Adware.Youmi.7

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Youmi.1.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) api.yh.jianzh####.com:80
TCP(TLS/1.0) and####.a####.go####.com:443
TCP(TLS/1.0) rr2---s####.g####.com:443
TCP(TLS/1.0) and####.google####.com:443
TCP(TLS/1.0) api.growi####.com:443
TCP(TLS/1.0) sy.cl####.com:443
TCP(TLS/1.0) t####.growi####.com:443
TCP(TLS/1.0) l####.cmpass####.com:9443
TCP(TLS/1.0) api.yh.jianzh####.com:443
TCP(TLS/1.0) rr16---####.g####.com:443
TCP(TLS/1.0) pla####.google####.com:443
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) t.growi####.com:443
TCP(TLS/1.2) and####.google####.com:443
TCP(TLS/1.2) 64.2####.164.94:443
UDP 2####.0.0.1:9998

Запросы DNS:

274.nd####.y####.com
a####.u####.com
and####.a####.go####.com
and####.google####.com
aos.w####.y####.####.8
aos.w####.y####.net
api.growi####.com
api.map.b####.com
api.yh.jianzh####.com
gmscomp####.google####.com
i####.me
l####.cmpass####.com
p####.google####.com
pla####.google####.com
rr16---####.g####.com
rr2---s####.g####.com
s####.gw.y####.####.8
s####.gw.y####.net
s.y####.net
s.y####.net.####.8
sy.cl####.com
t####.dmp.y####.####.8
t####.dmp.y####.net
t####.growi####.com
t.growi####.com

Запросы HTTP GET:

api.yh.jianzh####.com/api/kind
t####.growi####.com:443/products/94beac5eea271fbd/android/<Package>/sett...

Запросы HTTP POST:

a####.u####.com/app_logs
api.growi####.com:443/v3/94beac5eea271fbd/android/pv?stm=####
api.map.b####.com:443/sdkcs/verify
api.yh.jianzh####.com/v35http/newbie/taskList
api.yh.jianzh####.com/v35http/sysbase/globalSetting
api.yh.jianzh####.com:443/v35ssl/author/getBlockList
l####.cmpass####.com:9443/log/logReport
sy.cl####.com:443/flash/accountInit/v3
t.growi####.com:443/app/94beac5eea271fbd/android/ctvt?stm=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.cl
/data/data/####/.imprint
/data/data/####/1004
/data/data/####/89ae94a26827483438afbe4fd50b9f7e-journal
/data/data/####/8f7a634cc8400bbf0d832ea47aea6de7
/data/data/####/8f7a634cc8400bbf0d832ea47aea6de7-journal
/data/data/####/C0XKJAO3JLZKJPDKJFXLINQCJIOAOD.xml
/data/data/####/CE94557724F842149D690D0E8CBB1CBD.xml
/data/data/####/Cookies-journal
/data/data/####/GrowingioMonitor.db-journal
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/MyPrefs_base.xml
/data/data/####/OFFERSCONFIG1.xml
/data/data/####/OxgHkj2lz09F-journal
/data/data/####/P15pKIjsm64m
/data/data/####/P15pKIjsm64m-journal
/data/data/####/T1oX0rhhuXWt
/data/data/####/T1oX0rhhuXWt-journal
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/XKwVoK0huy3R
/data/data/####/XKwVoK0huy3R-journal
/data/data/####/applicationId
/data/data/####/authStatus_all.easyparttimejob.xml
/data/data/####/bugly_db_-journal
/data/data/####/chuanglan_report_2.2.1.db
/data/data/####/chuanglan_report_2.2.1.db-journal
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/classes.oat
/data/data/####/crash_dump.log
/data/data/####/crashrecord.xml
/data/data/####/ct_account_api_sdk.xml
/data/data/####/d556f1727fdf1bfb9317ba1643dd7e9b
/data/data/####/d556f1727fdf1bfb9317ba1643dd7e9b-journal
/data/data/####/device_id.xml.xml
/data/data/####/exchangeIdentity.json
/data/data/####/growing.db-journal
/data/data/####/growing_ecsid.xml
/data/data/####/growing_ecsid.xml.bak
/data/data/####/growing_persist_data.xml
/data/data/####/growing_profile.xml
/data/data/####/growing_server_pref.xml
/data/data/####/jqIqJYOT3JpT
/data/data/####/jqIqJYOT3JpT-journal
/data/data/####/jsb.version
/data/data/####/libjiagu.so
/data/data/####/libweexjsb.so
/data/data/####/local_crash_lock
/data/data/####/mac.xml
/data/data/####/native_record_lock
/data/data/####/parttimejobcat
/data/data/####/parttimejobcat-journal
/data/data/####/parttimejobcat-journal (deleted)
/data/data/####/proc_auxv
/data/data/####/shanyan_share_data.xml
/data/data/####/ssoconfigs.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_general_config.xml.bak
/data/data/####/umeng_general_config.xml.bak (deleted)
/data/data/####/umeng_it.cache
/data/data/####/usa129xa
/data/data/####/usa129xa-journal
/data/data/####/wIU6pTyUBYWX
/data/data/####/wIU6pTyUBYWX-journal
/data/data/####/wsUL1uCdKvjD
/data/data/####/wsUL1uCdKvjD-journal
/data/data/####/xUtils_http_cookie.db
/data/data/####/xUtils_http_cookie.db-journal
/data/data/####/xUtils_http_cookie.db-journal (deleted)
/data/data/####/ymdex.dex
/data/data/####/ymdex.dex.flock (deleted)
/data/data/####/ymdex.jar
/data/media/####/.cuid2
/data/media/####/easemob.log
/data/media/####/em_msg.log
/data/media/####/i42d45df023jnkdd93la483f9xGFKXI
/data/media/####/s92TjjdfoP2n3o9dfji2l9s1olkjf0p
/data/misc/####/primary.prof
/data/user_de/####/move_to_de_records.xml

Другие:

Запускает следующие shell-скрипты:

/data/app/<Package>-1/lib/arm//libweexjsb.so 45 48 1 /data/user/0/<Package>/app_crash/crash_dump.log
/system/bin/cat /sys/devices/system/cpu/kernel_max
cat /sys/class/net/wlan0/address
getprop ro.build.version.emui
getprop ro.build.version.opporom
getprop ro.miui.ui.version.name
getprop ro.smartisan.version
getprop ro.vivo.os.version
ls -l /system/xbin/su

Загружает динамические библиотеки: