Adware.Appsad.130

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Appsad.11.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) www.m####.site:80
TCP(TLS/1.0) 2####.58.208.110:443
TCP(TLS/1.0) c####.b####.com:443
TCP(TLS/1.0) t.appsf####.com:443
TCP(TLS/1.0) 1####.217.20.106:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) android####.go####.com:443
TCP(TLS/1.0) 1####.250.179.138:443
TCP(TLS/1.0) 1####.250.179.195:443
TCP(TLS/1.0) md####.google####.com:443
TCP(TLS/1.2) 1####.250.179.138:443
TCP(TLS/1.2) android####.go####.com:443

Запросы DNS:

akw.e####.s####.####.8
akw.e####.space
and####.google####.com
android####.go####.com
c####.b####.com
instant####.google####.com
m####.go####.com
md####.google####.com
p####.google####.com
s####.mob####.b####.####.8
s####.mob####.b####.com
s####.r####.w####.####.8
s####.r####.world
t.appsf####.com
www.m####.site

Запросы HTTP POST:

www.m####.site/ad_app_dex_new.php

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/068b5a9c7192ef2deb3887f209af44d461c27ef2c4c835c....0.tmp
/data/data/####/2e26b9ed75c3cc0b3fc86f71c073998ee518f6d650af4ae....0.tmp
/data/data/####/49807002a9fec949b587c5e566ed6f34743946b3d624732....0.tmp
/data/data/####/61685c58672e1920c96432eff5fdeb4b161a8c20331eff9....0.tmp
/data/data/####/6a716cc6eb698e333e90426bf2915c2686867b23bcd8a46....0.tmp
/data/data/####/74f532f390f9d52ef6ed45fa463cc85cdc667e966d1585b....0.tmp
/data/data/####/9f1c5858515e235a9f759ad328c63f0703ebb49301829f3....0.tmp
/data/data/####/AdsBusiness-data.xml
/data/data/####/AdsBusiness-data.xml.bak
/data/data/####/L-mbt-1619829884173-1175806940.log
/data/data/####/L-mbt-1619829884952-1105397891.log
/data/data/####/L-mbt-1619829890146-794507501.log
/data/data/####/L-mbt-1619829890529-903006691.log
/data/data/####/L-mbt-1619829900537-1518228942.log
/data/data/####/L-mbt-1619829905061-2089093017.log
/data/data/####/L-mbt-1619829905062-297113805.log
/data/data/####/L-mbt-1619829905063-1201703131.log
/data/data/####/L-mbt-1619829905066-783430141.log
/data/data/####/L-mbt-1619829905077-710613463.log
/data/data/####/L-mbt-1619829905580-512402704.log
/data/data/####/L-mbt-1619829905582-809452027.log
/data/data/####/L-mbt-1619829905587-26969823.log
/data/data/####/L-mbt-1619829905655-426639610.log
/data/data/####/L-mbt-1619829905657-1448687777.log
/data/data/####/L-mbv-1619829963548-890723329.log
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/appsflyer-data.xml
/data/data/####/appsflyer-data.xml.bak
/data/data/####/aps.xml
/data/data/####/apscomm.xml
/data/data/####/b17349f79d2636786a97c9f26ae93b5a662a7c08eabd96d....0.tmp
/data/data/####/classes.dex
/data/data/####/classes.dex.flock
/data/data/####/classes.dex.flock (deleted)
/data/data/####/classes.zip
/data/data/####/com.tool.videomanager_preferences.xml
/data/data/####/crab_app_life.xml
/data/data/####/crab_crash_switch.xml
/data/data/####/crab_user_info.xml
/data/data/####/e7431caed0ee6231d6a67a8cab589fc5f8f10b4d98f51ce....0.tmp
/data/data/####/journal.tmp
/data/data/####/metrics_guid
/data/data/####/video_file_founder-journal
/data/data/####/video_manager_config.xml
/data/data/####/video_manager_config.xml.bak
/data/media/####/.cuid
/data/media/####/.nomedia
/data/media/####/journal
/data/media/####/journal.tmp
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86 --instruction-set-features=default --dex-file=/data/user/0/<Package>/.mbj/dex/classes.zip --oat-fd=35 --oat-location=/data/user/0/<Package>/.mbj/opt/classes.dex --compiler-filter=speed
/system/bin/dex2oat --runtime-arg -classpath --runtime-arg & --instruction-set=x86 --instruction-set-features=smp,ssse3,sse4.1,sse4.2,-avx,-avx2,-lock_add,popcnt --runtime-arg -Xrelocate --boot-image=/system/framework/boot.art --runtime-arg -Xms64m --runtime-arg -Xmx512m --instruction-set-variant=x86 --instruction-set-features=default --dex-file=/data/user/0/<Package>/.mbj/dex/classes.zip --oat-fd=38 --oat-location=/data/user/0/<Package>/.mbj/opt/classes.dex --compiler-filter=speed

Использует следующие алгоритмы для шифрования данных: