Adware.Dangbei.22

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Dangbei.1.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) api.db.dianshi####.com:80
TCP(HTTP/1.1) g####.dianshi####.com:80
TCP(HTTP/1.1) as####.sharkse####.com:80
TCP(HTTP/1.1) hub.dianshi####.com:80
TCP(HTTP/1.1) ip.ta####.com:80
TCP(HTTP/1.1) up####.sdk.jig####.cn:80
TCP(HTTP/1.1) esw.ty####.com:80
TCP(HTTP/1.1) ott.yun.g####.####.cn:8080
TCP(HTTP/1.1) e####.ty####.com:80
TCP(HTTP/1.1) up####.dan####.net:80
TCP(HTTP/1.1) sm.tv####.com:80
TCP(HTTP/1.1) pus####.cd####.org:80
TCP(HTTP/1.1) es####.dan####.net:80
TCP(HTTP/1.1) l####.aixu####.com:80
TCP(HTTP/1.1) p####.miguv####.com:80
TCP(HTTP/1.1) cdn.idiansh####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) m.miguv####.com:80
TCP(HTTP/1.1) c####.lyunc####.com:80
TCP(HTTP/1.1) cloudpa####.tv####.com.cn:80
TCP(TLS/1.0) av1.x####.com:443
TCP(TLS/1.0) regi####.xm####.xi####.com:443
TCP(TLS/1.0) s####.j####.cn:443
TCP(TLS/1.0) e####.ty####.com:443
UDP s.j####.cn:19000
TCP 1####.230.236.26:7007
TCP 1####.121.49.92:7005

Запросы DNS:

240.31.27.####.arpa
a####.u####.com
api.db.dianshi####.com
api.dianshi####.com
as####.sharkse####.com
av1.x####.com
cdn####.duo####.com
cdn.idiansh####.com
cloudpa####.tv####.com.cn
e####.ty####.com
e####.ty####.com
e####.z####.net
es####.dan####.net
esw.ty####.com
g####.dianshi####.com
hub.dianshi####.com
i.t####.com
img.m.1####.com
ip.ta####.com
l####.aixu####.com
m.miguv####.com
ott.yun.g####.####.cn
p####.dianshi####.com
p####.miguv####.com
pus####.cd####.org
regi####.xm####.xi####.com
s####.j####.cn
s.j####.cn
sm.tv####.com
up####.dan####.net
up####.sdk.jig####.cn

Запросы HTTP GET:

api.db.dianshi####.com/api/v1/plugin?module=####&verCode=####&aver=####&...
api.db.dianshi####.com/api/v2/offProgram
api.db.dianshi####.com/api/v3/channels
as####.sharkse####.com/img/ott/dianshijia/dianshijia131-1109.png
c####.lyunc####.com/img/dsj/March/jyzyy-jy0311.png
cdn.idiansh####.com/api/channel/group/02/228
cdn.idiansh####.com/assets/tvcore/190116/libtvcore.gz
cdn.idiansh####.com/static/b0cb81e00b1c42028e0cdb5d1893d8a1
cdn.idiansh####.com/static/bf988a922def321aa8d771fdb4d36254
cdn.idiansh####.com/tvlive/adimages/Banner/HXG-0301.png
cloudpa####.tv####.com.cn/?r=####&url=htt####&rate=####&token=N####&type...
cloudpa####.tv####.com.cn/?r=####&url=htt####&rate=####&token=Y####&type...
cloudpa####.tv####.com.cn/?r=####&url=htt####&rate=####&token=Z####&type...
esw.ty####.com/dbGold/v1/sdkSwitch.do?appkey=####&channel=####&device_na...
g####.dianshi####.com/api/v1/plugin?module=####&verCode=####&aver=####&t...
g####.dianshi####.com/gslb/live?stream_id=####&ostype=####&hwtype=####&t...
g####.dianshi####.com/gslb/streams?region=####&isp=####&tm=####&uuid=###...
g####.dianshi####.com/ipInfo
g####.dianshi####.com/time
ip.ta####.com/service/getIpInfo.php?ip=####
l####.aixu####.com/v1/app?channel####&model=C####&packagename=####&vcode...
l####.aixu####.com/v1/boot?channel####&isencry####&model=C####&packagena...
l####.aixu####.com/v1/exitapp?channel####&model=C####&packagename=####&v...
m.miguv####.com/playurl/v1/play/playurlh5?contId=####&rateType=####&clie...
ott.yun.g####.####.cn:8080/msis/getPlayURL?areaCode=####&assetID=####&bi...
p####.miguv####.com/playurl/v1/play/playurl?sign=####&timestamp=####&os=...
up####.dan####.net/api/updatea?appkey=####&model=m####&deviceE####&code=...

Запросы HTTP POST:

a####.u####.com/app_logs
e####.ty####.com/dbGold/v1/deviceRegister.do
e####.ty####.com/dbGold/v1/liveReveal.do
es####.dan####.net/dbzs/m1/appInfo.do
es####.dan####.net/dbzs/m1/terminalInfo.do
esw.ty####.com/dbGold/v1/diskAuth.do
hub.dianshi####.com/report/file/update
hub.dianshi####.com/report/v1/device
pus####.cd####.org/v3/public/devtag
sm.tv####.com/sdk/sdktj
up####.sdk.jig####.cn/v1/push/sdk/postlist

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-3377459.db-journal
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/1552568062012_2270
/data/data/####/1552568062041_2270
/data/data/####/1552568062129_2270
/data/data/####/1552568062786_2270
/data/data/####/1552568063144_2270
/data/data/####/1552568063609_2270
/data/data/####/1552568066495_2270
/data/data/####/1552568066817_2270
/data/data/####/1552568070368_2527
/data/data/####/1552568071037_2527
/data/data/####/1552568072882_2527
/data/data/####/1552568074111_2527
/data/data/####/1552568074806_2527
/data/data/####/1552568075149_2527
/data/data/####/1552568075267_2527
/data/data/####/1552568075856_2527
/data/data/####/1552568076043_2527
/data/data/####/1552568076116_2527
/data/data/####/1552568076232_2527
/data/data/####/1552568076278_2527
/data/data/####/1552568078668_2527
/data/data/####/1552568078963_2527
/data/data/####/1552568079119_2527
/data/data/####/1552568079600_2527
/data/data/####/1552568079699_2527
/data/data/####/1552568079831_2527
/data/data/####/1552568079946_2527
/data/data/####/1552568079991_2527
/data/data/####/1552568080097_2527
/data/data/####/1552568082280_2527
/data/data/####/1552568083541_2527
/data/data/####/1552568084053_2527
/data/data/####/1552568084546_2527
/data/data/####/1552568084615_2527
/data/data/####/1552568084721_2527
/data/data/####/1552568084851_2527
/data/data/####/1552568085720_2527
/data/data/####/1552568086004_2527
/data/data/####/1552568086111_2527
/data/data/####/1552568087175_2527
/data/data/####/1552568088286_2527
/data/data/####/1552568088362_2527
/data/data/####/1552568088772_2527
/data/data/####/1552568088864_2527
/data/data/####/1552568095251_2527
/data/data/####/1552568095553_2527
/data/data/####/1552568095640_2527
/data/data/####/1552568096714_2527
/data/data/####/1552568096919_2527
/data/data/####/1552568097103_2527
/data/data/####/1552568097205_2527
/data/data/####/1552568097364_2527
/data/data/####/1552568097479_2527
/data/data/####/1552568097573_2527
/data/data/####/1552568097631_2527
/data/data/####/1552568098447_2527
/data/data/####/1552568098817_2527
/data/data/####/1552568104308_2527
/data/data/####/1552568104634_2527
/data/data/####/1552568105309_2527
/data/data/####/1552568105683_2527
/data/data/####/1552568106058_2527
/data/data/####/1552568107068_2527
/data/data/####/1552568108002_2527
/data/data/####/1552568113614_2527
/data/data/####/1552568114014_2527
/data/data/####/1552568114718_2527
/data/data/####/1552568115225_2527
/data/data/####/1552568116156_2527
/data/data/####/1552568121876_2527
/data/data/####/1552568122425_2527
/data/data/####/1552568123626_2527
/data/data/####/1552568123890_2527
/data/data/####/1552568129298_2527
/data/data/####/1552568130591_2527
/data/data/####/1552568130734_2527
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/DSJ_APP_INFO.xml
/data/data/####/JPushSA_Config.xml
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/MultiDex.lock
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TDpref_longtime.xml
/data/data/####/TDpref_longtime0.xml
/data/data/####/TDpref_shorttime.xml
/data/data/####/TDpref_shorttime0.xml
/data/data/####/TVBusManager.xml
/data/data/####/analysis.xml
/data/data/####/appPackageNames
/data/data/####/cb63316fcf151bbc6a77529b5cdd759c7b6e0e43171831e....0.tmp
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cctv1.0
/data/data/####/cctv10.0
/data/data/####/cctv11.0
/data/data/####/cctv12.0
/data/data/####/cctv14.0
/data/data/####/cctv15.0
/data/data/####/cctv2.0
/data/data/####/cctv3.0
/data/data/####/cctv4.0
/data/data/####/cctv5.0
/data/data/####/cctv5plus.0
/data/data/####/cctv6.0
/data/data/####/cctv7.0
/data/data/####/cctv8.0
/data/data/####/cctv9.0
/data/data/####/cctvnew.0
/data/data/####/cdn_download_prefs.xml
/data/data/####/cn.jpush.android.user.profile.xml
/data/data/####/cn.jpush.preferences.v2.rid.xml
/data/data/####/cn.jpush.preferences.v2.xml
/data/data/####/com.fasthdtv.com_preferences.xml
/data/data/####/config.xml
/data/data/####/dangbei_market_global_prefs.xml
/data/data/####/dbfile.xml
/data/data/####/dd1af46697aab30e5cda8fc6ac7a0a8af036c9b1d3563d0....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/fyzq.0
/data/data/####/geofencing.db
/data/data/####/geofencing.db-journal
/data/data/####/huanqiu-jushashenghuo-yangshi-14.0
/data/data/####/journal.tmp
/data/data/####/jpush_device_info.xml
/data/data/####/jpush_local_notification.db
/data/data/####/jpush_local_notification.db-journal
/data/data/####/jpush_local_notification.db-wal
/data/data/####/jpush_stat_cache.json
/data/data/####/jpush_stat_cache_history.json
/data/data/####/jpush_statistics.db
/data/data/####/jpush_statistics.db-journal
/data/data/####/jpush_statistics.db-shm (deleted)
/data/data/####/jpush_statistics.db-wal
/data/data/####/jpush_uncaughtexception_file
/data/data/####/kuaisou_downloader-journal
/data/data/####/libjiagu1261484680.so
/data/data/####/mipush.xml
/data/data/####/mipush_extra.xml
/data/data/####/multidex.version.xml
/data/data/####/plugin.tmp
/data/data/####/plugin_upgrade_header.xml
/data/data/####/plugin_upgrade_url.xml
/data/data/####/pp.tmp
/data/data/####/spider_prefs.xml
/data/data/####/tdid.xml
/data/data/####/tvcore.so
/data/data/####/tvcore.so.tmp (deleted)
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/yougouwu-shishang-yangshi16.0
/data/media/####/.D1C593128F43E2D009A968D7C663F774
/data/media/####/.D1C593128F43E2D009A968D7C663F774-journal
/data/media/####/.nomedia
/data/media/####/.push_deviceid
/data/media/####/.tcookieid
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/afinalCache.0
/data/media/####/afinalCache.1
/data/media/####/afinalCache.idx

Другие:

Запускает следующие shell-скрипты:

cat /proc/meminfo
chmod 777 /storage/emulated/0/Android/data/<Package>/cache/afinalCache
getprop
ping -c 1 -w 2 update.dangbei.net

Загружает динамические библиотеки:

euthenia-lib
ijkffmpeg
ijkplayer
ijksdl
jcore117
libjiagu1261484680
tvcore

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
DES-CBC-PKCS5Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-NoPadding
DES-CBC-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней