Adware.DownLoader.116

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Загружает из Интернета следующие детектируемые угрозы:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) 9194597####.cdn.so####.com:80
TCP(HTTP/1.1) gd.a.s####.com:80
TCP(HTTP/1.1) gs.a.s####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) api.w####.com:443
TCP(TLS/1.0) redi####.network####.com:443
TCP(TLS/1.0) dc1.network####.com:443
TCP(TLS/1.0) gd.a.s####.com:443
TCP(TLS/1.0) 1####.217.168.206:443
TCP 1####.125.122.67:80
TCP 1####.125.122.19:80

Запросы DNS:

9194597####.cdn.so####.com
api.k.s####.com
api.pass####.s####.com
api.tv.s####.com
api.w####.com
dc1.network####.com
m.ads.s####.com
mb.hd.s####.####.cn
pic.k.s####.com
redi####.network####.com
s1.api.tv.####.cn
sdk.o####.p####.####.com
ur####.ads.s####.com

Запросы HTTP GET:

9194597####.cdn.so####.com/sdk/newstime-online-release-steamer-upgrade-1...
9194597####.cdn.so####.com/sdk/push-release-signed-aligned-steamer-upgra...
9194597####.cdn.so####.com/sdk/push_c_getui-debug-steamer-upgrade-5-2018...
9194597####.cdn.so####.com/sdk/scanner-release-signed-aligned-steamer-up...
9194597####.cdn.so####.com/sdk/videotab-online-release-steamer-upgrade-1...
gd.a.s####.com/api/activity/getBadgeInfo.go?p1=NjEy####&type=####
gd.a.s####.com/api/activity/updateBadgeInfo.go?p1=NjEy####&number=####
gd.a.s####.com/api/book/get_anchor.go?gid=####&apiVersion=####&platform=...
gd.a.s####.com/api/book/query_shelf.go?gid=####&apiVersion=####&u=####&p...
gd.a.s####.com/api/channel/v7/list.go?rt=####&supportLive=####&supportWe...
gd.a.s####.com/api/client/config.go?p1=####&gid=####&pid=####
gd.a.s####.com/api/client/config.go?p1=NjEy####&gid=####&pid=####
gd.a.s####.com/api/client/gk.go
gd.a.s####.com/api/client/setting.go?isContainPopup=####&abmode=####&use...
gd.a.s####.com/api/client/suspendedBallSetting.go?p1=####&firm=####&vers...
gd.a.s####.com/api/control/actionIntercept.go?p1=####&u=####&gid=####&ve...
gd.a.s####.com/api/control/actionIntercept.go?p1=NjEy####&u=####&gid=###...
gd.a.s####.com/api/function/active.go?p1=####&gid=####&pid=####
gd.a.s####.com/api/function/active.go?p1=NjEy####&gid=####&pid=####
gd.a.s####.com/api/function/firstload.go?&p1=NjEy####&gid=####&pid=####&...
gd.a.s####.com/api/news/grab/authorities.go?p1=####&pid=####
gd.a.s####.com/api/news/push/fallback/list.go?p1=NjEy####&version=####&t...
gd.a.s####.com/api/other/getPromptInfo.go?&productId=####&channel=####&v...
gd.a.s####.com/api/push/pushSetting.go?rt=####&pushType=####&isPush=####...
gd.a.s####.com/api/pushsdk/setpushtoken.go?f=####&rt=####&info=####
gd.a.s####.com/api/resource/blackList.go?&p1=NjEy####&gid=####&pid=####&...
gd.a.s####.com/api/search/v6/hotwords.go?p1=####&gid=####&pid=####&apiVe...
gd.a.s####.com/api/search/v6/hotwords.go?p1=NjEy####&gid=####&pid=####&a...
gd.a.s####.com/api/user/getUserSet.go?p1=####&gid=####&pid=####
gd.a.s####.com/api/user/regist.go?rt=####&p1=####&gid=####&pid=####
gd.a.s####.com/mc.gif?uid=####&url=####&value=####&memo=####&passport=##...
gd.a.s####.com/mobile/control/switch.json?plat=####&poid=####&api_key=##...
gd.a.s####.com/sbd.gif?api_key=####&poid=####&plat=####&sver=####&partne...
gs.a.s####.com/mobile_user/sdk/get.json?so=####&modle=####&mfov=####&cpu...

Запросы HTTP HEAD:

gd.a.s####.com//img8/wb/tj/usr.gif?p=####&c=####&p1=NjEy####&pid=####&u=...
gd.a.s####.com/img8/wb/tj/a.gif?p=####&c=####&p1=####&pid=####&pId=####&...
gd.a.s####.com/img8/wb/tj/a.gif?p=####&c=####&p1=NjEy####&pid=####&pId=#...

Запросы HTTP POST:

gd.a.s####.com/api/check.do?b=####&pl=####&v=####&buildCode=####&s=####&...
gd.a.s####.com/api/function/upgrade.go?p1=NjEy####&p2=####&upType=####&b...
gd.a.s####.com/api/resource/adResource.go
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/anr/traces.txt
/data/data/####/.tpns.settings.xml.xml
/data/data/####/02.png
/data/data/####/CountManager.xml
/data/data/####/JsKitManifest
/data/data/####/META.xml
/data/data/####/META.xml (deleted)
/data/data/####/META.xml.bak
/data/data/####/Music.xml
/data/data/####/SGLocSDK.xml
/data/data/####/SHPluginPref.xml
/data/data/####/SHPluginPref.xml (deleted)
/data/data/####/SOHU_Info.xml
/data/data/####/abtest_imgtext.png
/data/data/####/abtest_imgtext_night.png
/data/data/####/ad-close-icon.png
/data/data/####/already-vote-night.png
/data/data/####/already-vote.png
/data/data/####/amaze-emoji-night.png
/data/data/####/amaze-emoji.png
/data/data/####/app.min.css
/data/data/####/arrow-gray.png
/data/data/####/arrow-white.png
/data/data/####/article.bundle.min.js
/data/data/####/article.min.css
/data/data/####/attention.png
/data/data/####/bg_default.png
/data/data/####/ca.png
/data/data/####/channel.bundle.min.js
/data/data/####/channel.min.css
/data/data/####/channelList.bundle.min.js
/data/data/####/channelList.min.css
/data/data/####/channeltest.png
/data/data/####/checked.png
/data/data/####/chexing.jpg
/data/data/####/com.admaster.sdk.other.xml
/data/data/####/com.admaster.sdk.sohu.other.xml
/data/data/####/com.networkbench.agent.impl.v2_com.sohu.newsclient.xml
/data/data/####/com.sohu.newsclient-1.apk.classes-2093027528.zip
/data/data/####/com.sohu.newsclient-1.apk.classes2.dex (deleted)
/data/data/####/com.sohu.newsclient_preferences.xml
/data/data/####/com.sohu.plugin.download.db-journal
/data/data/####/coming-soon-night.png
/data/data/####/coming-soon.png
/data/data/####/comments_arrow.png
/data/data/####/common.bundle.min.js
/data/data/####/common.db
/data/data/####/common.db-journal
/data/data/####/common.min.css
/data/data/####/darkStar.png
/data/data/####/debug.bundle.min.js
/data/data/####/defaultImageBg.png
/data/data/####/deploy_plugin_v2.jar
/data/data/####/deploy_plugin_v2.ok
/data/data/####/discuss.png
/data/data/####/donate-empty.png
/data/data/####/donate-notice.png
/data/data/####/dotted.png
/data/data/####/download.png
/data/data/####/eventRead.bundle.min.js
/data/data/####/favicon.png
/data/data/####/file_login.xml
/data/data/####/focus1.png
/data/data/####/getui_sp.xml
/data/data/####/gif_icon.png
/data/data/####/goTop.png
/data/data/####/gotop.png
/data/data/####/guess.png
/data/data/####/head.jpg
/data/data/####/head_tips.png
/data/data/####/headbag.png
/data/data/####/headtips-title.png
/data/data/####/history-no-record.png
/data/data/####/history.bundle.min.js
/data/data/####/history_dot.jpg
/data/data/####/history_dot_night.png
/data/data/####/hline_light.png
/data/data/####/hline_light2.png
/data/data/####/hline_light_pink.png
/data/data/####/hline_light_v.png
/data/data/####/hline_light_v2.png
/data/data/####/home.min.css
/data/data/####/hot.png
/data/data/####/hot2.png
/data/data/####/hotHistory.bundle.min.js
/data/data/####/hotnewsArticle.bundle.min.js
/data/data/####/icohome_play_v5_mid.png
/data/data/####/icon-dot-night.png
/data/data/####/icon-dot.png
/data/data/####/icon-map-night.png
/data/data/####/icon-map.png
/data/data/####/icon-nov-author.png
/data/data/####/icon-pic-night.png
/data/data/####/icon-pic.png
/data/data/####/icon-play.png
/data/data/####/icon-talk-night.png
/data/data/####/icon-talk.png
/data/data/####/icon-talk1.png
/data/data/####/icon-video-night.png
/data/data/####/icon-video.png
/data/data/####/icon.png
/data/data/####/icon2.png
/data/data/####/icon_report_day.png
/data/data/####/icon_report_day_press.png
/data/data/####/icon_report_night.png
/data/data/####/icon_report_night_press.png
/data/data/####/icostock_delete_v5.png
/data/data/####/icostock_deletepress_v5.png
/data/data/####/icosubscription_add_v5.png
/data/data/####/icotext_like_press.png
/data/data/####/icotext_like_v5.png
/data/data/####/icotext_reply_night_3x.png
/data/data/####/icotext_reply_press_3x.png
/data/data/####/icotext_tag_v5.png
/data/data/####/init_c1.pid
/data/data/####/init_er.pid
/data/data/####/intercept.xml
/data/data/####/jokeList.min.css
/data/data/####/jskit_storage_newssdk.sohu.com-journal
/data/data/####/keep_friend_app_alive.xml
/data/data/####/lg-thumb.png
/data/data/####/libimagescan.so
/data/data/####/libsecurity_helper.so
/data/data/####/libsohupushsdk.so
/data/data/####/libsohupushvisor.so
/data/data/####/lightStar.png
/data/data/####/live.bundle.min.js
/data/data/####/live.min.css
/data/data/####/live_radioplay.gif
/data/data/####/live_radioplay01.png
/data/data/####/live_subscribed.png
/data/data/####/live_subscribed_dark.png
/data/data/####/live_subscribed_gray.png
/data/data/####/live_unsubscribed_dark.png
/data/data/####/livemore.bundle.min.js
/data/data/####/livemore.min.css
/data/data/####/loading.png
/data/data/####/location.png
/data/data/####/login.png
/data/data/####/media-icon.png
/data/data/####/media.bundle.min.js
/data/data/####/media.min.css
/data/data/####/media_avator.png
/data/data/####/media_both.png
/data/data/####/media_focus.png
/data/data/####/media_unfocus.png
/data/data/####/menu.png
/data/data/####/miaozhen.db
/data/data/####/miaozhen.db-journal
/data/data/####/more_operation.png
/data/data/####/multidex.version.xml
/data/data/####/mzSdkProfilePrefs.xml
/data/data/####/mzmonitor
/data/data/####/mzmonitor-journal
/data/data/####/name_star.png
/data/data/####/news-novel-night.png
/data/data/####/news-novel.png
/data/data/####/newsList.min.css
/data/data/####/newsLive.min.css
/data/data/####/newsPics.min.css
/data/data/####/news_pgc.png
/data/data/####/news_pgc_night.png
/data/data/####/night-ad-close-icon.png
/data/data/####/night-arrow-gray.png
/data/data/####/night-arrow.png
/data/data/####/night-gotop.png
/data/data/####/night-lg-thumb.png
/data/data/####/night-menu.png
/data/data/####/night-nocontimg.png
/data/data/####/night_comments_arrow.png
/data/data/####/night_darkStar.png
/data/data/####/night_discuss.png
/data/data/####/night_dotted.png
/data/data/####/night_favicon.png
/data/data/####/night_gif_icon.png
/data/data/####/night_hline_light.png
/data/data/####/night_icohome_play_v5_mid.png
/data/data/####/night_icostock_delete_v5.png
/data/data/####/night_icostock_deletepress_v5.png
/data/data/####/night_icotext_tag_v5.png
/data/data/####/night_lightStar.png
/data/data/####/night_photo_click_play.png
/data/data/####/night_photo_list_click.png
/data/data/####/night_praise1_v5.png
/data/data/####/night_praise2_v5.png
/data/data/####/night_replace.png
/data/data/####/night_replace_img.png
/data/data/####/night_revealall_icon.png
/data/data/####/night_revealfd_icon.png
/data/data/####/night_selected_btn.png
/data/data/####/night_shafa.png
/data/data/####/night_zan.png
/data/data/####/no-history-night.png
/data/data/####/no-history.png
/data/data/####/no-record.png
/data/data/####/no-review.png
/data/data/####/nocontimg.png
/data/data/####/normalize.min.css
/data/data/####/not-guess.png
/data/data/####/novel.min.css
/data/data/####/optimizedread.bundle.min.js
/data/data/####/optimizedread.min.css
/data/data/####/photo_click_play.png
/data/data/####/photo_list_click.png
/data/data/####/pic-abstract-night.png
/data/data/####/pic-abstract.png
/data/data/####/picIcon.png
/data/data/####/pics.bundle.min.js
/data/data/####/pushHistory.bundle.min.js
/data/data/####/quick-share.png
/data/data/####/rd-book.png
/data/data/####/readDonateHistory.bundle.min.js
/data/data/####/readDonateList.bundle.min.js
/data/data/####/readPreference.bundle.min.js
/data/data/####/readSpokesList.bundle.min.js
/data/data/####/readTactic.bundle.min.js
/data/data/####/readZone.bundle.min.js
/data/data/####/replace.png
/data/data/####/replace_big.png
/data/data/####/replace_v5.png
/data/data/####/replace_v5_night.png
/data/data/####/report.bundle.min.js
/data/data/####/report.png
/data/data/####/report_option.png
/data/data/####/report_result_ok.png
/data/data/####/report_selected.png
/data/data/####/revealall_icon.png
/data/data/####/revealfd_icon.png
/data/data/####/rule-icon.png
/data/data/####/rz-book.png
/data/data/####/rz-circle.png
/data/data/####/sc_s.db
/data/data/####/sc_s.db-journal
/data/data/####/sc_shadow.xml
/data/data/####/sc_tracking.db
/data/data/####/sc_tracking.db-journal
/data/data/####/scadsdk_collection.xml
/data/data/####/search.bundle.min.js
/data/data/####/search.min.css
/data/data/####/sohu_player.xml
/data/data/####/sohu_push.xml
/data/data/####/sohusdk_kv.xml
/data/data/####/special.bundle.min.js
/data/data/####/subscribed.db-journal
/data/data/####/trackingplugin.db
/data/data/####/trackingplugin.db-journal
/data/data/####/upgrade_plugin_v2.jar
/data/data/####/upgrade_plugin_v2.ok
/data/data/####/webview.db-journal
/data/data/####/weibo_sdk_aid1
/data/media/####/.nomedia
/data/media/####/6580f0edfb8f1a8dc6174c6d14e480fd.dat
/data/media/####/BehaviorLog_1550507401995.txt
/data/media/####/BehaviorLog_1550507478232.txt
/data/media/####/journal
/data/media/####/journal.tmp
/data/media/####/newstime-online-release-steamer-upgrade-13-201...adinfo
/data/media/####/push-release-signed-aligned-steamer-upgrade-73...18.zip
/data/media/####/push-release-signed-aligned-steamer-upgrade-73...adinfo
/data/media/####/push-release-signed-aligned-steamer-upgrade-73...leted)
/data/media/####/push_c_getui-debug-steamer-upgrade-5-201803211...adinfo
/data/media/####/push_c_getui-debug-steamer-upgrade-5-201803211231.zip
/data/media/####/scanner-release-signed-aligned-steamer-upgrade...41.zip
/data/media/####/scanner-release-signed-aligned-steamer-upgrade...adinfo
/data/media/####/secretinfo.properties
/data/media/####/setting.go
/data/media/####/shortcat
/data/media/####/videotab-online-release-steamer-upgrade-12-201...43.zip
/data/media/####/videotab-online-release-steamer-upgrade-12-201...adinfo

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
cat /sys/class/net/wlan0/address
chmod 4751 <Package Folder>/app_webview
com.sohu.push.daemon -k am startservice -a com.sohu.push.action.AM_TEST -n com.sohu.pushsdk/com.sohu.push.proxy.PushProxyService--es pluginName com.sohu.pushsdk --user 0 --ei u0 1 -r <Package Folder>/app_steamer/com.sohu.pushsdk/deploy_plugin_v2.jar -u -d 0 -t 1
com.sohu.push.daemon -k am startservice -a com.sohu.push.action.AM_TEST -n com.sohu.pushsdk/com.sohu.push.proxy.PushProxyService--es pluginName com.sohu.pushsdk -r <Package Folder>/app_steamer/com.sohu.pushsdk/deploy_plugin_v2.jar -u -d 0 -t 1
ls -l /system/bin/su

Загружает динамические библиотеки:

getuiext2
libsecurity_helper
libsohupushsdk
securities_sdk
security_keystore
sogouenc
sohuwebp
steamer
tpnsSecurity
weibosdkcore

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS5Padding
AES-ECB-PKCS5Padding
RSA-ECB-PKCS1Padding
RSA-None-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию о настроках APN.

Получает информацию об установленных приложениях.

Получает информацию о привязанных к устройству аккаунтах (Google, Facebook и т. д.).

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней