Adware.Was.7817

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Was.1.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) a.da####.com:9127
TCP(TLS/1.0) api.face####.com:443
TCP(TLS/1.0) kk####.oss-cn-####.aliy####.com:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) and####.cli####.go####.com:443
TCP(TLS/1.0) 1####.250.186.74:443
TCP(TLS/1.0) pa####.pre####.io:443
TCP(TLS/1.0) connect####.gst####.com:443
TCP(TLS/1.2) 1####.250.181.234:443
TCP(TLS/1.2) 1####.250.186.74:443

Запросы DNS:

a.da####.com
and####.cli####.go####.com
connect####.gst####.com
g####.face####.com
kk####.oss-cn-####.aliy####.com
p####.google####.com
pa####.pre####.io
pla####.google####.com
pla####.googleu####.com
sett####.crashly####.com
sett####.crashly####.com.####.8

Запросы HTTP GET:

a.da####.com:9127/ll/gs?baseversion=####&version=####&channel=####&appid...
api.face####.com:443/v2.11/104737506742204?fields=####&format=####&sdk=#...
kk####.oss-cn-####.aliy####.com:443/unity_xm_lp_39917.action

Запросы HTTP POST:

api.face####.com:443/v2.11/104737506742204/activities?access_token=####&...
api.face####.com:443/v3.1/104737506742204/activities?format=####&sdk=####
pa####.pre####.io:443/v3/p

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/2.26-0.stacktrace
/data/data/####/621AD2E80024-0001-0D62-14D59EBB88E0BeginSession.cls
/data/data/####/AppEventsLogger.persistedevents
/data/data/####/TwitterAdvertisingInfoPreferences.xml
/data/data/####/blank.png
/data/data/####/ca-bundle.pem
/data/data/####/cheuu
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/com.crashlytics.prefs.xml
/data/data/####/com.crashlytics.sdk.android;answers;settings.xml
/data/data/####/com.facebook.internal.preferences.APP_SETTINGS.xml
/data/data/####/com.facebook.sdk.appEventPreferences.xml
/data/data/####/com.facebook.sdk.attributionTracking.xml
/data/data/####/com.google.InstanceId.properties
/data/data/####/com.google.android.gms.appid-no-backup
/data/data/####/com.google.android.gms.appid.xml
/data/data/####/com.google.android.gms.measurement.prefs.xml
/data/data/####/com.prettysimple.mysteriesofthepastandroid.mt_p...es.xml
/data/data/####/data.db
/data/data/####/data.db-journal
/data/data/####/google_app_measurement_local.db
/data/data/####/google_app_measurement_local.db-journal
/data/data/####/kva
/data/data/####/libjiagu.so
/data/data/####/logo.png
/data/data/####/osmcore
/data/data/####/osmcore.lock
/data/data/####/osmcore.token
/data/data/####/preference.db
/data/data/####/preference.db-journal
/data/data/####/presage.db
/data/data/####/presage.db-journal
/data/data/####/proc_auxv
/data/data/####/profig.xml
/data/data/####/session_analytics.tap
/data/data/####/tmd
/data/data/####/tv
/data/data/####/user_settings.json
/data/data/####/uuloi
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/lib/arm/houdini /data/user/0/<Package>/files/osmcore /data/user/0/<Package>/files/osmcore /data/user/0/<Package>/files/osmcore.token /data/user/0/<Package>/files/osmipcV2.26 10065
cat /sys/class/net/wlan0/address
chmod 755 /data/user/0/<Package>/files/osmcore
sh

Загружает динамические библиотеки: