Adware.Iflytek.22

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Iflytek.1

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) rp.hp####.cn:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) s####.e.qq.com:80
TCP(HTTP/1.1) i####.gdt.qq.com:80
TCP(HTTP/1.1) sdk####.hp####.cn:80
TCP(HTTP/1.1) 1####.11.61.135:80
TCP(HTTP/1.1) www.y####.net:80
TCP(HTTP/1.1) amdc####.m.ta####.com:80
TCP(HTTP/1.1) i####.3####.cn:80
TCP(HTTP/1.1) i####.hp####.cn:80
TCP(HTTP/1.1) imgc####.qq.com.####.com:80
TCP(HTTP/1.1) k####.appt####.com:80
TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) analy####.map.qq.com:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) weib####.g####.sina####.com:443
TCP(TLS/1.0) dualsta####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) safebro####.google####.com:443
TCP(TLS/1.0) 1####.217.168.238:443
TCP(TLS/1.0) en####.tui####.com:443
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) acti####.tui####.com:443
TCP(TLS/1.0) 1####.217.168.202:443
TCP(TLS/1.0) 1####.217.17.138:443
TCP(TLS/1.2) and####.google####.com:443
TCP(TLS/1.2) 1####.217.168.202:443
TCP 1####.23.19.205:8080
TCP zb-cent####.m.ta####.com:443
TCP 47.1####.240.74:8080

Запросы DNS:

a####.man.aliy####.com
acti####.tui####.com
amdc####.m.ta####.com
analy####.map.qq.com
and####.google####.com
en####.tui####.com
i####.3####.cn
i####.gdt.qq.com
i####.hp####.cn
imgc####.qq.com
instant####.google####.com
k####.appt####.com
l####.tbs.qq.com
log.u####.com
m####.go####.com
oss.3####.cn
plb####.u####.com
rp.hp####.cn
s####.e.qq.com
s19.c####.com
safebro####.google####.com
sdk####.hp####.cn
u####.u####.com
umen####.m.ta####.com
umengj####.m.ta####.com
ws3.sin####.cn
www.y####.net
yun.tuis####.com

Запросы HTTP GET:

i####.3####.cn/apk/ykge/ykge-www-2-1-0-2.apk
i####.3####.cn/images/vipicon/iqiyi-vip.png
i####.3####.cn/images/vipicon/letv-vip.png
i####.3####.cn/images/vipicon/mgtv-vip.png
i####.3####.cn/images/vipicon/pptv.png
i####.3####.cn/images/vipicon/quanwang.png
i####.3####.cn/images/vipicon/sohutvvip.png
i####.3####.cn/images/vipicon/tv.png
i####.3####.cn/images/vipicon/vipwifiz.png
i####.3####.cn/images/vipicon/youku-vip.png
i####.3####.cn/img/ykge/1_1.png
i####.3####.cn/img/ykge/an.png
i####.3####.cn/img/ykge/ios.png
i####.3####.cn/img/ykge/logo2.png
i####.gdt.qq.com/information?fc=####&datatype=####&support_content_ad=##...
i####.hp####.cn/Author/GetImServer?appid=####&token=####&uid=####
imgc####.qq.com.####.com/qzone/biz/gdt/mod/android/AndroidAllInOne/progu...
rp.hp####.cn/logins?v=####&s=1=6####&707####&7-95####&T=mnc5.####&5302l7...
rp.hp####.cn/logins?v=####&s=1=6####&747####&7-95=0=####&11B9s33####&6u4...
rp.hp####.cn/logins?v=####&s=1=6####&757####&7-95####&T=mnc5.####&5302l7...
rp.hp####.cn/logins?v=####&s=1=6####&777####&7-95=0=####&11B9s33####&6u4...
rp.hp####.cn/relation?v=####&s=734i7####&6u=####&081c0lp76cp84889=####&7...
rp.hp####.cn/service?v=####&s=1=6####&707####&7####&A1AAn=u####&11B9s334...
rp.hp####.cn/service?v=####&s=1=6####&747####&7####&1D32n=u####&11B9s334...
rp.hp####.cn/service?v=####&s=1=6####&777####&7####&5D58n=u####&11B9s334...
sdk####.hp####.cn/Author/PhoneAuthor/?sever_ver=####&appid=####&timestam...
www.y####.net/?autodown=####
www.y####.net/css/animate.css
www.y####.net/css/bootstrap-datetimepicker.css
www.y####.net/css/bootstrap.css
www.y####.net/css/font-awesome.css
www.y####.net/css/main.css
www.y####.net/css/swiper.css
www.y####.net/css/weixin.css
www.y####.net/favicon.ico
www.y####.net/js/bootstrap-datetimepicker.js
www.y####.net/js/bootstrap-datetimepicker_002.js
www.y####.net/js/bootstrap.js
www.y####.net/js/jquery.js
www.y####.net/js/swiper.js

Запросы HTTP POST:

amdc####.m.ta####.com/amdc/mobileDispatch?appkey=####&deviceId=####&plat...
k####.appt####.com/api/v2/common/appupdate/
k####.appt####.com/api/v2/common/popup/
k####.appt####.com/api/v2/home/index/
k####.appt####.com/api/web/getinfo/
l####.tbs.qq.com/ajax?c=####&k=####
s####.e.qq.com/activate
s####.e.qq.com/launch

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.jgck
/data/data/####/043136e1e3386c9b_0
/data/data/####/068cc6756c45cd0f_0
/data/data/####/104d9c33377e59ec_0
/data/data/####/104d9c33377e59ec_1
/data/data/####/1853e6cbf5e57d1c_0
/data/data/####/1ccbd80fa726bbe2_0
/data/data/####/1ddc2dc9d9f4f5ce_0
/data/data/####/254944c5fd78a6f6_0
/data/data/####/25b3ebd729f798e9_0
/data/data/####/28518bab590fe9e4_0
/data/data/####/28518bab590fe9e4_1
/data/data/####/2960428f3dbf7f3c971ad478fd2255d30d8109b3e5cab15....0.tmp
/data/data/####/2eea16abda1bc20b_0 (deleted)
/data/data/####/3164.yaqcookie
/data/data/####/3335.yaqcookie
/data/data/####/379260071b2ad30b_0 (deleted)
/data/data/####/42aa634c2d4ec16ccf6cb771f1ff64ac03815dd843c3cff....0.tmp
/data/data/####/48923973bd81ea8f533068a1f39cb3fa8da877f62d7161a....0.tmp
/data/data/####/4ecbca638a3a01fd_0
/data/data/####/536a901997d690d3_0
/data/data/####/5379dd8123b9f3ed_0 (deleted)
/data/data/####/62e2cb9dd8e0e36d82e80438a680e97deec3d1c725127e2....0.tmp
/data/data/####/7c0684ff1150f5ce_0
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK.xml.bak (deleted)
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/BuglySdkInfos.xml
/data/data/####/ContextData.xml
/data/data/####/Cookies-journal
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/a7e1ff266c7e8d05_0 (deleted)
/data/data/####/aa097bdd72bc45a8f700d5c3dcb45ecee3f2e00f603b22e....0.tmp
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/b6c29834b9be60f582a2f4456bbe5294b99b612ad1caecc....0.tmp
/data/data/####/b98677dc033c4554_0
/data/data/####/c01314cfb42fedc8_0
/data/data/####/c0cbd410d317d662_0
/data/data/####/c825ec4f5c320871_0
/data/data/####/cache_json_main_home_url
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.oat
/data/data/####/com.kanjianv8.www_preferences.xml
/data/data/####/core_info
/data/data/####/dW1weF9pbnRlcm5hbF8xNTcwNzI5MzI1MjU5;
/data/data/####/dW1weF9pbnRlcm5hbF8xNTcwNzI5MzIwOTY3;
/data/data/####/debug.conf
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/dexMethod.88934210.dat
/data/data/####/download_upload
/data/data/####/e79fdf9febd5916de95f62f2414c96e454b7ae43baa243d....0.tmp
/data/data/####/ea2570009c165c1e4e81c24d78af1a357553eca5feb445b....0.tmp
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f767deac4f42f5e5_0
/data/data/####/f767deac4f42f5e5_1
/data/data/####/f76c017f4324ad38_0
/data/data/####/f930d787433a8746_0
/data/data/####/f930d787433a8746_1
/data/data/####/gdt_config.cfg
/data/data/####/gdt_plugin.dex
/data/data/####/gdt_plugin.dex.flock (deleted)
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_plugin.tmp.sig
/data/data/####/gdt_suid
/data/data/####/httpdns_config_cache.xml
/data/data/####/i==1.2.0&&5.0.9_1570729320989_envelope.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/journal.tmp
/data/data/####/libjiagu.so
/data/data/####/libyaqbasic.88934210.so
/data/data/####/libyaqpro.88934210.so
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/metrics_guid
/data/data/####/proc_auxv
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/share.db-journal
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak (deleted)
/data/data/####/tbs_download_stat.xml
/data/data/####/tbs_pv_config
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/temp-index
/data/data/####/the-real-index
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/umeng_message_state.xml.bak
/data/data/####/umeng_socialize.xml
/data/data/####/update_lc
/data/data/####/www.xml
/data/data/####/www.xml.bak
/data/data/####/yaqsdkcookie
/data/data/####/ykxia_db.db-journal
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.umm.dat
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/tbslog.txt
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
/system/bin/dex2oat --instruction-set=x86 --dex-file=<Package Folder>/.jiagu/classes.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes2.dex --dex-file=<Package Folder>/.jiagu/classes.dex:classes3.dex --oat-file=<Package Folder>/.jiagu/classes.oat --inline-depth-limit=0 --compiler-filter=speed
/system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86 --instruction-set-features=default --dex-file=/data/user/0/<Package>/app_e_qq_com_plugin/gdt_plugin.jar --oat-fd=74 --oat-location=/data/user/0/<Package>/app_e_qq_com_dex/gdt_plugin.dex --compiler-filter=speed
getprop ro.product.cpu.abi
ls /
ls /sys/class/thermal

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
RSA-ECB-NoPadding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS7Padding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней