Adware.Egame.1009

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Egame.1
Adware.Egame.2.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) cdn.p####.cn.####.com:80
TCP(HTTP/1.1) 1####.29.29.29:80
TCP(HTTP/1.1) o####.p####.cn:80
TCP(HTTP/1.1) m####.vc####.cn:80
TCP(HTTP/1.1) do####.aishe####.com:80
TCP(HTTP/1.1) p####.lov####.com:80
UDP(NTP) 1.cn.p####.####.org:123
TCP(TLS/1.0) 1####.250.102.100:443
TCP(TLS/1.0) wild####.moa####.com.####.net:443
TCP(TLS/1.0) ads.on####.mobi:443
TCP(TLS/1.0) api-acc####.edges####.net:443
TCP(TLS/1.0) www.google####.com:443
TCP(TLS/1.0) av1.x####.com:443
TCP(TLS/1.0) feed####.on####.mobi:443
TCP(TLS/1.0) tls.vu####.edges####.net:443
TCP(TLS/1.0) safebro####.google####.com:443
TCP(TLS/1.0) c####.x####.com:443
TCP(TLS/1.2) 1####.250.102.94:443
TCP(TLS/1.2) 1####.250.27.139:443

Запросы DNS:

1.cn.p####.####.org
ads.api.vu####.com
ads.on####.mobi
api.vu####.com
av1.x####.com
c####.x####.com
cd####.vu####.com
cdn.p####.cn
do####.aishe####.com
feed####.on####.mobi
g####.lov####.com
i####.cn
id1.cn.8.####.8
m####.vc####.cn
o####.p####.cn
p####.lov####.com
pg.x####.com
pg.x####.com.####.8
safebro####.google####.com
www.google####.com
z.moa####.com

Запросы HTTP GET:

ads.on####.mobi:443/adSetting?publishId=####&did=####&imei=####&aid=####
ads.on####.mobi:443/webview/1.3.3/release/config.json?sdkVersionName=###...
c####.x####.com:443/sdk/conf?id=####&p=####&v=####&sv=####&cv=####
cdn.p####.cn.####.com/f/o/eoi/EGAME_141.zip
do####.aishe####.com/getdomain.php?chid=####&subchid=####
feed####.on####.mobi:443/webview/2.0.91/release/index.html
m####.vc####.cn/api/v2/mcore/sdk/cg?ci=D/qj####&gi=aSNp####
m####.vc####.cn/api/v2/mcore/sdk/cv?version_code=####&client_id=####
o####.p####.cn/api/v1/charge/epay/sdk/41x/get_init_info?app_id=####&game...
o####.p####.cn/open.play.cn/api/v1/user/member/order/get_pay_channel.jso...
o####.p####.cn/open.play.cn/api/v1/user/member/order/mark.json?status=####
o####.p####.cn/open.play.cn/api/v1/user/member/order/product.json?client...
o####.p####.cn/open.play.cn/api/v1/user/member/order/queryProvince.json?...
o####.p####.cn/open.play.cn/api/v2/edu/mobile/channel/content.json?&chan...
o####.p####.cn/open.play.cn/api/v2/edu/mobile/config.json
o####.p####.cn/open.play.cn/api/v2/edu/mobile/game/check_version.json?te...
o####.p####.cn/open.play.cn/api/v2/edu/mobile/member/pic_desc.json
o####.p####.cn/open.play.cn/api/v2/egame/log/config.json?app_key=####
o####.p####.cn/open.play.cn/api/v2/mobile/ext/member/game_info.json?game...
p####.lov####.com/chksdkupdate.php?sdkver=####&compver=####&mainver=####...
p####.lov####.com/genuser.php?chid=####&subchid=####&vercode=####&type=#...
wild####.moa####.com.####.net:443/VNG/android/3f2ae9c/status.json?ts=###...

Запросы HTTP POST:

ads.on####.mobi:443/cia?publishId=####&token=####&sdkVersion=####
ads.on####.mobi:443/v2/getCampaign?publishId=####&token=####&e=####
api-acc####.edges####.net:443/api/v5/ads
api-acc####.edges####.net:443/config
av1.x####.com:443/g/d?crc=####
o####.p####.cn/open.play.cn/api/v2/egame/log.json

Изменения в файловой системе:

Создает следующие файлы:

/data/anr/traces.txt
/data/com.tp.android.twinsgrowsup.egame/####/TDtcagent.db
/data/data/####/.jg.ic
/data/data/####/.jgck
/data/data/####/EGAME_PAY_SDK.xml
/data/data/####/EGAME_SDK.dat
/data/data/####/EGAME_SDK.jar
/data/data/####/GoogleBackupTransport.dex
/data/data/####/GoogleBackupTransport.dex.flock (deleted)
/data/data/####/GoogleLoginService.dex
/data/data/####/GoogleLoginService.dex.flock (deleted)
/data/data/####/GoogleServicesFramework.dex
/data/data/####/GoogleServicesFramework.dex.flock (deleted)
/data/data/####/Signature
/data/data/####/TDCloudSettingsConfig7E2D24B24A5B4BE4A69D07630CE02A09.xml
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TDpref_longtime.xml
/data/data/####/TDpref_longtime.xml (deleted)
/data/data/####/TDpref_longtime.xml.bak (deleted)
/data/data/####/TDpref_shorttime.xml
/data/data/####/TDtcagent.db
/data/data/####/TDtcagent.db-journal
/data/data/####/VUNGLE_PUB_APP_INFO.xml
/data/data/####/VUNGLE_PUB_APP_INFO.xml.bak
/data/data/####/Web Data
/data/data/####/Web Data-journal
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/apkInfo
/data/data/####/classes.dex
/data/data/####/classes.oat
/data/data/####/classes2.dex
/data/data/####/cn_egame_openapi_opt.xml
/data/data/####/cn_egame_sdk_log.xml
/data/data/####/cn_egame_sdk_log.xml (deleted)
/data/data/####/cn_egame_sdk_log.xml.bak (deleted)
/data/data/####/cn_egame_vip_consumer.xml
/data/data/####/cn_egame_vip_consumer.xml.bak
/data/data/####/com.ltayx.pay.ltplugin.dex
/data/data/####/com.ltayx.pay.ltplugin.dex.flock (deleted)
/data/data/####/com.tp.android.twinsgrowsup.egame_preferences.xml
/data/data/####/domain.xml
/data/data/####/egame_finger_print.png
/data/data/####/egame_psh_temp.dex
/data/data/####/egame_psh_temp.dex.flock (deleted)
/data/data/####/egame_psh_temp.jar
/data/data/####/egame_psh_temp_.jar
/data/data/####/egame_s1013571514.tmp
/data/data/####/egame_s1013571514.tmp (deleted)
/data/data/####/egame_s427337573.tmp
/data/data/####/egame_s427337573.tmp (deleted)
/data/data/####/egame_s515767962.tmp
/data/data/####/egame_sdk_1.png
/data/data/####/egame_sdk_16.png
/data/data/####/egame_sdk_25.png
/data/data/####/egame_sdk_4.png
/data/data/####/egame_sdk_9.png
/data/data/####/egame_sdk_bg.9.png
/data/data/####/egame_sdk_bg_pay.9.png
/data/data/####/egame_sdk_bg_ticket_left.9.png
/data/data/####/egame_sdk_bg_ticket_right.9.png
/data/data/####/egame_sdk_btn_back_normal.9.png
/data/data/####/egame_sdk_btn_back_pressed.9.png
/data/data/####/egame_sdk_btn_gold_store.png
/data/data/####/egame_sdk_btn_green_normal.9.png
/data/data/####/egame_sdk_btn_green_pressed.9.png
/data/data/####/egame_sdk_game_icon_default.png
/data/data/####/egame_sdk_ico_bag.png
/data/data/####/egame_sdk_ico_forum.png
/data/data/####/egame_sdk_ico_list.png
/data/data/####/egame_sdk_ico_question.png
/data/data/####/egame_sdk_ico_raiders.png
/data/data/####/egame_sdk_icon_back.png
/data/data/####/egame_sdk_icon_close.png
/data/data/####/egame_sdk_icon_loading.png
/data/data/####/egame_sdk_icon_pack_up.png
/data/data/####/egame_sdk_icon_password.png
/data/data/####/egame_sdk_icon_rmb.png
/data/data/####/egame_sdk_icon_selected.png
/data/data/####/egame_sdk_icon_spread_out.png
/data/data/####/egame_sdk_icon_ticket_more.png
/data/data/####/egame_sdk_icon_unselected.png
/data/data/####/egame_sdk_input_box.9.png
/data/data/####/egame_sdk_logo_aibei.png
/data/data/####/egame_sdk_logo_chongzhika.png
/data/data/####/egame_sdk_logo_dianka.png
/data/data/####/egame_sdk_logo_huafei.png
/data/data/####/egame_sdk_logo_jdzhifu.png
/data/data/####/egame_sdk_logo_more.png
/data/data/####/egame_sdk_logo_weixin.png
/data/data/####/egame_sdk_logo_yinlian.png
/data/data/####/egame_sdk_logo_yizhifu.png
/data/data/####/egame_sdk_logo_zhifubao.png
/data/data/####/egame_sdk_password_input_box_left.9.png
/data/data/####/egame_sdk_password_input_box_mid.9.png
/data/data/####/egame_sdk_password_input_box_right.9.png
/data/data/####/egame_sdk_popup_btn_blue_normal.9.png
/data/data/####/egame_sdk_popup_btn_blue_pressed.9.png
/data/data/####/egame_sdk_pressed.9.png
/data/data/####/egame_sdk_tag_selected.9.png
/data/data/####/egame_sdk_tag_unselected.9.png
/data/data/####/egame_temp.dex (deleted)
/data/data/####/egame_temp.dex.flock (deleted)
/data/data/####/egame_temp.jar
/data/data/####/egame_temp_.jar
/data/data/####/gameInfo.xml
/data/data/####/index
/data/data/####/kxqpChannal.xml
/data/data/####/kxqpVersion.xml
/data/data/####/kxqpplatform2.dex
/data/data/####/kxqpplatform2.dex.flock (deleted)
/data/data/####/kxqpplatform2.jar
/data/data/####/kxqpplatform2.jar.lock
/data/data/####/lb_amcfg
/data/data/####/lb_packages
/data/data/####/libegamepay_private_dr2.so
/data/data/####/libepsh_private_ar1.so
/data/data/####/libexecloader.so
/data/data/####/libjiagu.so
/data/data/####/libkxqpplatform.sinfo
/data/data/####/libkxqpplatform.so
/data/data/####/libzvmhelper.so
/data/data/####/main.dex
/data/data/####/main.dex.flock (deleted)
/data/data/####/main.jar
/data/data/####/mcore_dat.xml
/data/data/####/metrics_guid
/data/data/####/platform.xml
/data/data/####/proc_auxv
/data/data/####/qihoo_jiagu_crash_report.xml
/data/data/####/sig_0.key
/data/data/####/soUpdate.xml
/data/data/####/talkingdata_app.db
/data/data/####/talkingdata_app.db-journal
/data/data/####/talkingdata_app_process_preferences_file
/data/data/####/talkingdata_app_version_preferences_file
/data/data/####/td.lock
/data/data/####/tdid.xml
/data/data/####/tdlock.txt
/data/data/####/the-real-index
/data/data/####/tmp1005814570tmp
/data/data/####/tmp1005814570tmp (deleted)
/data/data/####/tmp1183626981tmp (deleted)
/data/data/####/tmp1204505970tmp
/data/data/####/tmp1204505970tmp (deleted)
/data/data/####/tmp1337468122tmp
/data/data/####/tmp1337468122tmp (deleted)
/data/data/####/tmp1352327918tmp
/data/data/####/tmp1352327918tmp (deleted)
/data/data/####/tmp1423778330tmp
/data/data/####/tmp1423778330tmp (deleted)
/data/data/####/tmp1431969786tmp
/data/data/####/tmp1431969786tmp (deleted)
/data/data/####/tmp1445937170tmp
/data/data/####/tmp1445937170tmp (deleted)
/data/data/####/tmp1488143125tmp
/data/data/####/tmp1514452616tmp
/data/data/####/tmp1529457823tmp
/data/data/####/tmp1529457823tmp (deleted)
/data/data/####/tmp1533543495tmp
/data/data/####/tmp1533543495tmp (deleted)
/data/data/####/tmp1539846043tmp
/data/data/####/tmp1539846043tmp (deleted)
/data/data/####/tmp1561980944tmp (deleted)
/data/data/####/tmp1577123775tmp
/data/data/####/tmp1577123775tmp (deleted)
/data/data/####/tmp1585246413tmp
/data/data/####/tmp1593413783tmp (deleted)
/data/data/####/tmp1599673874tmp (deleted)
/data/data/####/tmp160282959tmp
/data/data/####/tmp1603519914tmp
/data/data/####/tmp1607800033tmp
/data/data/####/tmp1607800033tmp (deleted)
/data/data/####/tmp1725679762tmp
/data/data/####/tmp1725679762tmp (deleted)
/data/data/####/tmp1726995005tmp
/data/data/####/tmp1726995005tmp (deleted)
/data/data/####/tmp1754135856tmp
/data/data/####/tmp1754135856tmp (deleted)
/data/data/####/tmp1763107731tmp
/data/data/####/tmp1763107731tmp (deleted)
/data/data/####/tmp1779929357tmp
/data/data/####/tmp1779929357tmp (deleted)
/data/data/####/tmp1835717947tmp
/data/data/####/tmp1835717947tmp (deleted)
/data/data/####/tmp1846372165tmp
/data/data/####/tmp1846372165tmp (deleted)
/data/data/####/tmp1869575850tmp
/data/data/####/tmp1869575850tmp (deleted)
/data/data/####/tmp1877893761tmp
/data/data/####/tmp1877893761tmp (deleted)
/data/data/####/tmp1929989495tmp (deleted)
/data/data/####/tmp1939576178tmp
/data/data/####/tmp1939576178tmp (deleted)
/data/data/####/tmp1955228290tmp
/data/data/####/tmp2090265233tmp (deleted)
/data/data/####/tmp2131804203tmp
/data/data/####/tmp2131804203tmp (deleted)
/data/data/####/tmp221986902tmp
/data/data/####/tmp221986902tmp (deleted)
/data/data/####/tmp233958918tmp
/data/data/####/tmp247889885tmp
/data/data/####/tmp247889885tmp (deleted)
/data/data/####/tmp369395215tmp
/data/data/####/tmp469506623tmp
/data/data/####/tmp469506623tmp (deleted)
/data/data/####/tmp500795204tmp (deleted)
/data/data/####/tmp508439755tmp
/data/data/####/tmp508439755tmp (deleted)
/data/data/####/tmp552244559tmp
/data/data/####/tmp552244559tmp (deleted)
/data/data/####/tmp556667953tmp
/data/data/####/tmp556667953tmp (deleted)
/data/data/####/tmp652092413tmp
/data/data/####/tmp652092413tmp (deleted)
/data/data/####/tmp661818405tmp
/data/data/####/tmp661818405tmp (deleted)
/data/data/####/tmp730050473tmp
/data/data/####/tmp730050473tmp (deleted)
/data/data/####/tmp732965949tmp (deleted)
/data/data/####/tmp760186848tmp (deleted)
/data/data/####/tmp808129644tmp (deleted)
/data/data/####/tmp838215987tmp
/data/data/####/tmp838215987tmp (deleted)
/data/data/####/tmp841507453tmp
/data/data/####/tmp841507453tmp (deleted)
/data/data/####/tmp873445624tmp
/data/data/####/tmp873445624tmp (deleted)
/data/data/####/tmp905503399tmp
/data/data/####/tmp905503399tmp (deleted)
/data/data/####/tmp922631130tmp (deleted)
/data/data/####/userInfo.xml
/data/data/####/vungle
/data/data/####/vungle-journal
/data/media/####/.tcookieid
/data/media/####/1.play
/data/media/####/EGAME_141.zip.temp
/data/media/####/OnewaySdkStorage-ow-pri.json
/data/media/####/OnewaySdkStorage-ow-pub.json
/data/media/####/OnewaySdkWebApp.html
/data/media/####/am
/data/media/####/amj
/data/media/####/com.ltayx.pay.ltplugin.apk
/data/media/####/compVersion
/data/media/####/e3e8baa8280c718e9054264058d51c31.png
/data/media/####/pa
/data/media/####/verinfo.cfg
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
chmod 755 /data/user/0/<Package>/.platformcache/kxqpplatform2.jar
chmod 755 /data/user/0/<Package>/.platformcache/main.jar
chmod 755 <Package Folder>/.jiagu/libjiagu.so
chmod 755 <SD-Card>/<Package>/apk/aiyouxi.apk

Загружает динамические библиотеки:

libegamepay_dr2
libegamepay_private_dr2
libepsh_private_ar1
libjiagu
libkxqpplatform
libzvmhelper

Использует следующие алгоритмы для шифрования данных:

AES
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding

Использует следующие алгоритмы для расшифровки данных:

AES
AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
RSA-ECB-PKCS1Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней