Adware.Panda.349

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Panda.1.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) sdk-ope####.g####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) www.pan####.net:8080
TCP(HTTP/1.1) c-h####.g####.com:80
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5225

Запросы DNS:

7j####.c####.z0.####.com
a####.u####.com
api.mo####.maiton####.com
apm-co####.qte####.com
apm-col####.qte####.com
c####.g####.ig####.com
c-h####.g####.com
loc.map.b####.com
pub-####.qin####.com
sdk-ope####.g####.com
sdk.c####.ig####.com
sdk.o####.i####.####.com
sdk.o####.t####.####.com
www.pan####.net

Запросы HTTP GET:

qin####.com.www.####.com/tdata_EDT369
t####.c####.q####.####.com/config/hz-hzv6.conf
t####.c####.q####.####.com/tdata_FVZ795
t####.c####.q####.####.com/tdata_cUv236
t####.c####.q####.####.com/tdata_eoG063

Запросы HTTP POST:

a####.u####.com/app_logs
c-h####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####
sdk-ope####.g####.com/api.php?format=####&t=####&d=####&k=####
www.pan####.net:8080/Mini/req.action?
www.pan####.net:8080/banner/req.action?
www.pan####.net:8080/fview/req.action?
www.pan####.net:8080/lscr/reqmore?

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/346c7f4ab0af
/data/data/####/TestinAgent.db
/data/data/####/TestinAgent.db-journal
/data/data/####/TestinAgent.xml
/data/data/####/WORLD_SHARED.xml
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__local_last_session.json
/data/data/####/__send_data_1559018943053
/data/data/####/com.mai.androidha;GSID.xml
/data/data/####/exchangeIdentity.json
/data/data/####/firll.dat
/data/data/####/gdaemon_20161017
/data/data/####/gkt-journal
/data/data/####/increment.db-journal
/data/data/####/init.pid
/data/data/####/libcuid.so
/data/data/####/mobclick_agent_cached_com.mai.androidha32
/data/data/####/ofl_location.db
/data/data/####/ofl_location.db-journal
/data/data/####/ofl_statistics.db
/data/data/####/ofl_statistics.db-journal
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tdata_FVZ795.jar
/data/data/####/tdata_FVZ795.tmp
/data/data/####/tdata_cUv236.jar
/data/data/####/tdata_cUv236.tmp
/data/data/####/tdata_eoG063.jar
/data/data/####/tdata_eoG063.tmp
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/media/####/.confd
/data/media/####/.confd-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.timestamp
/data/media/####/2c2df2a76eb8b1d5a82ea767eef18cbb.zip
/data/media/####/app.db
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.mai.androidha.db
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/ls.db
/data/media/####/ls.db-journal
/data/media/####/tdata_FVZ795
/data/media/####/tdata_cUv236
/data/media/####/tdata_eoG063
/data/media/####/test.0
/data/media/####/test.log
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
<Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24660 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
logcat -t 100 -v time
mount
sh
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24660 300 0

Загружает динамические библиотеки: