Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Panda.1.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) mo####.b####.com:80
- TCP(HTTP/1.1) mobads-####.b####.com:80
- TCP(HTTP/1.1) qzs.gd####.com.####.com:80
- TCP(HTTP/1.1) s####.e.qq.com:80
- TCP(TLS/1.0) mobads-####.b####.com:443
- TCP(TLS/1.0) 64.2####.165.113:443
- TCP(TLS/1.0) 64.2####.164.94:443
- TCP(TLS/1.0) firebas####.google####.com:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.0) hm.b####.com:443
- TCP(TLS/1.0) rr12---####.g####.com:443
- TCP(TLS/1.2) 64.2####.165.113:443
- TCP(TLS/1.2) 64.2####.164.94:443
- TCP(TLS/1.2) firebas####.google####.com:443
- TCP(TLS/1.2) and####.google####.com:443
- UDP and####.google####.com:443
Запросы DNS:
- and####.a####.go####.com
- and####.cli####.go####.com
- and####.google####.com
- digital####.google####.com
- f####.gst####.com
- firebas####.google####.com
- hm.b####.com
- https:/####.go####.com
- https:/####.go####.com.####.8
- https:/####.googl####.net
- https:/####.googl####.net.####.8
- md####.google####.com
- mo####.b####.com
- mobads-####.b####.com
- p####.google####.com
- pla####.googleu####.com
- qzones####.g####.cn
- qzs.gd####.com
- rr12---####.g####.com
- s####.e.qq.com
- www.pan####.net
- www.pan####.net.####.8
Запросы HTTP GET:
- mo####.b####.com/ads/css/shunt.css
- mo####.b####.com/ads/index.htm
- mo####.b####.com/ads/js/ads.trunk.js
- mo####.b####.com/ads/js/c.js
- mo####.b####.com/ads/js/shunt.js
- mo####.b####.com/ads/pa/8/__pasys_remote_banner.php??v=####&bdr=####&tp=...
- mo####.b####.com/ads/pa/8/__xadsdk__remote__8.8108.jar
- mobads-####.b####.com/dz.zb?type=####&logStr=####&version=####&
- qzs.gd####.com.####.com/union/res/android/plugin/plugin.dex-960.jar
Запросы HTTP POST:
- s####.e.qq.com/activate
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/09796d297f5f6134_0
- /data/data/####/09796d297f5f6134_1
- /data/data/####/2752b3e00e3c8c51_0 (deleted)
- /data/data/####/5fc255ac9b297634_0
- /data/data/####/5fc255ac9b297634_1
- /data/data/####/66fa51a5a6941898029d120f96ea1b3b.dex
- /data/data/####/66fa51a5a6941898029d120f96ea1b3b.dex.flock (deleted)
- /data/data/####/6ffed3a94e58e06a_0
- /data/data/####/803a086a33a90dfb_0
- /data/data/####/803a086a33a90dfb_1
- /data/data/####/87a5984b5b93085a_0
- /data/data/####/964a68387a8372c9_0
- /data/data/####/Cookies-journal
- /data/data/####/WORLD_SHARED.xml
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/__x_adsdk_agent_header__.xml
- /data/data/####/__xadsdk__remote__final__59b42690-e3e9-4f0f-94c...01.jar
- /data/data/####/__xadsdk__remote__final__59b42690-e3e9-4f0f-94c...leted)
- /data/data/####/__xadsdk__remote__final__builtin__.dex
- /data/data/####/__xadsdk__remote__final__builtin__.dex.flock (deleted)
- /data/data/####/__xadsdk__remote__final__builtin__.jar
- /data/data/####/__xadsdk_downloaded__version__.xml
- /data/data/####/com.baidu.mobads.loader.xml
- /data/data/####/dda87ef32d70cccb_0
- /data/data/####/devCloudSetting.cfg
- /data/data/####/devCloudSetting.sig
- /data/data/####/f39488a869984dee_0
- /data/data/####/f6ebe11477a49968_0
- /data/data/####/f6ebe11477a49968_1
- /data/data/####/f9582c047787b5bc_0
- /data/data/####/gdt_plugin.dex
- /data/data/####/gdt_plugin.dex.flock (deleted)
- /data/data/####/gdt_plugin.jar
- /data/data/####/gdt_plugin.jar.sig
- /data/data/####/gdt_plugin.next
- /data/data/####/gdt_plugin.next.sig
- /data/data/####/gdt_plugin.tmp
- /data/data/####/gdt_suid
- /data/data/####/http_mobads.baidu.com_0.localstorage-journal
- /data/data/####/index
- /data/data/####/metrics_guid
- /data/data/####/rcpBrithday.db-journal
- /data/data/####/sdkCloudSetting.cfg
- /data/data/####/sdkCloudSetting.sig
- /data/data/####/src.nrf.cyp.iixpzbyk;GSID.xml
- /data/data/####/src.nrf.cyp.iixpzbyk_preferences.xml
- /data/data/####/temp-index
- /data/data/####/the-real-index
- /data/data/####/update_lc
- /data/media/####/.cache
- /data/media/####/66fa51a5a6941898029d120f96ea1b3b.zip
- /data/misc/####/primary.prof
Другие:
Использует следующие алгоритмы для шифрования данных:
- AES-ECB-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS7Padding
- DES
- RSA-ECB-PKCS1Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
Запрашивает разрешение на отображение системных уведомлений.
