Adware.Waps.925

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Waps.5.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) h####.a####.com:80
TCP(HTTP/1.1) cs107-####.a####.com:80
TCP(HTTP/1.1) y####.b0.a####.com:80
TCP(HTTP/1.1) kvt####.m####.a####.com:80
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) t####.dmp.y####.net:80
TCP(HTTP/1.1) cs208-####.a####.com:80
TCP(HTTP/1.1) ip.ta####.com:80
TCP(HTTP/1.1) cs228-####.a####.com:80
TCP(HTTP/1.1) pa.91hou####.com:6099
TCP(HTTP/1.1) s.y####.net:80
TCP(HTTP/1.1) cs251-####.a####.com:80
TCP(HTTP/1.1) cs227-####.a####.com:80
TCP(HTTP/1.1) s####.gw.y####.net:80
TCP(HTTP/1.1) cs112-####.a####.com:80
TCP(HTTP/1.1) 47.1####.140.194:80
TCP(HTTP/1.1) c51.a####.com:80
TCP(HTTP/1.1) 47.1####.167.201:8080
TCP(HTTP/1.1) a####.a####.com:80
TCP(HTTP/1.1) c53.a####.com:80
TCP(HTTP/1.1) l####.c####.q####.####.com:80
TCP(HTTP/1.1) cs221-####.a####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) a####.m.ta####.com:80
TCP(HTTP/1.1) x####.a####.com:80
TCP(HTTP/1.1) api.map.b####.com:80
TCP(HTTP/1.1) app.w####.cn:80
TCP(HTTP/1.1) fu1.a####.com:80
TCP(HTTP/1.1) cs199-####.a####.com:80
TCP(TLS/1.0) c####.im.ta####.com:443
TCP(TLS/1.0) na61-####.wagbr####.ali####.####.com:443
UDP 2####.0.0.1:9998

Запросы DNS:

2####.nd####.y####.com
a####.a####.com
a####.m.ta####.com
a####.u####.com
and####.b####.qq.com
aos.w####.y####.net
api.map.b####.com
app.w####.cn
au.y####.net
c####.im.ta####.com
c51.a####.com
c53.a####.com
cs107-####.a####.com
cs112-####.a####.com
cs199-####.a####.com
cs208-####.a####.com
cs221-####.a####.com
cs227-####.a####.com
cs227-####.a####.com
cs228-####.a####.com
cs228-####.a####.com
cs251-####.a####.com
fu1.a####.com
h####.a####.com
h####.a####.com
h####.a####.com
i####.ww.ta####.com
img.we####.cn
ip.ta####.com
kvt####.m####.a####.com
m####.a####.com
pa.91hou####.com
res.we####.cn
s####.gw.y####.net
s.y####.net
sdk.st####.y####.com
t####.dmp.y####.net
www.a####.com
x####.a####.com

Запросы HTTP GET:

a####.a####.com/atiws/atiappcommon?platform=####&appver=####&gameid=####...
api.map.b####.com/geocoder?output=####&location=####&key=####
app.w####.cn/action/connect/active?app_id=####&udid=####&imsi=####&net=#...
c51.a####.com/user/30/29580030/1005/card/48932090/48932090_800.jpg
c51.a####.com/user/30/29580030/1005/card/48945097/48945097_800.jpg
c51.a####.com/user/407/59687407/1005/card/48940993/48940993_800.jpg
c51.a####.com/user/51/8463051/1005/card/48930001/48930001_800.jpg
c51.a####.com/user/51/8463051/1005/card/48937040/48937040_800.jpg
c51.a####.com/user/875/21166875/1005/card/48930176/48930176_800.jpg
c53.a####.com/user/397/38924397/1006/card/48935236/48935236_800.jpg
cs107-####.a####.com/user/328/42337328/1006/card/48932288/48932288_800.jpg
cs112-####.a####.com/user/875/21166875/1005/card/48930176/48930176_800.jpg
cs199-####.a####.com/user/649/67038649/1006/card/48936911/48936911_800.jpg
cs208-####.a####.com/user/30/29580030/1005/card/48945097/48945097_800.jpg
cs221-####.a####.com/user/51/8463051/1005/card/48930001/48930001_800.jpg
cs227-####.a####.com/user/30/29580030/1005/card/48932090/48932090_800.jpg
cs227-####.a####.com/user/328/42337328/1006/card/48939186/48939186_800.jpg
cs228-####.a####.com/user/397/38924397/1006/card/48935236/48935236_800.jpg
cs228-####.a####.com/user/407/59687407/1005/card/48940993/48940993_800.jpg
cs251-####.a####.com/user/51/8463051/1005/card/48937040/48937040_800.jpg
fu1.a####.com/account/30/29580030/account/29580030_normal.jpg
fu1.a####.com/account/328/42337328/account/42337328_normal.jpg
fu1.a####.com/account/397/38924397/account/38924397_normal.jpg
fu1.a####.com/account/407/59687407/account/59687407_normal.jpg
fu1.a####.com/account/51/8463051/account/8463051_normal.jpg
fu1.a####.com/account/649/67038649/account/67038649_normal.jpg
fu1.a####.com/account/875/21166875/account/21166875_normal.jpg
h####.a####.com/user/30/29580030/1005/card/48932090/48932090_800.jpg
h####.a####.com/user/30/29580030/1005/card/48945097/48945097_800.jpg
h####.a####.com/user/328/42337328/1006/card/48932288/48932288_800.jpg
h####.a####.com/user/328/42337328/1006/card/48939186/48939186_800.jpg
h####.a####.com/user/397/38924397/1006/card/48935236/48935236_800.jpg
h####.a####.com/user/407/59687407/1005/card/48940993/48940993_800.jpg
h####.a####.com/user/51/8463051/1005/card/48930001/48930001_800.jpg
h####.a####.com/user/51/8463051/1005/card/48937040/48937040_800.jpg
h####.a####.com/user/649/67038649/1006/card/48936911/48936911_800.jpg
h####.a####.com/user/875/21166875/1005/card/48930176/48930176_800.jpg
ip.ta####.com/service/getIpInfo2.php?ip=####
kvt####.m####.a####.com/kvinfo.php
l####.c####.q####.####.com/core/aos-dex/1701/7011/6f830529.jar
l####.c####.q####.####.com/core/aos-so/1611/7000/ad389c56.so
s####.gw.y####.net/aos/v3/initf?s=####
s####.gw.y####.net/stat/v3/udt2?appid=####&s=####
s.y####.net/stat/aos/v3/pkc?s=####
s.y####.net/stat/aos/v3/pku?s=####
s.y####.net/v3/zip_upd?s=####
x####.a####.com/api/framework/adConf/15?platform=####&appver=####&os=###...
x####.a####.com/api/framework/jifen/enter/15?platform=####&appver=####&o...
x####.a####.com/api/hot/bannerItem/247?platform=####&appver=####&os=####...
x####.a####.com/api/hot/titleItem/248?platform=####&appver=####&os=####&...
x####.a####.com/api/hot/videos/52483?appId=####&xifenId=####&platform=##...
x####.a####.com/api/jifen/firstInstallInit?platform=####&appver=####&udi...
x####.a####.com/api/specialTopic/itemList/250?platform=####&appver=####&...
x####.a####.com/app/www/templates/common/img/upload/backadmin/201609/30/...
x####.a####.com/common/img/upload/xifen/1479200533_346.png
x####.a####.com/common/img/upload/xifen/1479200554_273.png
x####.a####.com/common/img/upload/xifen/1479200573_569.png
x####.a####.com/common/img/upload/xifen/1479200619_736.png
x####.a####.com/common/img/upload/xifen/1479200639_561.png
x####.a####.com/common/img/upload/xifen/1479200654_175.png
x####.a####.com/common/img/upload/xifen/1482232531_418.png
x####.a####.com/common/img/upload/xifen/1497013313_208.jpg
x####.a####.com/common/img/upload/xifen/1497013348_654.jpg
x####.a####.com/mobile/apps/apps.php?module=####&func=####&app=####&ver=...
x####.a####.com/mobile/apps/apps_module-badDomain.html
y####.b0.a####.com/offer/dist/aos/pkg/3.3.1/offers_3.3.1.zip

Запросы HTTP POST:

a####.m.ta####.com/rest/gc?dd=####&nsgs=####&ak=####&av=####&c=####&v=##...
a####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=####&...
a####.u####.com/app_logs
and####.b####.qq.com/rqd/async
app.w####.cn/action/user_info
kvt####.m####.a####.com/i.gif
pa.91hou####.com:6099/aps/
t####.dmp.y####.net/v1/android/packages?rt=####&sign=####
t####.dmp.y####.net/v2/android/pkgtime?rt=####&sign=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/067323871f2b8c7f0791c6c1c66d9c9f940d33e0c8e1a3b....0.tmp
/data/data/####/0d9a1eb14c373fa1fee5951910b20bf2-journal
/data/data/####/14bce050e60999669821a48ba63c4f31
/data/data/####/14bce050e60999669821a48ba63c4f31-journal
/data/data/####/1bb659f2435f7a2ad19941e8252ddf3a2e1b4ac2699e35c....0.tmp
/data/data/####/3ea81f7ca6a9ef541896d852ab64d06fe3ba63508fc85f2....0.tmp
/data/data/####/4385d9c77314126ce83bb98afbd002de.zip
/data/data/####/4513ece65921da5157c1062bbd3fa6c8.0.tmp
/data/data/####/4513ece65921da5157c1062bbd3fa6c8.1.tmp
/data/data/####/4644b14e8091462026fdaa2465e6563b65812efa033351c....0.tmp
/data/data/####/5446f425706486003dbd76f4913f74a5691df77708cc7b3....0.tmp
/data/data/####/5a35e9afb688392c3b6f7ab7d414cdf2f0d8e821d7d6f43....0.tmp
/data/data/####/5ac02f5ec4e60a3f971de72f2b0d83ef.0.tmp
/data/data/####/5ac02f5ec4e60a3f971de72f2b0d83ef.1.tmp
/data/data/####/5b1a221852ccad7b72491d203f1195949601fd96fc79474....0.tmp
/data/data/####/5b8c58f9903d056d410873850b54e91b2f06db583742dce....0.tmp
/data/data/####/62c7dc5f74632ee83cd2230a79342d37b7087a734195c16....0.tmp
/data/data/####/89bdbda969c1a32180c209464f3780eaf740b2cb26f8b2d....0.tmp
/data/data/####/9c8215a210cbea32b66610da6bc1794e7a5412a73547223....0.tmp
/data/data/####/Alvin2.xml
/data/data/####/AppSettings.xml
/data/data/####/C0XKJAO3JLZKJPDKJFXLINQCJIOAOD.xml
/data/data/####/CE94557724F842149D690D0E8CBB1CBD.xml
/data/data/####/CacheTime.dat
/data/data/####/ContextData.xml
/data/data/####/CookiePersistence.xml
/data/data/####/OFFERSCONFIG1.xml
/data/data/####/OxgHkj2lz09F
/data/data/####/OxgHkj2lz09F-journal
/data/data/####/P15pKIjsm64m
/data/data/####/P15pKIjsm64m-journal
/data/data/####/RptKVStrategy.txt
/data/data/####/ShowAdFlag.xml
/data/data/####/T1oX0rhhuXWt
/data/data/####/T1oX0rhhuXWt-journal
/data/data/####/UTCommon.xml
/data/data/####/UTMCConf-312003323.xml
/data/data/####/UTMCLog-312003323.xml
/data/data/####/XKwVoK0huy3R
/data/data/####/XKwVoK0huy3R-journal
/data/data/####/a2dea89e341bb987aacd8713fa474dd9332934c3175c5c8....0.tmp
/data/data/####/acc1e62dfe2938dfbc192ad6d80c7b4f
/data/data/####/acc1e62dfe2938dfbc192ad6d80c7b4f-journal
/data/data/####/ad_system_config.xml
/data/data/####/aipai.btconfig
/data/data/####/aipai.guid
/data/data/####/arrow-left-pink.png
/data/data/####/arrow-left.png
/data/data/####/arrow-right-pink.png
/data/data/####/arrow-right.png
/data/data/####/bece62b36f60248a87d8db9eb12994956d3a8d7eb2a1d81....0.tmp
/data/data/####/blank.gif
/data/data/####/bugly_db_legu-journal
/data/data/####/c240cba5b1f437a9fcc5afea2988f8093b80400e2a83e3b....0.tmp
/data/data/####/c76bef3b192e923b83ea7351f5693d49da31ae853659023....0.tmp
/data/data/####/c775ef412f72f8c75f27fe8da772c6e99f561a940c37d64....0.tmp
/data/data/####/c793176b29e00b06da419d9becfc9bec39d58fbcba0bea4....0.tmp
/data/data/####/c7b2daeac818a0fe5b3de7884c553a609a605a6132542a3....0.tmp
/data/data/####/close-icon.png
/data/data/####/com.sdgvsg.rgeh_preferences.xml
/data/data/####/config.json
/data/data/####/config.xml
/data/data/####/d2a61bf82512763324f24e63e310f9f786103c2d86e904c....0.tmp
/data/data/####/d2fee5badb0f05079f83173cfc7fd11a3f567c43ce29537....0.tmp
/data/data/####/d38b09f2c22f6531cccc762b4cbb060b42203128159b2f0....0.tmp
/data/data/####/default.png
/data/data/####/detail-wx-miniprogram.html
/data/data/####/detail-wx-miniprogram.js
/data/data/####/detail-wx.html
/data/data/####/detail-wx.js
/data/data/####/detail.html
/data/data/####/detail.js
/data/data/####/e0888850d29ef11a195e5b377efd4265.0.tmp
/data/data/####/e0888850d29ef11a195e5b377efd4265.1.tmp
/data/data/####/e54395c6de766155056d0cb530b37e276ad991699b3eb26....0.tmp
/data/data/####/e5958d83901c4821e2e1760a579394f19824677f8331af4....0.tmp
/data/data/####/eaaf6ac1d75b711df85290536ca3d20aaef5f03377d5cdb....0.tmp
/data/data/####/ecde68c2b7b4ace682f7e61af7e9237c523c50436b98204....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/f8282b0d3c041dd8bf07b5df2a930471.0.tmp
/data/data/####/f8282b0d3c041dd8bf07b5df2a930471.1.tmp
/data/data/####/f931eee4f9ce4995bee67f0d0021b762c6aca30c1efa20c....0.tmp
/data/data/####/fd63b500529e24c7163a1e402974b8a644eb2bf4966c26a....0.tmp
/data/data/####/feedback.html
/data/data/####/feedback.js
/data/data/####/form.css
/data/data/####/global.js
/data/data/####/journal
/data/data/####/journal.tmp
/data/data/####/jqIqJYOT3JpT
/data/data/####/jqIqJYOT3JpT-journal
/data/data/####/libabcdefgh.so.new
/data/data/####/libnfix.so
/data/data/####/libshella-2.9.0.2.so
/data/data/####/libufix.so
/data/data/####/lists.css
/data/data/####/lists.html
/data/data/####/lists.js
/data/data/####/local_crash_lock
/data/data/####/md5.js
/data/data/####/mix.dex
/data/data/####/multidex.version.xml
/data/data/####/native_record_lock
/data/data/####/nointernet.png
/data/data/####/pic_friend_step1.jpg
/data/data/####/pic_friend_step2.jpg
/data/data/####/pic_friend_step3.jpg
/data/data/####/pic_friend_step4.jpg
/data/data/####/pic_friend_step5.jpg
/data/data/####/pic_m.png
/data/data/####/pic_tips_01.png
/data/data/####/pic_tips_02.png
/data/data/####/pic_xiaochengxu_kefu_step1.png
/data/data/####/pic_xiaochengxu_kefu_step2.png
/data/data/####/pic_xiaochengxu_kefu_step3.png
/data/data/####/pic_xiaochengxu_kefu_step4.png
/data/data/####/pic_xiaochengxu_kefu_step5.png
/data/data/####/pic_xiaochengxu_kefu_step6.png
/data/data/####/pic_xiaochengxu_step1.png
/data/data/####/pic_xiaochengxu_step2.png
/data/data/####/pic_xiaochengxu_step3.png
/data/data/####/pic_xiaochengxu_step4.png
/data/data/####/pic_xiaochengxu_step5.png
/data/data/####/result.png
/data/data/####/rule.html
/data/data/####/rx_sf_account.xml
/data/data/####/rx_sf_app.xml
/data/data/####/sdetail.html
/data/data/####/security_info
/data/data/####/share.css
/data/data/####/share.html
/data/data/####/share.js
/data/data/####/sp.lock
/data/data/####/sprite-face.png
/data/data/####/sprite-icons.png
/data/data/####/sprite-icons2.png
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/wIU6pTyUBYWX
/data/data/####/wIU6pTyUBYWX-journal
/data/data/####/webview.db-journal
/data/data/####/wsUL1uCdKvjD
/data/data/####/wsUL1uCdKvjD-journal
/data/data/####/wx-qr-step1.jpg
/data/data/####/wx-qr-step2.jpg
/data/data/####/wx-qr-step3.jpg
/data/data/####/wx-qr-step4.jpg
/data/data/####/wx-qr-step5.jpg
/data/data/####/wx-step1.jpg
/data/data/####/wx-step2.jpg
/data/data/####/wx-step3.jpg
/data/data/####/wx-step4.jpg
/data/data/####/wx-step5.jpg
/data/data/####/wx-wifi-step1.jpg
/data/data/####/wx-wifi-step2.jpg
/data/data/####/wx-wifi-step3.jpg
/data/data/####/wx-wifi-step4.jpg
/data/data/####/wx-wifi-step5.jpg
/data/data/####/ymdex.jar
/data/data/####/ymdex.jar.new
/data/data/####/ywPrefsTools.xml
/data/media/####/.nomedia
/data/media/####/4f381e4a18db964acd607fbc01c91ab6
/data/media/####/4f381e4a18db964acd607fbc01c91ab6.ymtf
/data/media/####/6c709c11d2d46a7b
/data/media/####/99d6cc086d1cc54ef6f4184b6ae4cbf7
/data/media/####/Alvin2.xml
/data/media/####/AppPackage.dat
/data/media/####/CacheTime.dat
/data/media/####/ContextData.xml
/data/media/####/DXTX902KJZX9JASLDJF
/data/media/####/DXTX902KJZX9JASLDJF.ymtf
/data/media/####/SOX90123JSOALK2098SD
/data/media/####/SOX90123JSOALK2098SD.ymtf
/data/media/####/UnPackage.dat
/data/media/####/android
/data/media/####/dd7893586a493dc3
/data/media/####/i42d45df023jnkdd93la483f9xGFKXI
/data/media/####/s92TjjdfoP2n3o9dfji2l9s1olkjf0p

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/kernel_max
/system/bin/sh -c getprop ro.aa.romver
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.build.fingerprint
/system/bin/sh -c getprop ro.build.nubia.rom.name
/system/bin/sh -c getprop ro.build.rom.id
/system/bin/sh -c getprop ro.build.tyd.kbstyle_version
/system/bin/sh -c getprop ro.build.version.emui
/system/bin/sh -c getprop ro.build.version.opporom
/system/bin/sh -c getprop ro.gn.gnromvernumber
/system/bin/sh -c getprop ro.lenovo.series
/system/bin/sh -c getprop ro.lewa.version
/system/bin/sh -c getprop ro.meizu.product.model
/system/bin/sh -c getprop ro.miui.ui.version.name
/system/bin/sh -c getprop ro.vivo.os.build.display.id
/system/bin/sh -c type su
cat /proc/cpuinfo | grep Serial
chmod 700 <Package Folder>/tx_shell/libnfix.so
chmod 700 <Package Folder>/tx_shell/libshella-2.9.0.2.so
chmod 700 <Package Folder>/tx_shell/libufix.so
getprop ro.aa.romver
getprop ro.board.platform
getprop ro.build.fingerprint
getprop ro.build.nubia.rom.name
getprop ro.build.rom.id
getprop ro.build.tyd.kbstyle_version
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.gn.gnromvernumber
getprop ro.lenovo.series
getprop ro.lewa.version
getprop ro.meizu.product.model
getprop ro.miui.ui.version.name
getprop ro.vivo.os.build.display.id
getprop ro.yunos.version
logcat -d -v threadtime
ls -l /system/xbin/su

Загружает динамические библиотеки:

Bugly
abcdefgh
libnfix
libshella-2.9.0.2
libufix
nfix
securitysdk-3.1
ufix
xifen

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS5Padding
AES-GCM-NoPadding
DES-CBC-PKCS5Padding
PBEWITHMD5andDES
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-GCM-NoPadding
DES-CBC-PKCS5Padding
PBEWITHMD5andDES

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней