Adware.Was.7063

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Was.1.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) api.ad.xi####.com:80
TCP(HTTP/1.1) d3aycj0####.cloudf####.net:80
TCP(HTTP/1.1) xi####.edges####.net:80
TCP(HTTP/1.1) a.da####.com:9127
TCP(HTTP/1.1) g####.62####.com:8001
TCP(HTTP/1.1) a####.u####.com.####.com:80
TCP(HTTP/1.1) f.ma####.c.####.com:80
TCP(TLS/1.0) api.ad.xi####.com:443
TCP(TLS/1.0) xi####.edges####.net:443
TCP(TLS/1.0) gat####.tt####.info:443
TCP(TLS/1.0) android####.go####.com:443
TCP(TLS/1.0) sdkco####.ad.xi####.com:443
TCP(TLS/1.0) 64.2####.167.95:443
TCP(TLS/1.0) 1####.250.110.101:443
TCP(TLS/1.0) 1####.194.76.95:443
TCP(TLS/1.2) 64.2####.167.95:443
TCP(TLS/1.2) 1####.250.110.101:443
TCP(TLS/1.2) 74.1####.133.101:443
TCP(TLS/1.2) 74.1####.140.94:443

Запросы DNS:

a####.u####.com
a.da####.com
android####.go####.com
api.ad.xi####.com
d3aycj0####.cloudf####.net
f####.ma####.xi####.com
f2.ma####.xi####.com
g####.62####.com
gat####.tt####.info
promo-i####.tt####.info
sdkco####.ad.xi####.com
z####.ad.xi####.com

Запросы HTTP GET:

a.da####.com:9127/ll/gs?baseversion=####&version=####&channel=####&appid...
d3aycj0####.cloudf####.net/english/configs/com.tabtale.nailsalon.json
d3aycj0####.cloudf####.net/english/configs/globalExternalConfig.json
d3aycj0####.cloudf####.net/fakepassthatdoesnotexsist/promotion.json
f.ma####.c.####.com/download/AdCenter/04b69d2b65e6a445ba363a62ab5d203ffe...
sdkco####.ad.xi####.com:443/api/checkupdate/lastusefulversion2?av=####&c...
xi####.edges####.net/download/AppStore/0b03c468e99cd7327ccf099da4abb5ed0...

Запросы HTTP POST:

a####.u####.com.####.com/app_logs
a.da####.com:9127/ll//uu?t=####
api.ad.xi####.com/union/fetchAds
g####.62####.com:8001/adStatistics
g####.62####.com:8001/addNewApp

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.hptc_kache_le.nailsalon.mt
/data/data/####/.jg.ic
/data/data/####/HockeyApp.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/_m_rec.xml
/data/data/####/_m_rec.xml.bak
/data/data/####/analytics_api.xml
/data/data/####/analytics_updater.xml
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cheuu
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/com.tabtale.nailsalon.mt.xml
/data/data/####/com.tabtale.nailsalon.mt.xml.bak
/data/data/####/com.tabtale.nailsalon.mt_preferences.xml
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/gdtadv2.jar
/data/data/####/gdtadv2.jar.sig
/data/data/####/libjiagu.so
/data/data/####/metrics_guid
/data/data/####/mimo_asset.apk
/data/data/####/mimo_asset.dex
/data/data/####/mimo_asset.dex.flock (deleted)
/data/data/####/mimo_download.apk.tmp
/data/data/####/plugin_updater.xml
/data/data/####/proc_auxv
/data/data/####/psdkPersistencyLanguage.xml
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/tmd
/data/data/####/tv
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/userData.json
/data/data/####/uuloi
/data/data/####/vva
/data/data/####/vva.dex
/data/data/####/vva.dex.flock (deleted)
/data/data/####/vva.jar
/data/data/####/zeus_crash_info.xml
/data/data/####/zeus_pms.xml
/data/media/####/1_be80b874.png
/data/media/####/2_8cc91709.png
/data/media/####/CT3_2_f76afbcc.png
/data/media/####/InAppDialogMacro.xml
/data/media/####/MKStoreKitConfigs.plist
/data/media/####/RateUs.bvr
/data/media/####/RateUs.manifest
/data/media/####/Stand_011_b142800b.png
/data/media/####/Stand_01_b142800b.png
/data/media/####/TTP_ApplicationManager.bvr
/data/media/####/TTP_ApplicationManager.manifest
/data/media/####/TTP_BehaviorBase.lua
/data/media/####/TTP_BehaviorBase.manifest
/data/media/####/TTP_Date.lua
/data/media/####/TTP_Date.manifest
/data/media/####/TTP_LevelsController.bvr
/data/media/####/TTP_LevelsController.manifest
/data/media/####/TTP_Promotion.bvr
/data/media/####/TTP_Promotion.manifest
/data/media/####/TTP_PromotionDestroy.bvr
/data/media/####/TTP_PubSub.lua
/data/media/####/TTP_PubSub.manifest
/data/media/####/TTP_STD.manifest
/data/media/####/TTP_TimeManager.bvr
/data/media/####/TTP_TimeManager.manifest
/data/media/####/TTP_Utils.manifest
/data/media/####/TabTale.xml
/data/media/####/TabTaleGames.xml
/data/media/####/TabTaleMacros.xml
/data/media/####/TabTaleMenu.xml
/data/media/####/TabTalePageControl.xml
/data/media/####/Timeout.lua
/data/media/####/app.lua
/data/media/####/appRateUs.lua
/data/media/####/appRateUs.manifest
/data/media/####/appRateUs.xml
/data/media/####/bind.lua
/data/media/####/breadCrumbs.data
/data/media/####/buy.png
/data/media/####/configuration.json
/data/media/####/contactSupport.manifest
/data/media/####/contactSupport.xml
/data/media/####/coverScene.xml
/data/media/####/ctrl.lua
/data/media/####/cupcakeGame.bvr
/data/media/####/cupcakeGame.manifest
/data/media/####/deque.lua
/data/media/####/exitApp.lua
/data/media/####/exitApp.manifest
/data/media/####/exitApp.xml
/data/media/####/free.png
/data/media/####/heap.lua
/data/media/####/house-ads.36971ba0.css
/data/media/####/house-ads.9bea2627.js
/data/media/####/houseAdBack0.jpg
/data/media/####/houseAdBack1.jpg
/data/media/####/houseAdBack2.jpg
/data/media/####/houseAds.json
/data/media/####/houseAds.json_amazon
/data/media/####/houseAdsCrc32.txt
/data/media/####/houseAds_new.json
/data/media/####/i_Baby.jpg
/data/media/####/i_IceCream.jpg
/data/media/####/i_PaintSparkle.jpg
/data/media/####/icons2_bf013840.png
/data/media/####/icons_14_351c0174.png
/data/media/####/icons_1_6069fa9d.png
/data/media/####/icons_1_e08da1a5.png
/data/media/####/icons_24_bb10fdda.png
/data/media/####/icons_2_8158928c.png
/data/media/####/icons_2_bb10fdda.png
/data/media/####/icons_7963ddd9.png
/data/media/####/icons_stand2_98f6f095.png
/data/media/####/icons_stand3_98f6f095.png
/data/media/####/icons_stand_6d50ce21.png
/data/media/####/icons_stand_f329fdac.png
/data/media/####/icons_stand_f8b524ad.png
/data/media/####/icons_stand_fc7fe1fd.png
/data/media/####/index.html
/data/media/####/isAndroid.lua
/data/media/####/location_rules.js
/data/media/####/mapScene.xml
/data/media/####/model.lua
/data/media/####/open.png
/data/media/####/paintMacro.xml
/data/media/####/print_r.lua
/data/media/####/serving.xml
/data/media/####/skin.zip
/data/media/####/thoughtBubblesBehavior.bvr
/data/media/####/tmpGlobalExternalConfig.json
/data/media/####/tmpSpecificExternalConfig.json
/data/media/####/ttFunctions.lua
/data/media/####/unitTest__TTP_TimeManager.bvr
/data/media/####/viewTranslation.lua
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

cat /sys/class/net/wlan0/address

Загружает динамические библиотеки:

libMG_Serving
libacs
libbox2d
libcocos2d
libgame
libgnustl_shared
libjiagu
liblua

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Осуществляет доступ к интерфейсам записи аудио/видео.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней