Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Click.308.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) of.okyes####.com:80
- TCP(HTTP/1.1) f####.google####.com:80
- TCP(HTTP/1.1) www2-bi####.dual-a-####.a-ms####.net:80
- TCP(HTTP/1.1) r####.koapk####.com:80
- TCP(HTTP/1.1) csk####.com:80
- TCP(HTTP/1.1) t####.up####.com:80
- TCP(HTTP/1.1) www.adbocg####.com:8802
- TCP(HTTP/1.1) b####.com:80
- TCP(HTTP/1.1) f####.gst####.com:80
- TCP(HTTP/1.1) s####.b####.com:80
- TCP(HTTP/1.1) clic####.c0c.xyz:80
- TCP(HTTP/1.1) mb.superso####.com:80
- TCP(HTTP/1.1) ps.okyes####.com:8802
- TCP(HTTP/1.1) hiv####.pro:80
- TCP(TLS/1.0) c.atandm####.com:443
- TCP(TLS/1.0) csk####.com:443
- TCP(TLS/1.0) smart-v####.com:443
- TCP(TLS/1.0) jsde####.a7####.flexbal####.net:443
- TCP(TLS/1.0) app.super####.io:443
- TCP(TLS/1.0) c####.cloudf####.com:443
- TCP(TLS/1.0) ta####.offerst####.net:443
- TCP(TLS/1.0) f####.google####.com:443
- TCP(TLS/1.0) www2-bi####.dual-a-####.a-ms####.net:443
- TCP(TLS/1.0) a####.google####.com:443
- TCP(TLS/1.0) p####.prizes4####.com:443
- TCP(TLS/1.0) l####.msa.aka####.net:443
Запросы DNS:
- a####.google####.com
- app.super####.io
- b####.com
- c####.cloudf####.com
- c.atandm####.com
- cdn.jsde####.net
- clic####.c0c.xyz
- cs-g####.com
- csk####.com
- f####.google####.com
- f####.gst####.com
- hiv####.pro
- l####.l####.com
- m.superso####.com
- mb.superso####.com
- of.okyes####.com
- p####.prizes4####.com
- ps.okyes####.com
- r####.koapk####.com
- s####.b####.com
- smart-v####.com
- t####.mm.b####.net
- t####.up####.com
- ta####.offerst####.net
- w####.b####.com
- www.adbocg####.com
- www.b####.com
Запросы HTTP GET:
- b####.com/Passport.aspx?popup=####
- b####.com/fd/ls/l?IG=####&CID=####&Type=####&DATA=####
- b####.com/fd/ls/l?IG=####&CID=####&Type=####&DATA=####&P=####&DA=####
- b####.com/ipv6test/test?FORM=####
- b####.com/rb/14/cj,nj/74acd096/530e8123.js?bu=####
- b####.com/rb/5g/cj,nj/109c2aca/dfb7142d.js?bu=####
- b####.com/rb/G/cj,nj/e01c1a05/a96544f8.js?bu=####
- b####.com/rb/c/cj,nj/805ab237/f2e677b7.js?bu=####
- b####.com/rs/2Z/2O/cj,nj/d9d4493a/ac151446.js
- b####.com/rs/2Z/2w/cj,nj/8d784342/dbeb434c.js
- b####.com/rs/5g/1cz/cj,nj/a39998e4/6798a322.js
- b####.com/rs/5g/1ee/cj,nj/3e24e96b/af7d79f1.js
- b####.com/rs/6f/lF/cj,nj/6240f061/6fb5e8ee.js
- b####.com/rs/6f/m4/cj,nj/54603a84/41886d99.js
- b####.com/rs/6f/mV/cj,nj/a39a5113/359dc660.js
- b####.com/rs/6f/n6/cj,nj/656c2153/f08ce0bf.js
- b####.com/rs/6f/nI/cj,nj/439f7fcf/b771e748.js
- b####.com/rs/6h/Lu/cj,nj/01de8cec/248ada4c.js
- b####.com/rs/8/2X/cj,nj/4c10930c/19b40d8c.js
- b####.com/s/bnp/bingLogo.png
- b####.com/sa/simg/SharedSpriteMobile_2019_09_06.png
- b####.com/search?q=####
- b####.com/th?id=####&w=####&h=####&c=####&rs=####&pid=####
- b####.com/th?id=####&w=####&h=####&c=####&rs=####&qlt=####&pid=####&rm=#...
- clic####.c0c.xyz/rest/ck/o/1291/2427509?click_id=####
- clic####.c0c.xyz/rest/ck/o/1291/2427509?click_id=####&mc=####
- csk####.com/?a=####&oc=####&c=####&m=####&s1=####&s2=####
- f####.google####.com/css?family=####
- f####.gst####.com/s/ubuntu/v14/4iCs6KVjbNBYlgoKfw7znU6AFw.ttf
- f####.gst####.com/s/ubuntu/v14/4iCv6KVjbNBYlgoCxCvjsGyIPYZvgw.ttf
- hiv####.pro/adx/bingz/other
- mb.superso####.com/a/jE4I/?k=####
- mb.superso####.com/ejs.js
- mb.superso####.com/j/?k=####
- mb.superso####.com/r/?re=####&w=####&h=####&sw=####&sh=####&md=####&lb=#...
- of.okyes####.com/redirect?uid=####&sourceid=####&clickid=####
- s####.b####.com/redirect?s=####&at=####&rt=####&s2=####
- t####.up####.com/click?id=####&aff=####&ost=####&click=####
- www2-bi####.dual-a-####.a-ms####.net/ipv6test/test
Запросы HTTP POST:
- b####.com/fd/ls/lsp.aspx
- b####.com/fd/ls/lsp.aspx?
- ps.okyes####.com:8802/sub/cb
- r####.koapk####.com/pgm/rt/lg
- www.adbocg####.com:8802/sub/v2/of
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/20160121.xml
- /data/data/####/AD_ID_SPINFO.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/index
- /data/data/####/loa.xml
- /data/data/####/ocom_safeguarding_freecameraimpl.dex
- /data/data/####/ocom_safeguarding_freecameraimpl.dex (deleted)
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
Другие:
Запускает следующие shell-скрипты:
- logcat -d -v time
Загружает динамические библиотеки:
- libcom_safeguarding_freecamera
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
Управляет Wi-Fi-подключением.
