Adware.Was.11398

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Was.1.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) xi####.edges####.net:80
TCP(HTTP/1.1) g####.62####.com:8001
TCP(HTTP/1.1) api.ad.xi####.####.net:80
TCP(HTTP/1.1) a.da####.com:9127
TCP(HTTP/1.1) api.your####.com:80
TCP(HTTP/1.1) w####.your####.com:80
UDP(NTP) 2.and####.p####.####.org:123
TCP(TLS/1.0) xi####.edges####.net:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) api.appsf####.com:443
TCP(TLS/1.0) mb####.s####.du####.com:443
TCP(TLS/1.0) plb####.u####.com:443
TCP(TLS/1.0) a.appl####.com:443
TCP(TLS/1.0) pag####.googles####.com:443
TCP(TLS/1.0) kk####.oss-cn-####.aliy####.com:443
TCP(TLS/1.0) and####.a####.go####.com:443
TCP(TLS/1.0) i####.api.xox####.com:443
TCP(TLS/1.0) u####.u####.com:443
TCP(TLS/1.0) d.appl####.com:443
TCP(TLS/1.0) z####.ad.xi####.com:443
TCP(TLS/1.0) c####.b####.com:443
TCP(TLS/1.0) i####.superso####.com:443
TCP(TLS/1.0) sdkco####.ad.xi####.com:443
TCP(TLS/1.0) t.appsf####.com:443
TCP(TLS/1.0) rts.s####.du####.com:443
TCP(TLS/1.0) f.ma####.c.####.com:443
TCP(TLS/1.2) 64.2####.162.94:443
TCP(TLS/1.2) 64.2####.164.138:443
UDP rr4---s####.g####.com:443
UDP p####.google####.com:443

Запросы DNS:

2.and####.p####.####.org
a.appl####.com
a.da####.com
and####.a####.go####.com
and####.google####.com
api.ad.xi####.com
api.appsf####.com
api.your####.com
c####.b####.com
d.appl####.com
f####.ma####.xi####.com
f2.ma####.xi####.com
f4.ma####.xi####.com
g####.62####.com
i####.api.xox####.com
i####.superso####.com
kk####.oss-cn-####.aliy####.com
m####.go####.com
mb####.s####.du####.com
p####.google####.com
pag####.googles####.com
plb####.u####.com
rr4---s####.g####.com
rt.appl####.com
rts.s####.du####.com
sdkco####.ad.xi####.com
t.appsf####.com
u####.u####.com
w####.your####.com
z####.ad.xi####.com

Запросы HTTP GET:

a.appl####.com:443/3.0/ad?accept=####&v4=####&api_did=####&zone_id=####&...
a.appl####.com:443/i?platform=####&app_version=####&build=####&sdk_key=#...
a.da####.com:9127/ll/gs?baseversion=####&version=####&channel=####&appid...
api.appsf####.com:443/install_data/v3/<Package>?devkey=####&device_id=####
api.your####.com/Ads/bgConfig?token=8####&pkg=####
api.your####.com/Ads/getMopubConfig?token=8####&pkg=####
api.your####.com/Ads/switchFlow?token=8####&pkg=####
f.ma####.c.####.com:443/download/AdCenter/067c8d64cb48b48fca014c25c59221...
i####.superso####.com:443/sdk/v6.7.11?request=####
kk####.oss-cn-####.aliy####.com:443/unity_xm_lp_39917.action
mb####.s####.du####.com:443/adunion/slot/fetchConfig?h=####&w=####&model...
mb####.s####.du####.com:443/adunion/slot/getDlAd?h=####&w=####&model=###...
mb####.s####.du####.com:443/adunion/slot/getSrcPrio?h=####&w=####&model=...
pag####.googles####.com:443/pagead/gen_204?id=####&action=####&js=####&o...
sdkco####.ad.xi####.com:443/api/checkupdate/lastusefulversion2?av=####&c...
w####.your####.com/
xi####.edges####.net:443/download/AppStore/0b03c468e99cd7327ccf099da4abb...

Запросы HTTP POST:

a.appl####.com:443/pix?api_did=####&country_code=####&sim=####&carrier=#...
a.da####.com:9127/ll//uu?t=####
api.ad.xi####.####.net/union/fetchAds
c####.b####.com:443/api/newsync2
d.appl####.com:443/device?api_key=####
d.appl####.com:443/device?device_####
g####.62####.com:8001/adStatistics
g####.62####.com:8001/addNewApp
g####.62####.com:8001/gameState
i####.api.xox####.com:443/orts/ua?tk=8biO####&s=####&sdk=####&rv=####&dp...
plb####.u####.com:443/umpx_internal
rts.s####.du####.com:443/orts/rpb?h=####&w=####&model=####&vendor=####&s...
t.appsf####.com:443/api/v4/androidevent?buildnumber=####&app_id=####
u####.u####.com:443/unify_logs
z####.ad.xi####.com:443/client/upgrade/mimo/v1

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.hptc_kache_rollingtrain.mt
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/1
/data/data/####/2
/data/data/####/20
/data/data/####/3
/data/data/####/IPLPrefStorage.xml
/data/data/####/Mediation_Shared_Preferences.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/_duscene_module_prefs.xml
/data/data/####/_m_rec.xml
/data/data/####/_m_rec.xml.bak
/data/data/####/_toolbox_prefs.xml
/data/data/####/a==7.4.0&&1.0.2_1667115768499_envelope.log
/data/data/####/analytics.apk.tmp
/data/data/####/analytics_updater.xml
/data/data/####/appsflyer-data.xml
/data/data/####/appsflyer-data.xml.bak
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/cheuu
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/com.applovin.sdk.1.xml
/data/data/####/com.applovin.sdk.preferences.caVmO7ZgwTVKiXAtMR...dU.xml
/data/data/####/com.applovin.sdk.preferences.caVmO7ZgwTVKiXAtMR...ml.bak
/data/data/####/com.xl.rollingtrain.mt.v2.playerprefs.xml
/data/data/####/com.xl.rollingtrain.mt_preferences.xml
/data/data/####/crab_app_life.xml
/data/data/####/crab_crash_switch.xml
/data/data/####/crab_user_info.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNjY3MTE1NzE0NDUy;
/data/data/####/dW1weF9pbnRlcm5hbF8xNjY3MTE1NzEwMjMz;
/data/data/####/download_table
/data/data/####/download_table-journal
/data/data/####/duscene_mobula.db-journal
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/hjtmp
/data/data/####/i==1.2.0&&1.0.2_1667115710397_envelope.log
/data/data/####/i==1.2.0&&1.0.2_1667115714648_envelope.log
/data/data/####/info.xml
/data/data/####/kva
/data/data/####/last_init_crab.xml
/data/data/####/libjiagu.so
/data/data/####/mimo_asset.apk
/data/data/####/mimo_asset.dex
/data/data/####/mimo_asset.dex.flock (deleted)
/data/data/####/mimo_download.apk.tmp
/data/data/####/outer_ad_data_pipe.xml
/data/data/####/outer_ads_limit_config.xml
/data/data/####/plugin_updater.xml
/data/data/####/proc_auxv
/data/data/####/stateStorage.xml
/data/data/####/supersonic_sdk.db
/data/data/####/supersonic_sdk.db-journal
/data/data/####/time_strategy.xml
/data/data/####/time_strategy.xml.bak
/data/data/####/tmd
/data/data/####/toolbox_cache.db-journal
/data/data/####/toolbox_ts.db-journal
/data/data/####/tv
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/utils.xml
/data/data/####/uuloi
/data/data/####/video_pref_def.xml
/data/data/####/video_pref_def.xml.bak
/data/data/####/vva
/data/data/####/vva.dex
/data/data/####/vva.dex.flock (deleted)
/data/data/####/vva.jar
/data/data/####/yg_cache_prefs.xml
/data/data/####/zeus_crash_info.xml
/data/data/####/zeus_pms.xml
/data/data/####/zeus_pms.xml.bak
/data/media/####/.nomedia
/data/media/####/journal
/data/media/####/journal.tmp
/data/media/####/sysid.dat
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/block/mmcblk0/device/cid
/system/bin/cat /sys/block/mmcblk1/device/cid
/system/bin/cat /sys/block/mmcblk2/device/cid
/system/bin/cat /sys/block/mmcblk3/device/cid
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
cat /sys/class/net/wlan0/address
ls -l /system/bin/su
ls /
ls /sys/class/thermal
top -n 1

Загружает динамические библиотеки:

libX86Bridge
libjiagu
libmain

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
RSA-NONE-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней