Adware.Youmi.3

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Youmi.1.origin

Сетевая активность:

Подключается к:

UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) 3####.97.27.55:8898
TCP(HTTP/1.1) na61-####.wagbr####.ali####.####.com:80
TCP(HTTP/1.1) 2####.107.1.1:80
TCP(HTTP/1.1) api.s####.mob.com:80
TCP(HTTP/1.1) adash####.man.aliy####.com:80
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) a####.juliyue####.com:80
TCP(HTTP/1.1) a####.exc.mob.com:80
TCP(HTTP/1.1) beacon####.aliy####.com:80
TCP(HTTP/1.1) m.d####.mob.com:80
TCP(HTTP/1.1) wn.pos.b####.com:80
TCP(HTTP/1.1) sdk.c####.g####.####.cn:80
TCP(TLS/1.0) ki####.juliyue####.com:443
TCP(TLS/1.0) a####.juliyue####.com:443
TCP(TLS/1.0) b####.yizh####.com:443
TCP(TLS/1.0) app-ro####.leanc####.cn:443
TCP(TLS/1.0) av1.x####.com:443
TCP(TLS/1.0) c####.x####.com:443
TCP(TLS/1.0) f####.gst####.com:443
TCP(TLS/1.0) gmscomp####.google####.com:443
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) sf3-fe####.pglstat####.com.####.com:443
TCP(TLS/1.0) helpgam####.ksmo####.com:443
TCP(TLS/1.0) bgp.netarch####.l.####.net:443
TCP(TLS/1.0) mal####.in####.com:443
TCP(TLS/1.0) img####.q####.com.####.com:443
TCP(TLS/1.0) plb####.u####.com:443
TCP(TLS/1.0) 2####.107.1.97:443
TCP(TLS/1.0) ada####.m.ta####.com:443
TCP(TLS/1.0) 1####.194.177.94:443
TCP(TLS/1.0) u####.u####.com:443
TCP(TLS/1.0) is.sn####.com.####.com:443
TCP(TLS/1.0) loc.map.b####.com:443
TCP(TLS/1.0) l####.cdn.bc####.####.com:443
TCP(TLS/1.0) to####.ctobsn####.com.####.net:443
TCP(TLS/1.0) connect####.gst####.com:443
TCP(TLS/1.2) connect####.gst####.com:443
TCP(TLS/1.2) gmscomp####.google####.com:443
TCP(TLS/1.2) pla####.google####.com:443
TCP cm-1####.g####.com:5225
TCP app-ro####.leanc####.cn:443
TCP sdk.o####.t####.####.com:5224
TCP open####.y####.com:443
TCP cm-10####.g####.com:5226

Запросы DNS:

a####.exc.mob.com
a####.juliyue####.com
a####.man.aliy####.com
ad####.api.mxl####.com
ada####.ut.ta####.com
and####.cli####.go####.com
api.map.b####.com
api.s####.mob.com
app-ro####.leanc####.cn
av1.x####.com
b####.yizh####.com
beacon####.aliy####.com
c####.x####.com
cdn.juliyue####.com
cm-1####.g####.com
cm-10####.g####.com
connect####.gst####.com
dig.b####.net
digital####.google####.com
dm.byted####.com
dm.ps####.com
dm.tou####.com
f####.gst####.com
gmscomp####.google####.com
helpgam####.ksmo####.com
https:/####.go####.com
https:/####.go####.com.####.8
https:/####.googl####.net
https:/####.googl####.net.####.8
ip.adi####.net
ip.ta####.com
is.sn####.com
ki####.juliyue####.com
l####.cdn.bc####.com
l####.tbs.qq.com
loc.map.b####.com
m####.go####.com
m.d####.mob.com
mal####.in####.com
open####.y####.com
pla####.google####.com
pla####.googleu####.com
plb####.u####.com
s####.yizh####.com
sdk.c####.g####.com
sdk.juliyue####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
sf3-fe####.pglstat####.com
sf3-ttc####.ps####.com
to####.ctobsn####.com
u####.u####.com
wn.pos.b####.com
www.google####.com

Запросы HTTP GET:

a####.juliyue####.com/api/ad/ad/sendDeviceInfo
a####.juliyue####.com/dspapi/ad/event/report?a=####&at=####&d=####&fu=##...
a####.juliyue####.com/dspapi/ad/getH5Ad?inClient=1&product=30363&ad_chan...
a####.juliyue####.com/extra/a/e/r?a=####&at=####&d=####&fu=####&h=####&i...
a####.juliyue####.com/extra/information/getInformation?positionId=####&a...
a####.juliyue####.com/extra/information/list?acc=####
a####.juliyue####.com:443/ip/refresh?ts=####&sign=####&doi=####&adshow=#...
bgp.netarch####.l.####.net:443/q?host=####&aid=####
is.sn####.com.####.com:443/get_domains/v4/?abi=####&aid=####&device_plat...
m.d####.mob.com/v4/cconf?appkey=####&plat=####&apppkg=####&appver=####&n...
mal####.in####.com:443/malacca/report.do?uid=####&prov=####&gtm=####&app...
na61-####.wagbr####.ali####.####.com/service/getIpInfo.php?ip=####
na61-####.wagbr####.ali####.####.com/service/getIpInfo2.php?ip=####
sdk.c####.g####.####.cn/config/hzv9.conf
sf3-fe####.pglstat####.com.####.com:443/get_domains/v4/?abi=####&aid=###...
sf3-fe####.pglstat####.com.####.com:443/obj/ad-pattern/renderer/477ebc/i...
sf3-fe####.pglstat####.com.####.com:443/obj/ad-pattern/renderer/477ebc/v...
sf3-fe####.pglstat####.com.####.com:443/obj/ad-pattern/renderer/package....
to####.ctobsn####.com.####.net:443/service/2/app_alert_check/?aid=####&d...
wn.pos.b####.com/adx.php?c=####

Запросы HTTP POST:

a####.exc.mob.com/errconf
ada####.m.ta####.com:443/rest/sur?ak=####&av=####&c=####&v=####&s=####&d...
adash####.man.aliy####.com/man/api?ak=####&s=####
api.s####.mob.com/conf5
api.s####.mob.com/conn
api.s####.mob.com/snsconf
beacon####.aliy####.com/beacon/fetch/config/byappkey
c####.x####.com:443/configcloud/rest/sdk/match
helpgam####.ksmo####.com:443/bulk/v2/
helpgam####.ksmo####.com:443/c/v2/
is.sn####.com.####.com:443/api/ad/union/sdk/get_ads/
is.sn####.com.####.com:443/api/ad/union/sdk/settings/
l####.tbs.qq.com/ajax?c=####&k=####
plb####.u####.com:443/umpx_internal
to####.ctobsn####.com.####.net:443/service/2/app_log/?device_platform=##...
to####.ctobsn####.com.####.net:443/service/2/device_register_only/?aid=#...
to####.ctobsn####.com.####.net:443/service/2/log_settings/?device_platfo...
u####.u####.com:443/unify_logs

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.cl
/data/data/####/.duid
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.lock
/data/data/####/.mrecord
/data/data/####/.mrecord (deleted)
/data/data/####/.mrlock
/data/data/####/.statistics
/data/data/####/.vpl_lock
/data/data/####/00335725f75c015c_0
/data/data/####/032bdf600b7e30ca_0
/data/data/####/06cc6bdb3784553f_0
/data/data/####/0862c3845f00012e_0
/data/data/####/0a6b7ee9085139fa_0
/data/data/####/0c966d644335b2c2_0
/data/data/####/0ec0874078a15a47_0 (deleted)
/data/data/####/11a3f3e6571b0c54_0
/data/data/####/13f4044789c70f71_0
/data/data/####/1679758215041_3654
/data/data/####/1679758215382_3654
/data/data/####/1679758219505_3697
/data/data/####/1679758221130_3654
/data/data/####/1679758221349_3654
/data/data/####/1679758222004_3654
/data/data/####/1679758224991_3697
/data/data/####/1679758230168_3972
/data/data/####/1679758231307_4121
/data/data/####/16cf0478bc2ba008_0
/data/data/####/16cf0478bc2ba008_1
/data/data/####/193681fe9831c47b_0
/data/data/####/193681fe9831c47b_1
/data/data/####/1b3ec5460acbf711_0
/data/data/####/1df8bfb02e86ad2b_0
/data/data/####/1ec75e037629bcb2_0
/data/data/####/1ec75e037629bcb2_1
/data/data/####/1f1d68a4a243e38a_0
/data/data/####/1f1d68a4a243e38a_1
/data/data/####/1f4bd00464fbed6e_0
/data/data/####/1f4bd00464fbed6e_1
/data/data/####/224937b3ce6ca79e_0
/data/data/####/34fbff076a8ffa94_0
/data/data/####/47d8ae3e9cf813a9_0
/data/data/####/47fdf6a9f5836581_0
/data/data/####/4a420c7ea520dda4_0
/data/data/####/4c9c6619e40df691_0
/data/data/####/4e6322c07a087957_0
/data/data/####/4e6322c07a087957_1
/data/data/####/518fc69bd53bc049_0 (deleted)
/data/data/####/5a6b21235c1a7165_0
/data/data/####/5b2c769a3f31e8e5_0
/data/data/####/5b2c769a3f31e8e5_1
/data/data/####/5f609935aa00bb02_0
/data/data/####/60219374876f0db0_0
/data/data/####/60659e19cba30cbf_0
/data/data/####/6add49519f266ad6_0
/data/data/####/6be0ef1df3708e8c_0
/data/data/####/6be0ef1df3708e8c_1
/data/data/####/6c475a76b9e1bbcf_0
/data/data/####/6c586e8fb76c68a8_0
/data/data/####/6c586e8fb76c68a8_1
/data/data/####/7830af40f9d5c480_0
/data/data/####/7830af40f9d5c480_1
/data/data/####/7a07faac563065f3_0
/data/data/####/7bb1afec437be537_0
/data/data/####/7f0c6db3325f0974_0
/data/data/####/807181b4f77070bf_0
/data/data/####/807181b4f77070bf_1
/data/data/####/86_0353de00-d667-4052-81f8-580adbc5500a_1679758..._0.ich
/data/data/####/86_523fa1c0-544d-475d-b649-4804df60a09a_1679758..._0.ich
/data/data/####/86_792f47ca-a707-4376-bafa-23f72f3afb5f_1679758..._0.ich
/data/data/####/86bbdc55fea7d99d_0
/data/data/####/873968c2777beaf0_0
/data/data/####/87bd6c72cfd664fa_0
/data/data/####/87bd6c72cfd664fa_1
/data/data/####/8f56170ea15baa77_0
/data/data/####/9c3d3fffb118c59c_0
/data/data/####/9d36b89275ed81af_0
/data/data/####/9eb4261147d61d38_0
/data/data/####/9ef7bb5684527b1c_0
/data/data/####/A3AEECD8.dex
/data/data/####/A3AEECD8.dex.flock (deleted)
/data/data/####/AV_CLOUD_API_VERSION_KEY_ZONE.xml
/data/data/####/Alvin2.xml
/data/data/####/Archimedes_p1
/data/data/####/Archimedes_p2
/data/data/####/Archimedes_p3
/data/data/####/Archimedes_p4
/data/data/####/Archimedes_p5
/data/data/####/C0XKJAO3JLZKJPDKJFXLINQCJIOAOD.xml
/data/data/####/ContextData.xml
/data/data/####/Cookies-journal
/data/data/####/GuardService_umeng_common_config.xml
/data/data/####/Lock0
/data/data/####/Lock2
/data/data/####/Lock7
/data/data/####/SP_AROUTER_CACHE.xml
/data/data/####/TDCloud_Control_Cache_Param1
/data/data/####/TD_AES_DATA_LOCK
/data/data/####/TD_AES_IV_LOCK
/data/data/####/TD_AES_SALT_LOCK
/data/data/####/TD__App_Synchronous_Lock__
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TDpref_cloudcontrol1.xml
/data/data/####/TDpref_cloudcontrol1.xml.bak
/data/data/####/TDpref_longtime.xml
/data/data/####/TDpref_longtime0.xml
/data/data/####/TDpref_longtime0.xml.bak
/data/data/####/TDpref_shorttime.xml
/data/data/####/TDpref_shorttime0.xml
/data/data/####/ThrowalbeLog.db
/data/data/####/ThrowalbeLog.db-journal
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/UTCommon.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/a30af7b9d4b937ab_0
/data/data/####/a30af7b9d4b937ab_1
/data/data/####/a6229d433fe951ed_0
/data/data/####/a93b2de9db4a2347_0
/data/data/####/a==8.0.0&&V3.4.2.0_1679758222868_envelope.log
/data/data/####/aa35d7ce1e4e2fde_0
/data/data/####/ab273c4574d696dd_0
/data/data/####/ab409a4b73995763_0
/data/data/####/ac06aee61345a2e3_0
/data/data/####/ad9d47318ab9698f_0
/data/data/####/ad9d47318ab9698f_1
/data/data/####/adashbc.ut.taobao.com.443
/data/data/####/afa2aa2b7c18d317_0
/data/data/####/ap.Lock
/data/data/####/authStatus_com.wanyu.tjz;remote.xml
/data/data/####/b86276c473759dd4_0
/data/data/####/bd_embed_tea_agent.db-journal
/data/data/####/bytedance_downloader.db-journal
/data/data/####/cf5e5fa342278fe3_0
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/com.avos.avoscloud.RequestStatisticsUtil.data.xml
/data/data/####/com.avos.avoscloud.approuter.8nbP3OpGwMEaBcV7Pn...leted)
/data/data/####/com.avos.avoscloud.approuter.8nbP3OpGwMEaBcV7Pn...ml.bak
/data/data/####/com.avos.avoscloud.approuter.8nbP3OpGwMEaBcV7Pn...sz.xml
/data/data/####/com.wanyu.tjz_infoc_config_pref.xml
/data/data/####/com.wanyu.tjz_preferences.xml
/data/data/####/com_alibaba_aliyun_crash_defend_sdk_info
/data/data/####/core_info
/data/data/####/d1bb19afc756ffc1_0
/data/data/####/d1dd09f6034b4f56_0
/data/data/####/d1dd09f6034b4f56_1
/data/data/####/d3055b8d9f1a7750_0
/data/data/####/d69657abcb2d326b_0
/data/data/####/d80287ba92372d9f_0
/data/data/####/dW1weF9pbnRlcm5hbF8xNjc5NzU4MjE4NjEy;
/data/data/####/dab80220259cdd08_0
/data/data/####/demo3-10-10-1.dex
/data/data/####/demo3-10-10-1.dex.flock (deleted)
/data/data/####/demo3-10-10-1.jar
/data/data/####/download_upload
/data/data/####/e1e258a276e19209_0
/data/data/####/e844ad6c93e86746_0
/data/data/####/embed_applog_stats.xml
/data/data/####/embed_last_sp_session.xml
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f2fb7aceaece5b42_0
/data/data/####/f87d2012a627aed6_0
/data/data/####/fdc10df8bcc18a13_0
/data/data/####/feeb01acc263e3d1_0
/data/data/####/feeb01acc263e3d1_1
/data/data/####/firll.dat
/data/data/####/getui_sp.xml
/data/data/####/hst.db
/data/data/####/hst.db-journal
/data/data/####/httpdns_config_cache.xml
/data/data/####/httpdns_config_enable.xml
/data/data/####/https_book.yizhehua.com_0.localstorage-journal
/data/data/####/hudid.xml
/data/data/####/i==1.2.0&&V3.4.2.0_1679758218354_envelope.log
/data/data/####/ibkad_config.xml
/data/data/####/ibkad_config.xml.bak
/data/data/####/index
/data/data/####/info.xml
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/iv
/data/data/####/jqIqJYOT3JpT-journal
/data/data/####/jsserver_crash_info.log
/data/data/####/libcuid.so
/data/data/####/libjiagu.so
/data/data/####/libwxshare.so
/data/data/####/mac.xml
/data/data/####/metrics_guid
/data/data/####/mob_commons_1
/data/data/####/mob_sdk_exception_1
/data/data/####/npth.xml
/data/data/####/npth_log.db-journal
/data/data/####/p.l
/data/data/####/plugin_v3_demo3-10-10-1.jar.lock
/data/data/####/proc_auxv
/data/data/####/push.pid
/data/data/####/pushsdk.db
/data/data/####/pushsdk.db-journal
/data/data/####/pushservice_umeng_common_config.xml
/data/data/####/pushservice_umeng_common_config.xml.bak (deleted)
/data/data/####/remote_umeng_common_config.xml
/data/data/####/run.pid
/data/data/####/salt
/data/data/####/save_canch.xml
/data/data/####/save_canch.xml.bak
/data/data/####/share_sdk_1
/data/data/####/sharesdk.db-journal
/data/data/####/snssdk_openudid.xml
/data/data/####/sp_reward_video_adslot.xml
/data/data/####/t==8.0.0&&V3.4.2.0_1679758221353_envelope.log
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_config.xml.bak (deleted)
/data/data/####/tbs_download_stat.xml
/data/data/####/tbs_pv_config
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdid.xml
/data/data/####/the-real-index
/data/data/####/tt_dns_settings.xml
/data/data/####/tt_sdk_settings.xml
/data/data/####/tt_sdk_settings.xml.bak
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopensdk.db-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_config.xml.bak
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/update.xml
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/data/####/wsUL1uCdKvjD-journal
/data/data/####/xian_wan_sp_config_table.xml
/data/data/####/xian_wan_sp_config_table.xml.bak
/data/data/####/yilan_sdk.xml
/data/data/####/ymads.db-journal
/data/data/####/ymdex.dex
/data/data/####/ymdex.dex.flock (deleted)
/data/data/####/ymdex.jar
/data/media/####/.artc_lock
/data/media/####/.cuid2
/data/media/####/.dat
/data/media/####/.di
/data/media/####/.dic_lock
/data/media/####/.duid
/data/media/####/.globalLock
/data/media/####/.hudid
/data/media/####/.key
/data/media/####/.lecd
/data/media/####/.lesd_lock
/data/media/####/.mn_1666188972
/data/media/####/.pkg_lock
/data/media/####/.slw
/data/media/####/104348e8e8ef31d3805786fbb547d9b5
/data/media/####/104348e8e8ef31d3805786fbb547d9b5.tmp
/data/media/####/64d542435d5d62bb7a48999ecedee97b
/data/media/####/64d542435d5d62bb7a48999ecedee97b.tmp
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/c66faeae28c768d92c3ea8a6e9ebb5e9
/data/media/####/c66faeae28c768d92c3ea8a6e9ebb5e9.tmp
/data/media/####/clientudid.dat
/data/media/####/com.wanyu.tjz.bin
/data/media/####/journal
/data/media/####/journal.tmp
/data/media/####/tbslog.txt
/data/media/####/temp_pkg_info.json
/data/media/####/yoh.dat
/data/media/####/yol.dat
/data/media/####/yom.dat
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/data/app/<Package>-1/lib/arm/libweexjsb.so 37 0
/data/app/<Package>-1/lib/arm/libweexjsb.so 50 0
/data/app/<Package>-1/lib/arm/libweexjsb.so 54 0
/data/app/<Package>-1/lib/arm/libweexjsb.so 71 0
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
busybox ifconfig
cat /sys/class/net/wlan0/address
getprop
getprop ro.build.version.emui
getprop ro.letv.release.version
getprop ro.product.cpu.abi
getprop ro.vivo.os.build.display.id
ls /
ls /sys/class/thermal

Загружает динамические библиотеки:

libA3AEECD8
libgetuiext3
libjiagu
liblocSDK7b
libmxsdklib
libweexjsc

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
AES-ECB-PKCS7Padding
PBEWITHMD5andDES
RSA-ECB-NoPadding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
PBEWITHMD5andDES

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней