Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Kyview.1.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) trc.ad####.com:80
- TCP(HTTP/1.1) r.y####.net:80
- TCP(HTTP/1.1) a####.a####.com:80
- TCP(HTTP/1.1) re####.ad####.cn:80
- TCP(HTTP/1.1) pin####.qq.com:80
- TCP(HTTP/1.1) qzones####.g####.cn.####.com:80
- TCP(HTTP/1.1) d####.fl####.com:80
- TCP(HTTP/1.1) co####.ad####.cn:80
- TCP(HTTP/1.1) mi.g####.qq.com:80
Запросы DNS:
- a####.a####.com
- co####.ad####.cn
- co####.ad####.cn
- co####.ad####.com
- co####.mobi####.cn
- d####.fl####.com
- m####.ad####.com
- m.doodlem####.com
- mi.g####.qq.com
- oc.gw.y####.net
- pin####.qq.com
- qzones####.g####.cn
- r.y####.net
- re####.ad####.cn
- s####.gw.y####.net
- trc.ad####.com
Запросы HTTP GET:
- a####.a####.com/mst.htm?version=####
- co####.ad####.cn/agent/adinstl_config.php?appid=####&appver=####&client=...
- co####.ad####.cn/agent/agent1_android.php?appid=####&appver=####&client=...
- mi.g####.qq.com/gdt_mview.fcg?adposcount=####&count=####&posid=####&posw...
- pin####.qq.com/pingd?dm=####&url=####&tt=####&hottag=####&hotx=####&hoty...
- qzones####.g####.cn.####.com/open_proj/html/gdt/app-phone/app-wall/gdt-a...
- qzones####.g####.cn.####.com/open_proj/html/gdt/app-phone/app-wall/img/l...
- qzones####.g####.cn.####.com/qzone/biz/comm/iscroll/iscroll.js
- qzones####.g####.cn.####.com/qzone/biz/gdt/mob/sdk/1.3/render.3.js
- qzones####.g####.cn.####.com/qzone/biz/gdt/mob/sdk/1.3/sdk.js?_=####
- qzones####.g####.cn.####.com/qzone/biz/gdt/mob/sdk/1.3/sdk.js?_=####&ver...
- qzones####.g####.cn.####.com/qzone/biz/gdt/mob/sdk/1.3/version.js
- qzones####.g####.cn.####.com/qzone/biz/gdt/mob/sdk/html/banner.html?1####
- qzones####.g####.cn.####.com/qzone/biz/gdt/mob/sdk/html/img/banner_down_...
- qzones####.g####.cn.####.com/qzone/biz/gdt/mob/sdk/html/img/gdt_logo.png
- qzones####.g####.cn.####.com/qzone/biz/gdt/mob/sdk/html/popup.html
- r.y####.net/spot/aos/v2/req?s=####
- r.y####.net/v3/init?s=####
- re####.ad####.cn/agent/adinstl_display.php?appid=####&nid=####&type=####...
- re####.ad####.cn/agent/adinstl_report.php?keyAdView=####&keyDev=####&typ...
- re####.ad####.cn/agent/agent2.php?appid=####&nid=####&type=####&uuid=###...
- re####.ad####.cn/agent/appReport.php?keyAdView=####&keyDev=####&typeDev=...
- trc.ad####.com/trc/sdk/x.gif?ver=####&md=####&pf=####&ib=####&mid=####&u...
Запросы HTTP POST:
- a####.a####.com/init.htm
- d####.fl####.com/aap.do
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.flurryagent.-19aeb93b
- /data/data/####/.md5
- /data/data/####/.sec_version
- /data/data/####/1554455589_e387aa28-e7a0-4084-badd-d6a2cb668da9.dat
- /data/data/####/CE94557724F842149D690D0E8CBB1CBD.xml
- /data/data/####/P15pKIjsm64m
- /data/data/####/P15pKIjsm64m-journal
- /data/data/####/SDK20140117010159vzad8oio465ndnd.xml
- /data/data/####/SDK20140117010159vzad8oio465ndndAdinstl.xml
- /data/data/####/T1oX0rhhuXWt
- /data/data/####/T1oX0rhhuXWt-journal
- /data/data/####/XKwVoK0huy3R
- /data/data/####/XKwVoK0huy3R-journal
- /data/data/####/adconfig.xml
- /data/data/####/classes.dex
- /data/data/####/classes.jar
- /data/data/####/com.shootbubble.bubbledexlue
- /data/data/####/com.shootbubble.bubbledexlue_preferences.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/gamecenter_settings.xml
- /data/data/####/gdt_tencent_analysis.db-journal
- /data/data/####/index
- /data/data/####/jqIqJYOT3JpT
- /data/data/####/jqIqJYOT3JpT-journal
- /data/data/####/libsecexe.x86.so
- /data/data/####/libsecmain.x86.so
- /data/data/####/reqinfo.db
- /data/data/####/reqinfo.db-journal
- /data/data/####/wIU6pTyUBYWX
- /data/data/####/wIU6pTyUBYWX-journal
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/wsUL1uCdKvjD
- /data/data/####/wsUL1uCdKvjD-journal
Другие:
Запускает следующие shell-скрипты:
- <Package> <Package> -1829659432 0 /data/app/<Package>-1.apk 42 <Package> 47 48
- chmod 755 <Package Folder>/.cache/<Package>
Загружает динамические библиотеки:
- libsecexe.x86
Использует следующие алгоритмы для шифрования данных:
- DES-ECB-PKCS5Padding
- PBEWITHMD5andDES
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
