Adware.Panda.221

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Panda.5.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) d####.d####.mob.com:80
TCP(HTTP/1.1) req####.a####.cn:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) c.d####.mob.com:80
TCP(HTTP/1.1) m.d####.mob.com:80
TCP(HTTP/1.1) cd####.md####.cn.####.cn:80
TCP(HTTP/1.1) api.s####.mob.com:80
TCP(HTTP/1.1) cl####.v4.luo####.com:80
TCP(HTTP/1.1) s####.api.luo####.com:80
TCP(TLS/1.0) av1.x####.com:443
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) rep####.crashly####.com:443
TCP(TLS/1.0) sett####.crashly####.com:443
TCP(TLS/1.0) www.luo####.com:443
TCP(TLS/1.0) adt.x####.com:443

Запросы DNS:

a####.exc.mob.com
adt.x####.com
api.s####.mob.com
av1.x####.com
c.d####.mob.com
cd####.md####.cn
cl####.v4.luo####.com
d####.d####.mob.com
i.t####.com
m.d####.mob.com
plb####.u####.com
rep####.crashly####.com
req####.a####.cn
res.luo####.com
s####.api.luo####.com
sett####.crashly####.com
u####.u####.com
www.luo####.com

Запросы HTTP GET:

cd####.md####.cn.####.cn/resource/gis/45
cl####.v4.luo####.com//cover/15/15271.jpg
cl####.v4.luo####.com//cover/19/19901.jpg
cl####.v4.luo####.com//cover/6/6766.jpg
m.d####.mob.com/v4/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
req####.a####.cn/pservers/loadgis?token=####

Запросы HTTP POST:

a####.exc.mob.com/errconf
a####.exc.mob.com/errlog
api.s####.mob.com/conf5
api.s####.mob.com/conn
api.s####.mob.com/log4
api.s####.mob.com/snsconf
c.d####.mob.com/v3/cdata
cl####.v4.luo####.com/api/BookCase/Init
cl####.v4.luo####.com/api/Sys/CheckAppVersion
cl####.v4.luo####.com/api/v2/ReadingCenter/BookInfo
cl####.v4.luo####.com/api/v2/Sys/GetAdvert
d####.d####.mob.com/dgen
d####.d####.mob.com/dinfo
d####.d####.mob.com/dsign
s####.api.luo####.com/redApi/installInsertInterface?uid=####&timestamp=#...
s####.api.luo####.com/redApi/isInside?uid=####&timestamp=####&platform=#...

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.duid
/data/data/####/.imprint
/data/data/####/.lock
/data/data/####/.mrecord
/data/data/####/.mrlock
/data/data/####/.statistics
/data/data/####/.vpl_lock
/data/data/####/1550059100115_2274
/data/data/####/1550059100204_2274
/data/data/####/1550059100374_2274
/data/data/####/1550059100487_2274
/data/data/####/1550059100576_2274
/data/data/####/1550059100652_2274
/data/data/####/1550059101057_2274
/data/data/####/1550059101096_2274
/data/data/####/1550059101269_2274
/data/data/####/1550059101413_2274
/data/data/####/1550059101760_2274
/data/data/####/1550059102341_2274
/data/data/####/1550059103774_2274
/data/data/####/1550059109029_2484
/data/data/####/1550059109054_2484
/data/data/####/1550059109475_2484
/data/data/####/1550059115411_2665
/data/data/####/1550059115476_2665
/data/data/####/1550059115819_2665
/data/data/####/1550059116974_2665
/data/data/####/1550059117133_2665
/data/data/####/1550059125137_2851
/data/data/####/1550059125156_2851
/data/data/####/1550059125559_2851
/data/data/####/1550059126215_2851
/data/data/####/1550059126382_2851
/data/data/####/1550059133478_3040
/data/data/####/1550059133551_3040
/data/data/####/1550059134135_3040
/data/data/####/1550059134486_3040
/data/data/####/1550059141133_3223
/data/data/####/1550059141206_3223
/data/data/####/1550059141661_3223
/data/data/####/1550059142132_3223
/data/data/####/1550059142450_3223
/data/data/####/1550059149964_3413
/data/data/####/1550059149980_3413
/data/data/####/1550059150356_3413
/data/data/####/1550059150822_3413
/data/data/####/1550059153530_3413
/data/data/####/1550059155622_3586
/data/data/####/1550059155786_3586
/data/data/####/1550059156115_3586
/data/data/####/1550059156434_3586
/data/data/####/5C64065B0080-0001-08E2-3C487A3777EC.cls_temp
/data/data/####/5C64065B0080-0001-08E2-3C487A3777ECBeginSession.cls_temp
/data/data/####/5C64065B0080-0001-08E2-3C487A3777ECSessionApp.cls_temp
/data/data/####/5C64065B0080-0001-08E2-3C487A3777ECSessionCrash.cls_temp
/data/data/####/5C64065B0080-0001-08E2-3C487A3777ECSessionDevice.cls_temp
/data/data/####/5C64065B0080-0001-08E2-3C487A3777ECSessionOS.cls_temp
/data/data/####/5C64065B0080-0001-08E2-3C487A3777ECSessionUser.cls_temp
/data/data/####/5C64065F038E-0002-08E2-3C487A3777ECBeginSession.cls_temp
/data/data/####/5C64065F038E-0002-08E2-3C487A3777ECSessionApp.cls_temp
/data/data/####/5C64065F038E-0002-08E2-3C487A3777ECSessionDevice.cls_temp
/data/data/####/5C64065F038E-0002-08E2-3C487A3777ECSessionOS.cls_temp
/data/data/####/5C6406640222-0001-09B4-3C487A3777EC.cls_temp
/data/data/####/5C6406640222-0001-09B4-3C487A3777ECBeginSession.cls_temp
/data/data/####/5C6406640222-0001-09B4-3C487A3777ECSessionApp.cls
/data/data/####/5C6406640222-0001-09B4-3C487A3777ECSessionApp.cls_temp
/data/data/####/5C6406640222-0001-09B4-3C487A3777ECSessionCrash.cls_temp
/data/data/####/5C6406640222-0001-09B4-3C487A3777ECSessionDevice.cls_temp
/data/data/####/5C6406640222-0001-09B4-3C487A3777ECSessionOS.cls_temp
/data/data/####/5C6406640222-0001-09B4-3C487A3777ECSessionUser.cls_temp
/data/data/####/5C6406660145-0002-09B4-3C487A3777ECBeginSession.cls_temp
/data/data/####/5C6406660145-0002-09B4-3C487A3777ECSessionApp.cls_temp
/data/data/####/5C6406660145-0002-09B4-3C487A3777ECSessionDevice.cls_temp
/data/data/####/5C6406660145-0002-09B4-3C487A3777ECSessionOS.cls_temp
/data/data/####/5C64066903AA-0001-0A69-3C487A3777EC.cls_temp
/data/data/####/5C64066903AA-0001-0A69-3C487A3777ECBeginSession.cls_temp
/data/data/####/5C64066903AA-0001-0A69-3C487A3777ECSessionApp.cls_temp
/data/data/####/5C64066903AA-0001-0A69-3C487A3777ECSessionCrash.cls_temp
/data/data/####/5C64066903AA-0001-0A69-3C487A3777ECSessionDevice.cls
/data/data/####/5C64066903AA-0001-0A69-3C487A3777ECSessionOS.cls_temp
/data/data/####/5C64066903AA-0001-0A69-3C487A3777ECSessionUser.cls_temp
/data/data/####/5C64066E0009-0002-0A69-3C487A3777ECBeginSession.cls_temp
/data/data/####/5C64066E0009-0002-0A69-3C487A3777ECSessionApp.cls_temp
/data/data/####/5C64066E0009-0002-0A69-3C487A3777ECSessionDevice.cls_temp
/data/data/####/5C64066E0009-0002-0A69-3C487A3777ECSessionOS.cls_temp
/data/data/####/5C640674024F-0001-0B23-3C487A3777EC.cls_temp
/data/data/####/5C640674024F-0001-0B23-3C487A3777ECBeginSession.cls_temp
/data/data/####/5C640674024F-0001-0B23-3C487A3777ECSessionApp.cls_temp
/data/data/####/5C640674024F-0001-0B23-3C487A3777ECSessionCrash.cls_temp
/data/data/####/5C640674024F-0001-0B23-3C487A3777ECSessionDevice.cls_temp
/data/data/####/5C640674024F-0001-0B23-3C487A3777ECSessionOS.cls_temp
/data/data/####/5C640674024F-0001-0B23-3C487A3777ECSessionUser.cls_temp
/data/data/####/5C64067601A7-0002-0B23-3C487A3777ECBeginSession.cls_temp
/data/data/####/5C64067601A7-0002-0B23-3C487A3777ECSessionApp.cls_temp
/data/data/####/5C64067601A7-0002-0B23-3C487A3777ECSessionDevice.cls_temp
/data/data/####/5C64067601A7-0002-0B23-3C487A3777ECSessionOS.cls_temp
/data/data/####/5C64067C03E1-0001-0BE0-3C487A3777EC.cls_temp
/data/data/####/5C64067C03E1-0001-0BE0-3C487A3777ECBeginSession.cls_temp
/data/data/####/5C64067C03E1-0001-0BE0-3C487A3777ECSessionApp.cls_temp
/data/data/####/5C64067C03E1-0001-0BE0-3C487A3777ECSessionCrash.cls_temp
/data/data/####/5C64067C03E1-0001-0BE0-3C487A3777ECSessionDevice.cls_temp
/data/data/####/5C64067C03E1-0001-0BE0-3C487A3777ECSessionOS.cls_temp
/data/data/####/5C64067C03E1-0001-0BE0-3C487A3777ECSessionUser.cls_temp
/data/data/####/5C6406800159-0002-0BE0-3C487A3777ECBeginSession.cls_temp
/data/data/####/5C6406800159-0002-0BE0-3C487A3777ECSessionApp.cls_temp
/data/data/####/5C6406800159-0002-0BE0-3C487A3777ECSessionDevice.cls_temp
/data/data/####/5C6406800159-0002-0BE0-3C487A3777ECSessionOS.cls_temp
/data/data/####/5C6406840230-0001-0C97-3C487A3777EC.cls_temp
/data/data/####/5C6406840230-0001-0C97-3C487A3777ECBeginSession.cls_temp
/data/data/####/5C6406840230-0001-0C97-3C487A3777ECSessionApp.cls_temp
/data/data/####/5C6406840230-0001-0C97-3C487A3777ECSessionCrash.cls_temp
/data/data/####/5C6406840230-0001-0C97-3C487A3777ECSessionDevice.cls_temp
/data/data/####/5C6406840230-0001-0C97-3C487A3777ECSessionOS.cls_temp
/data/data/####/5C6406840230-0001-0C97-3C487A3777ECSessionUser.cls_temp
/data/data/####/5C64068700B9-0002-0C97-3C487A3777ECBeginSession.cls_temp
/data/data/####/5C64068700B9-0002-0C97-3C487A3777ECSessionApp.cls_temp
/data/data/####/5C64068700B9-0002-0C97-3C487A3777ECSessionDevice.cls_temp
/data/data/####/5C64068700B9-0002-0C97-3C487A3777ECSessionOS.cls_temp
/data/data/####/5C64068D01BC-0001-0D55-3C487A3777EC.cls_temp
/data/data/####/5C64068D01BC-0001-0D55-3C487A3777ECBeginSession.cls_temp
/data/data/####/5C64068D01BC-0001-0D55-3C487A3777ECSessionApp.cls_temp
/data/data/####/5C64068D01BC-0001-0D55-3C487A3777ECSessionCrash.cls_temp
/data/data/####/5C64068D01BC-0001-0D55-3C487A3777ECSessionDevice.cls_temp
/data/data/####/5C64068D01BC-0001-0D55-3C487A3777ECSessionOS.cls_temp
/data/data/####/5C64068D01BC-0001-0D55-3C487A3777ECSessionUser.cls_temp
/data/data/####/5C64068F01AE-0002-0D55-3C487A3777ECBeginSession.cls_temp
/data/data/####/5C64068F01AE-0002-0D55-3C487A3777ECSessionApp.cls_temp
/data/data/####/5C64068F01AE-0002-0D55-3C487A3777ECSessionDevice.cls_temp
/data/data/####/5C64068F01AE-0002-0D55-3C487A3777ECSessionOS.cls_temp
/data/data/####/5C64069300FC-0001-0E02-3C487A3777EC.cls_temp
/data/data/####/5C64069300FC-0001-0E02-3C487A3777ECBeginSession.cls_temp
/data/data/####/5C64069300FC-0001-0E02-3C487A3777ECSessionApp.cls_temp
/data/data/####/5C64069300FC-0001-0E02-3C487A3777ECSessionCrash.cls_temp
/data/data/####/5C64069300FC-0001-0E02-3C487A3777ECSessionDevice.cls_temp
/data/data/####/5C64069300FC-0001-0E02-3C487A3777ECSessionOS.cls_temp
/data/data/####/5C64069300FC-0001-0E02-3C487A3777ECSessionUser.cls_temp
/data/data/####/5C640695039E-0002-0E02-3C487A3777ECBeginSession.cls_temp
/data/data/####/5C640695039E-0002-0E02-3C487A3777ECSessionApp.cls_temp
/data/data/####/5C640695039E-0002-0E02-3C487A3777ECSessionDevice.cls_temp
/data/data/####/5C640695039E-0002-0E02-3C487A3777ECSessionOS.cls_temp
/data/data/####/921a5a724de18de352a60eb133733d97776b497b58e03f7....0.tmp
/data/data/####/9dfabb71d30910989916432f10762e482dccfa7d782e5e2....0.tmp
/data/data/####/JPushSA_Config.xml
/data/data/####/Lock0
/data/data/####/Lock1
/data/data/####/Lock2
/data/data/####/Lock7
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TDpref_longtime.xml
/data/data/####/TDpref_longtime0.xml
/data/data/####/TDpref_longtime1.xml
/data/data/####/TDpref_longtime1.xml.bak (deleted)
/data/data/####/TDpref_shorttime.xml
/data/data/####/TDpref_shorttime0.xml
/data/data/####/TDpref_shorttime1.xml
/data/data/####/ThrowalbeLog.db
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/TwitterAdvertisingInfoPreferences.xml
/data/data/####/a==7.5.1&&4.2.1_1550059101869_envelope.log
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/com.crashlytics.prefs.xml
/data/data/####/com.crashlytics.sdk.android.crashlytics-core;co...re.xml
/data/data/####/com.crashlytics.sdk.android;answers;settings.xml
/data/data/####/com.crashlytics.settings.json
/data/data/####/com.luocsahen.kjsdga-1.apk.classes196783387.zip
/data/data/####/com.luocsahen.kjsdga-1.apk.classes2.dex
/data/data/####/com.luocsahen.kjsdga.dex
/data/data/####/com.luocsahen.kjsdga.zip
/data/data/####/com.luocsahen.kjsdga_preferences.xml
/data/data/####/crash_marker
/data/data/####/d6ece410ead025d6c9a4de7adf5c1b9af1f57219eb35cf8....0.tmp
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUwMDU5MTA5NDc5;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUwMDU5MTAwNjA4;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUwMDU5MTE2MDAw;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUwMDU5MTI1NzUz;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUwMDU5MTM0MTcw;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUwMDU5MTQxOTEy;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUwMDU5MTU2MTkz;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTUwMDU5MTUwNDc4;
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/i==1.2.0&&4.2.1_1550059100642_envelope.log
/data/data/####/i==1.2.0&&4.2.1_1550059109525_envelope.log
/data/data/####/i==1.2.0&&4.2.1_1550059116067_envelope.log
/data/data/####/i==1.2.0&&4.2.1_1550059125870_envelope.log
/data/data/####/i==1.2.0&&4.2.1_1550059134253_envelope.log
/data/data/####/i==1.2.0&&4.2.1_1550059142111_envelope.log
/data/data/####/i==1.2.0&&4.2.1_1550059150548_envelope.log
/data/data/####/i==1.2.0&&4.2.1_1550059156355_envelope.log
/data/data/####/info.xml
/data/data/####/initialization_marker
/data/data/####/io.fabric.sdk.android;fabric;io.fabric.sdk.andr...ng.xml
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/jpush_stat_cache.json
/data/data/####/jpush_stat_cache_history.json
/data/data/####/linkedme_referral_shared_pref.xml
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/multidex.version.xml
/data/data/####/sa_85ecc8ff-6d89-41a7-a320-13e9df68d926_1550059099569.tap
/data/data/####/session_analytics.tap
/data/data/####/session_analytics.tap.tmp
/data/data/####/share_sdk_1
/data/data/####/sharesdk.db
/data/data/####/sharesdk.db-journal
/data/data/####/tdid.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/wydj.dex
/data/data/####/wydj.zip
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.al
/data/media/####/.artc_lock
/data/media/####/.cca.dat
/data/media/####/.dh
/data/media/####/.dh-journal
/data/media/####/.dhlock
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.digap
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.lecd
/data/media/####/.lesd_lock
/data/media/####/.mcli
/data/media/####/.nulal
/data/media/####/.nulplt
/data/media/####/.pkg_lock
/data/media/####/.plst
/data/media/####/.push_deviceid
/data/media/####/.rc_lock
/data/media/####/.slw
/data/media/####/.tcookieid
/data/media/####/.umm.dat
/data/media/####/2019-02-13 11;58;23.log
/data/media/####/2019-02-13 11;58;30.log
/data/media/####/2019-02-13 11;58;38.log
/data/media/####/2019-02-13 11;58;46.log
/data/media/####/2019-02-13 11;58;56.log
/data/media/####/2019-02-13 11;59;03.log
/data/media/####/2019-02-13 11;59;11.log
/data/media/####/2019-02-13 11;59;17.log
/data/media/####/sysid.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
app_process /system/bin com.android.commands.pm.Pm list packages
cat /sys/class/net/wlan0/address
getprop
grep -E -v root|shell|system
ls /sys/class/thermal
pm list packages
sh
top -d 0 -n 1

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
DES-CBC-PKCS5Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS7Padding
AES-ECB-NoPadding
AES-ECB-PKCS5Padding
DES-CBC-PKCS5Padding

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней