Adware.Was.5504

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Was.1.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) a.da####.com:9127
TCP(TLS/1.0) md####.google####.com:443
TCP(TLS/1.0) kk####.oss-cn-####.aliy####.com:443
TCP(TLS/1.0) r1---sn####.g####.com:443
TCP(TLS/1.0) api.face####.com:443
TCP(TLS/1.0) 1####.250.102.94:443
TCP(TLS/1.2) md####.google####.com:443
TCP(TLS/1.2) 1####.250.27.100:443
TCP(TLS/1.2) 1####.250.102.139:443
TCP(TLS/1.2) 1####.250.102.94:443

Запросы DNS:

a.da####.com
g####.face####.com
instant####.google####.com
kk####.oss-cn-####.aliy####.com
md####.google####.com
r1---sn####.g####.com
sett####.crashly####.com
sett####.crashly####.com.####.8

Запросы HTTP GET:

a.da####.com:9127/ll/gs?baseversion=####&version=####&channel=####&appid...
api.face####.com:443/v2.11/148494581941991?fields=####&format=####&sdk=#...
kk####.oss-cn-####.aliy####.com:443/unity_xm_lp_39917.action

Запросы HTTP POST:

api.face####.com:443/v2.11/148494581941991/activities?access_token=####&...
api.face####.com:443/v3.1/148494581941991/activities?access_token=####&f...
api.face####.com:443/v3.1/148494581941991/activities?format=####&sdk=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/2.26-0.stacktrace
/data/data/####/61F9C3120234-0001-0DB3-813DA87B789FBeginSession.cls_temp
/data/data/####/61F9C3120234-0001-0DB3-813DA87B789FBeginSession.json
/data/data/####/61F9C3120234-0001-0DB3-813DA87B789FSessionApp.cls
/data/data/####/61F9C3120234-0001-0DB3-813DA87B789FSessionApp.json
/data/data/####/61F9C3120234-0001-0DB3-813DA87B789FSessionDevice.cls
/data/data/####/61F9C3120234-0001-0DB3-813DA87B789FSessionDevice.json
/data/data/####/61F9C3120234-0001-0DB3-813DA87B789FSessionOS.cls
/data/data/####/61F9C3120234-0001-0DB3-813DA87B789FSessionOS.json
/data/data/####/TwitterAdvertisingInfoPreferences.xml
/data/data/####/avatars_cache.json
/data/data/####/blank.png
/data/data/####/ca-bundle.pem
/data/data/####/cheuu
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/com.crashlytics.prefs.xml
/data/data/####/com.crashlytics.sdk.android;answers;settings.xml
/data/data/####/com.facebook.internal.preferences.APP_SETTINGS.xml
/data/data/####/com.facebook.sdk.appEventPreferences.xml
/data/data/####/com.facebook.sdk.attributionTracking.xml
/data/data/####/com.google.InstanceId.properties
/data/data/####/com.google.android.gms.appid-no-backup
/data/data/####/com.google.android.gms.appid.xml
/data/data/####/com.google.android.gms.measurement.prefs.xml
/data/data/####/com.google.android.gms.measurement.prefs.xml.bak
/data/data/####/com.prettysimple.criminalcaseandroid.mt_prefere...ml.bak
/data/data/####/com.prettysimple.criminalcaseandroid.mt_preferences.xml
/data/data/####/crashlytics-userlog-61F9C3120234-0001-0DB3-813D...F.temp
/data/data/####/data.db
/data/data/####/data.db-journal
/data/data/####/google_app_measurement_local.db
/data/data/####/google_app_measurement_local.db-journal
/data/data/####/initialization_marker
/data/data/####/items_cache.json
/data/data/####/kva
/data/data/####/libjiagu.so
/data/data/####/logo.png
/data/data/####/osmcore
/data/data/####/osmcore.lock
/data/data/####/osmcore.token
/data/data/####/preference.db
/data/data/####/preference.db-journal
/data/data/####/presage.db
/data/data/####/presage.db-journal
/data/data/####/proc_auxv
/data/data/####/sa_a711b533-4d35-4dfc-9318-81d77155e96e_1643758355957.tap
/data/data/####/session_analytics.tap
/data/data/####/tmd
/data/data/####/tv
/data/data/####/uuloi

Другие:

Запускает следующие shell-скрипты:

/system/lib/arm/houdini /data/user/0/<Package>/files/osmcore /data/user/0/<Package>/files/osmcore /data/user/0/<Package>/files/osmcore.token /data/user/0/<Package>/files/osmipcV2.26 10065
cat /sys/class/net/wlan0/address
chmod 755 /data/user/0/<Package>/files/osmcore
sh

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.