Adware.ClickAd.18

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.ClickAd.1.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) h####.i####.net:80
TCP(HTTP/1.1) www.games####.com:80
TCP(HTTP/1.1) mult####.ug####.com:28077
TCP(TLS/1.0) h####.b####.com:443
TCP(TLS/1.0) android####.go####.com:443
TCP(TLS/1.0) plb####.u####.com:443
TCP(TLS/1.0) co####.uca.c####.####.com:443
TCP(TLS/1.0) na61-####.wagbr####.ali####.####.com:443
TCP(TLS/1.0) prd-le####.cdp.inte####.####.com:443
TCP(TLS/1.0) instant####.google####.com:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) 2####.58.214.10:443
TCP(TLS/1.0) al####.u####.com:443
TCP(TLS/1.2) 1####.250.179.174:443
TCP(TLS/1.2) 2####.58.208.99:443
TCP(TLS/1.2) 1####.217.168.202:443
TCP(TLS/1.2) 2####.58.214.10:443
UDP 1####.0.28.1:137

Запросы DNS:

and####.google####.com
android####.go####.com
cdp.c####.uni####.com
co####.uca.c####.####.com
h####.b####.com
h####.i####.net
instant####.google####.com
m####.go####.com
mult####.ug####.com
plb####.u####.com
sec.u####.com
u####.u####.com
www.games####.com

Запросы HTTP GET:

www.games####.com/ddad/adv3_20190212/start.php?adv=####&appid=####&appna...

Запросы HTTP POST:

al####.u####.com:443/unify_logs
co####.uca.c####.####.com:443/
h####.b####.com:443/app.gif
h####.i####.net/api/sdkInit
h####.i####.net/api/sdkadtrigger
mult####.ug####.com:28077/
na61-####.wagbr####.ali####.####.com:443/max.json
plb####.u####.com:443/umpx_internal
prd-le####.cdp.inte####.####.com:443/v1/events

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.hptc.cache_com.e8game.fkss
/data/data/####/.hptc_kache_com.e8game.fkss
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.jgck
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__Baidu_Stat_SDK_SendRem.xml.bak (deleted)
/data/data/####/__local_ap_info_cache.json
/data/data/####/__local_last_session.json
/data/data/####/__local_stat_cache.json
/data/data/####/__send_data_1640651215816
/data/data/####/adCache.xml
/data/data/####/baidu_mtj_sdk_record.xml
/data/data/####/be7b7b05-7ca6-433e-b4b8-e26585aa3a9b
/data/data/####/classes.dex
/data/data/####/classes.oat
/data/data/####/com.e8game.fkss.v2.playerprefs.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNjQwNjUxMjExMzk4;
/data/data/####/dc1D37A6C412FD835E
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/i==1.2.0&&1.0.1_1640651211186_envelope.log
/data/data/####/info.xml
/data/data/####/libcuid.so
/data/data/####/libjiagu.so
/data/data/####/marsprefile.xml
/data/data/####/mtDedat
/data/data/####/mtEndat
/data/data/####/mt_paythird.odex.flock (deleted)
/data/data/####/mt_support.dex
/data/data/####/mt_support.dex.flock (deleted)
/data/data/####/mt_support.jar
/data/data/####/proc_auxv
/data/data/####/um_pri.xml
/data/data/####/umdat.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/media/####/.a.dat
/data/media/####/.adfwe.dat
/data/media/####/.cca.dat
/data/media/####/.confd
/data/media/####/.confd-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.timestamp
/data/media/####/.umm.dat
/data/media/####/255633e1-f975-458f-b4f0-e0c2f879ad1f
/data/media/####/5fc5153556ee74304b72739240a2de38
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/config
/data/media/####/e
/data/media/####/g
/data/media/####/s
/data/media/####/values
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/data/user/0/<Package>/app_06851326-179e-4f06-8472-d5e78a1ab259/dc1D37A6C412FD835E
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
getprop ro.build.display.id
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.miui.ui.version.name
getprop ro.smartisan.version
getprop ro.vivo.os.version
ls /
ls /sys/class/thermal