei=####&appKey=####...

Запросы HTTP POST:

a####.exc.mob.com/errconf
a####.exc.mob.com/errlog
a####.m.ta####.com/rest/gc?ak=####&av=####&c=####&v=####&s=####&d=####&s...
a####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=####&...
api.s####.mob.com/conf4
api.s####.mob.com/conn
api.s####.mob.com/snsconf
msg.umengc####.com/v2/register

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jiagu.ls
/data/data/####/.lock
/data/data/####/;account_file.xml
/data/data/####/AGOO_CONNECT.xml
/data/data/####/AGOO_HOST.xml
/data/data/####/Alvin2.xml
/data/data/####/AppStore.xml
/data/data/####/AppStore.xml.bak
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/EGAME_SDK.dat
/data/data/####/EGAME_SDK.jar
/data/data/####/MsgLogStore.db
/data/data/####/MsgLogStore.db-journal
/data/data/####/PhoneUtil.xml
/data/data/####/PhoneUtil.xml.bak (deleted)
/data/data/####/ThrowalbeLog.db
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/UTMCBase.xml
/data/data/####/UTMCConf1397604906.xml
/data/data/####/UTMCLog1397604906.xml
/data/data/####/UmengLocalNotificationStore.db
/data/data/####/UmengLocalNotificationStore.db-journal
/data/data/####/agoo.pid
/data/data/####/egame_s-1114561361.tmp
/data/data/####/egame_s-1586960905.tmp
/data/data/####/egame_s-1837216706.tmp
/data/data/####/egame_s-2074536034.tmp
/data/data/####/egame_sdk_1.png
/data/data/####/egame_sdk_16.png
/data/data/####/egame_sdk_25.png
/data/data/####/egame_sdk_4.png
/data/data/####/egame_sdk_9.png
/data/data/####/egame_sdk_bg.9.png
/data/data/####/egame_sdk_bg_pay.9.png
/data/data/####/egame_sdk_bg_ticket_left.9.png
/data/data/####/egame_sdk_bg_ticket_right.9.png
/data/data/####/egame_sdk_btn_back_normal.9.png
/data/data/####/egame_sdk_btn_back_pressed.9.png
/data/data/####/egame_sdk_btn_green_normal.9.png
/data/data/####/egame_sdk_btn_green_pressed.9.png
/data/data/####/egame_sdk_egame_logo.png
/data/data/####/egame_sdk_game_icon_default.png
/data/data/####/egame_sdk_icon_back.png
/data/data/####/egame_sdk_icon_close.png
/data/data/####/egame_sdk_icon_loading.png
/data/data/####/egame_sdk_icon_pack_up.png
/data/data/####/egame_sdk_icon_password.png
/data/data/####/egame_sdk_icon_rmb.png
/data/data/####/egame_sdk_icon_selected.png
/data/data/####/egame_sdk_icon_spread_out.png
/data/data/####/egame_sdk_icon_ticket_more.png
/data/data/####/egame_sdk_icon_unselected.png
/data/data/####/egame_sdk_input_box.9.png
/data/data/####/egame_sdk_logo_aibei.png
/data/data/####/egame_sdk_logo_huafei.png
/data/data/####/egame_sdk_logo_jdzhifu.png
/data/data/####/egame_temp.jar
/data/data/####/egame_temp_.jar
/data/data/####/libegamepay_private_dr2.so
/data/data/####/libjiagu.so
/data/data/####/mob_sdk_exception_1.xml
/data/data/####/pref_file.xml
/data/data/####/s_update.xml
/data/data/####/share_sdk_1.xml
/data/data/####/td_pefercen_profile.xml
/data/data/####/umeng_message_state.xml
/data/media/####/.dk
/data/media/####/.lock
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/com.ltayx.pay.ltplugin.apk
/data/media/####/rtk.apk

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -a <Package>.intent.action.COCKROACH --es cockroach cockroach-PPreotect --es pack <Package> --user 0 -f <Package Folder> -t 60 -c agoo.pid -P <Package Folder> -K 9527 -U tb_android_daemon_1.1.0 -L http://100.69.168.33/agoo/report -D {"package":"<Package>","appKey":"umeng:55ed1c40e0f55a125a000e53","utdid":"XF8aq78V+6UDAGdzx1F2Hh+j","sdkVersion":"20150515"} -I 100.69.168.33 -O 80 -T -Z
chmod 500 <Package Folder>/files/DaemonServer
sh

Загружает динамические библиотеки: