Adware.Waps.762

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Waps.5.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) ip.ta####.com:80
TCP(HTTP/1.1) u####.umengc####.com:80
TCP(HTTP/1.1) api####.37de####.com:80
TCP(HTTP/1.1) msg.umengc####.com:80
TCP(HTTP/1.1) a####.m.ta####.com:80
TCP(HTTP/1.1) oc.u####.com:80
TCP(HTTP/1.1) app.w####.cn:80
TCP(HTTP/1.1) a8.tv####.com:80
TCP(HTTP/1.1) api.m.ta####.com:80
TCP(HTTP/1.1) api.appj####.com:80
TCP(HTTP/1.1) s.y####.net:80
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP 1####.205.203.85:8031
TCP 1####.205.203.85:80

Запросы DNS:

a####.m.ta####.com
a####.u####.com
a8.tv####.com
and####.cli####.go####.com
api####.37de####.com
api.appj####.com
app.w####.cn
ip.ta####.com
msg.umengc####.com
oc.u####.com
s####.gw.y####.net
s.y####.net
u####.umengc####.com
u####.umengc####.com

Запросы HTTP GET:

a8.tv####.com/v2/app_conf?platform=####&version=####&key=####&os_ver=###...
api.m.ta####.com/spdyip/?appkey=####&ttid=####&deviceId=####&imei=####&n...
app.w####.cn/action/connect/active?app_id=####&udid=####&imsi=####&net=#...
ip.ta####.com/service/getIpInfo.php?ip=####&qq-pf-to=####
s.y####.net/aos/v3/pns?s=####
s.y####.net/stat/aos/v3/init?s=####
s.y####.net/stat/aos/v3/pkc?s=####
s.y####.net/stat/aos/v3/pku?s=####
u####.umengc####.com/rest/api3.do?t=####&deviceId=####&imei=####&appKey=...
u####.umengc####.com/rest/api3.do?ttid=####&t=####&deviceId=####&imei=##...
u####.umengc####.com/rest/api3.do?ttid=####&t=####&imei=####&appKey=####...

Запросы HTTP POST:

a####.m.ta####.com/rest/gc?ak=####&av=####&c=####&v=####&s=####&d=####&s...
a####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=####&...
a####.u####.com/app_logs
api####.37de####.com/APIPOOL/
api.appj####.com/appjiagu
app.w####.cn/action/user_info
msg.umengc####.com/v2/register
oc.u####.com/check_config_update

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/438fe3b1a378b2f3cacd769f77c8d0f1
/data/data/####/438fe3b1a378b2f3cacd769f77c8d0f1-journal
/data/data/####/927a5061644d4a79928e74aeab6b42f5.xml
/data/data/####/98eabbf7279338d50ef075eff52d459c-journal
/data/data/####/AGOO_CONNECT.xml
/data/data/####/AGOO_HOST.xml
/data/data/####/Alvin2.xml
/data/data/####/AppSettings.xml
/data/data/####/AppStore.xml
/data/data/####/CE94557724F842149D690D0E8CBB1CBD.xml
/data/data/####/CacheTime.dat
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/MsgLogStore.db-journal
/data/data/####/P15pKIjsm64m
/data/data/####/P15pKIjsm64m-journal
/data/data/####/PhoneUtil.xml
/data/data/####/ShowAdFlag.xml
/data/data/####/T1oX0rhhuXWt
/data/data/####/T1oX0rhhuXWt-journal
/data/data/####/UTMCBase.xml
/data/data/####/UTMCConf-1626902072.xml
/data/data/####/UTMCLog-1626902072.xml
/data/data/####/XKwVoK0huy3R
/data/data/####/XKwVoK0huy3R-journal
/data/data/####/agoo.pid
/data/data/####/bbfdbe6c0f08108a6001e61c43193301
/data/data/####/bbfdbe6c0f08108a6001e61c43193301-journal
/data/data/####/jiagu.lock
/data/data/####/jqIqJYOT3JpT
/data/data/####/jqIqJYOT3JpT-journal
/data/data/####/libjiagu.so
/data/data/####/mobclick_agent_online_setting_org.fungo.a8sport.xml
/data/data/####/multidex.version.xml
/data/data/####/org.fungo.a8sport.xml
/data/data/####/s_update.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/wIU6pTyUBYWX
/data/data/####/wIU6pTyUBYWX-journal
/data/data/####/wsUL1uCdKvjD
/data/data/####/wsUL1uCdKvjD-journal
/data/media/####/.nomedia
/data/media/####/Alvin2.xml
/data/media/####/AppPackage.dat
/data/media/####/CacheTime.dat
/data/media/####/ContextData.xml
/data/media/####/UnPackage.dat
/data/media/####/android
/data/media/####/i42d45df023jnkdd93la483f9xGFKXI
/data/media/####/journal.tmp
/data/media/####/s92TjjdfoP2n3o9dfji2l9s1olkjf0p

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -a <Package>.intent.action.COCKROACH --es cockroach cockroach-PPreotect --es pack <Package> --user 0 -f <Package Folder> -t 60 -c agoo.pid -P <Package Folder> -K 9527 -U tb_android_daemon_1.1.0 -L http://100.69.168.33/agoo/report -D {"package":"<Package>","appKey":"umeng:53e9d1f2fd98c5b21600025b","utdid":"XGhXBaYvAc0DAGdzx1EYqmIQ","sdkVersion":"20150423"} -I 100.69.168.33 -O 80 -T -Z
chmod 500 <Package Folder>/files/DaemonServer
sh

Загружает динамические библиотеки: