Adware.Dangbei.14

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Dangbei.1.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) hqv.d####.com:80
TCP(HTTP/1.1) esw.ty####.com:80
TCP(HTTP/1.1) i.t####.com:80
TCP(HTTP/1.1) dyv####.tai####.com.####.com:80
TCP(HTTP/1.1) up####.sdk.jig####.cn:80
TCP(HTTP/1.1) up####.dan####.net:80
TCP(HTTP/1.1) e####.ty####.com:80
TCP(HTTP/1.1) sm.dan####.com:80
TCP(HTTP/1.1) dy####.tai####.com:80
TCP(TLS/1.0) c####.x####.com:443
TCP(TLS/1.0) s####.j####.cn:443
TCP(TLS/1.0) regi####.xm####.xi####.com:443
TCP(TLS/1.0) av1.x####.com:443
TCP(TLS/1.0) e####.ty####.com:443
UDP s.j####.cn:19000
TCP 1####.121.49.94:7011

Запросы DNS:

250.31.27.####.arpa
a####.u####.com
acc####.m.ta####.com
ag####.m.ta####.com
av1.x####.com
c####.x####.com
dy####.cdn.bc####.com
dy####.tai####.com
dyv####.tai####.com
e####.ty####.com
e####.ty####.com
es####.dan####.net
esw.ty####.com
hqv.d####.com
i.t####.com
regi####.xm####.xi####.com
s####.j####.cn
s.j####.cn
sm.dan####.com
umen####.m.ta####.com
up####.dan####.net
up####.sdk.jig####.cn

Запросы HTTP GET:

dy####.tai####.com/v8/ucmtlist?channel=####&deviceid=####&model=####&pac...
dy####.tai####.com/v8/ulist?channel=####&deviceid=####&model=####&packag...
dyv####.tai####.com.####.com/21/9cb7625df6e8deed8d09.mp4?auth_key=####
dyv####.tai####.com.####.com/24/e621fe9824405b2255fc.mp4?auth_key=####
dyv####.tai####.com.####.com/28/68016e3fd387e5e099b3.mp4?auth_key=####
dyv####.tai####.com.####.com/55/ca3f32da41b75e85fc10.mp4?auth_key=####
dyv####.tai####.com.####.com/dynamicimg/284bb3adb603.webp
dyv####.tai####.com.####.com/dynamicimg/9925b1b319e1.webp
dyv####.tai####.com.####.com/dynamicimg/a8691762b4fd.webp
dyv####.tai####.com.####.com/dynamicimg/b3df86f804bd.webp
dyv####.tai####.com.####.com/user/2943881c655f.jpg@f_webp,q_80
dyv####.tai####.com.####.com/user/351039152189.jpg@f_webp,q_80
e####.ty####.com/dbGold/v1/sdkSwitch.do?appkey=####&channel=####&device_...
esw.ty####.com/dbGold/v1/sdkSwitch.do?appkey=####&channel=####&device_na...
i.t####.com/a/35198b755618d6256e3abaaad69641094
up####.dan####.net/api/updatea?appkey=####&code=Lq####&token=####&channe...

Запросы HTTP POST:

a####.u####.com/app_logs
e####.ty####.com/dbGold/v1/deviceRegister.do
e####.ty####.com/dbGold/v1/liveReveal.do
esw.ty####.com/dbGold/v1/diskAuth.do
hqv.d####.com/dbzs/m1/appInfo.do
hqv.d####.com/dbzs/m1/terminalInfo.do
hqv.d####.com/v3/public/devtag
sm.dan####.com/sdk/sdktj
up####.sdk.jig####.cn/v1/push/sdk/postlist

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/00f765f35bfd607e43effed4159102c11e8a4a706983c26....0.tmp
/data/data/####/1550738163411_2283
/data/data/####/1550738164526_2283
/data/data/####/1550738164946_2283
/data/data/####/1550738167308_2283
/data/data/####/1550738168657_2283
/data/data/####/1550738172775_2502
/data/data/####/1550738175262_2502
/data/data/####/1550738180444_2502
/data/data/####/1550738182304_2502
/data/data/####/1550738194045_2813
/data/data/####/1550738197266_2813
/data/data/####/1550738197970_2813
/data/data/####/1550738198653_2813
/data/data/####/1550738200721_2813
/data/data/####/1550738204503_2813
/data/data/####/1550738210945_3031
/data/data/####/1550738213987_3031
/data/data/####/1550738215800_3031
/data/data/####/1550738216712_3031
/data/data/####/1550738218199_3031
/data/data/####/1550738225540_3252
/data/data/####/1550738229354_3252
/data/data/####/6d62a5f4654d20d196196155a2b559d18854f5eb741e85a....0.tmp
/data/data/####/720ea7c7fbf3c84cbc5d9befd0aef85110fb1fc6f59625a....0.tmp
/data/data/####/95adc0fb95b8d8c3735f482208b140528e3b54d8140da52....0.tmp
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Agoo_AppStore.xml (deleted)
/data/data/####/Alvin2.xml
/data/data/####/Archimedes_p1
/data/data/####/Archimedes_p2
/data/data/####/Archimedes_p3
/data/data/####/Archimedes_p4
/data/data/####/Archimedes_p5
/data/data/####/ContextData.xml
/data/data/####/DEVICE_ID.xml
/data/data/####/DaemonServer
/data/data/####/JPushSA_Config.xml
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/MultiDex.lock
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TDpref_cloudcontrol1.xml
/data/data/####/TDpref_longtime.xml
/data/data/####/TDpref_longtime0.xml
/data/data/####/TDpref_shorttime.xml
/data/data/####/TDpref_shorttime0.xml
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.preferences.v2.rid.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/com.TVvideo.douyin.push_sync.xml
/data/data/####/com.TVvideo.douyin_preferences.xml
/data/data/####/com.baidu.pushservice.BIND_CACHE.xml
/data/data/####/dbfile.xml
/data/data/####/douyinTv.db-journal
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f761b9fc347511a6d3de12fbf51b6a014e9ca47d9a4b8e6....0.tmp
/data/data/####/geofencing.db
/data/data/####/geofencing.db-journal
/data/data/####/global_prefs.xml
/data/data/####/iv
/data/data/####/journal.tmp
/data/data/####/jpush_device_info.xml
/data/data/####/jpush_local_notification.db
/data/data/####/jpush_local_notification.db-journal
/data/data/####/jpush_local_notification.db-wal
/data/data/####/jpush_stat_cache_history.json
/data/data/####/jpush_statistics.db
/data/data/####/jpush_statistics.db-journal
/data/data/####/jpush_statistics.db-shm (deleted)
/data/data/####/jpush_statistics.db-wal
/data/data/####/jpush_uncaughtexception_file
/data/data/####/libjiagu1350873164.so
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/mipush.xml
/data/data/####/mipush_extra.xml
/data/data/####/multidex.version.xml
/data/data/####/pushinfo.db
/data/data/####/pushinfo.db-journal
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/salt
/data/data/####/tdid.xml
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/.D1C593128F43E2D009A968D7C663F774
/data/media/####/.D1C593128F43E2D009A968D7C663F774-journal
/data/media/####/.push_deviceid
/data/media/####/.tcookieid
/data/media/####/2019-02-21-08-36-05-1550738165644.log
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/afinalCache.0
/data/media/####/afinalCache.1
/data/media/####/afinalCache.idx
/data/media/####/inapp_20190221.log
/data/media/####/msg20190221.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:5bfcf96df1f5564e2400003c","utdid":"XG5i8rxVxBkDAGdzx1FjBO8S","sdkVersion":"220"} -I agoodm.m.taobao.com -O 80 -T -Z
cat /proc/cpuinfo
cat /proc/meminfo
chmod 500 <Package Folder>/files/DaemonServer
chmod 777 /storage/emulated/0/Android/data/<Package>/cache/afinalCache
getprop
ping -c 1 -w 2 update.dangbei.net
sh

Загружает динамические библиотеки:

bdpush_V2_7
euthenia-lib
glide-webp
jcore117
libjiagu1350873164
tnet-3.1

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
DES-CBC-PKCS5Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-PKCS5Padding
AES-ECB-NoPadding
DES-CBC-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней