Adware.Youmi.20

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Youmi.1.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) www.simplec####.net:80
TCP(HTTP/1.1) connect####.gst####.com:80
TCP(TLS/1.0) c####.x####.com:443
TCP(TLS/1.0) is.sn####.com.####.net:443
TCP(TLS/1.0) rr9---s####.g####.com:443
TCP(TLS/1.0) rr2---s####.g####.com:443
TCP(TLS/1.0) rr18---####.g####.com:443
TCP(TLS/1.0) net.ray####.com:443
TCP(TLS/1.0) d2zi34f####.cloudf####.net:443
TCP(TLS/1.0) hy####.ray####.com:443
TCP(TLS/1.0) plb####.u####.com:443
TCP(TLS/1.0) fk-set####.ray####.com:443
TCP(TLS/1.0) u####.u####.com:443
TCP(TLS/1.0) analy####.ray####.com:443
TCP(TLS/1.0) log.tracki####.com:443
TCP(TLS/1.0) t####.te####.io:443
TCP(TLS/1.0) connect####.gst####.com:443
TCP(TLS/1.0) def####.duals####.cn.####.com:443
TCP(TLS/1.0) sf3-ttc####.ps####.com.####.com:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.2) 64.2####.164.105:443
TCP(TLS/1.2) connect####.gst####.com:443
TCP(TLS/1.2) 74.1####.131.113:443
TCP(TLS/1.2) p####.google####.com:443
UDP www.gst####.com:443
UDP p####.google####.com:443

Запросы DNS:

analy####.ray####.com
av1.x####.com
c####.x####.com
connect####.gst####.com
d2zi34f####.cloudf####.net
hy####.ray####.com
is.sn####.com
l####.tbs.qq.com
log.tracki####.com
log.u####.com
net.ray####.com
p####.google####.com
p####.x####.com
plb####.u####.com
rr18---####.g####.com
rr2---s####.g####.com
rr9---s####.g####.com
set####.ray####.com
sf3-fe####.pglstat####.com
sf3-ttc####.ps####.com
t####.te####.io
u####.u####.com
www.gst####.com
www.simplec####.net

Запросы HTTP GET:

d2zi34f####.cloudf####.net:443/i/22/06/23/13/40/u-fYF7sdKPaF.jpg
d2zi34f####.cloudf####.net:443/i/23/07/31/21/45/u-WfAiHnkdWs.jpg
d2zi34f####.cloudf####.net:443/vm/23/07/25/16/7a3a3a1f-87fc-4a01-8368-76...
def####.duals####.cn.####.com:443/bar/get/null/?pcv=####&de=####&mac=###...
fk-set####.ray####.com:443/appwall/setting?app_id=####&sign=####&channel...
fk-set####.ray####.com:443/rewardsetting?app_id=####&sign=####&channel=#...
fk-set####.ray####.com:443/rewardsetting?app_id=####&sign=####&unit_ids=...
fk-set####.ray####.com:443/sdk/customid?app_id=####&sign=####&channel=##...
fk-set####.ray####.com:443/setting?app_id=####&sign=####&jm_a=####&jm_n=...
hy####.ray####.com:443/rv-zip-2021/0712/mini-467e1352170584c587fa19fc97b...
hy####.ray####.com:443/rv-zip-2023/0913/tpl4-1c23920f63c8fed0cb640c9c548...
hy####.ray####.com:443/rv-zip-2023/0915/3like.v7-d7490aa168700e9301d600d...
hy####.ray####.com:443/rv/endv4.html?mof=####&ec_id=####&rv_tid=####&tpl...
log.tracki####.com:443/receive/gettime
net.ray####.com:443/openapi/ad/v3?app_id=####&unit_id=####&sign=####&req...
sf3-ttc####.ps####.com.####.com:443/obj/ad-pattern/renderer/b757f7/index...
sf3-ttc####.ps####.com.####.com:443/obj/ad-pattern/renderer/b757f7/vendo...
sf3-ttc####.ps####.com.####.com:443/obj/ad-pattern/renderer/package.json

Запросы HTTP POST:

analy####.ray####.com:443/
c####.x####.com:443/configcloud/rest/sdk/match
is.sn####.com.####.net:443/api/ad/union/sdk/get_ads/
is.sn####.com.####.net:443/api/ad/union/sdk/settings/
l####.tbs.qq.com/ajax?c=####&k=####
log.tracki####.com:443/receive/tkio/event
log.tracki####.com:443/receive/tkio/install
log.tracki####.com:443/receive/tkio/register
log.tracki####.com:443/receive/tkio/startup
plb####.u####.com:443/umpx_internal
t####.te####.io:443/v0/event
u####.u####.com:443/unify_logs
www.simplec####.net/online/?app=####&platform=####&appid=####&appver=###...

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/-1127729055-1266689676
/data/data/####/-5998622401067643521
/data/data/####/.hptc.cache_mpgun.gunbattle
/data/data/####/.hptc_kache_mpgun.gunbattle
/data/data/####/.imprint
/data/data/####/.jg.ic
/data/data/####/.jgck
/data/data/####/1696650301669_3641
/data/data/####/1696650301856_3641
/data/data/####/1696650302879_3641
/data/data/####/1696650302895_3641
/data/data/####/1696650302927_3641
/data/data/####/1696650302961_3641
/data/data/####/1696650303014_3641
/data/data/####/1696650303086_3641
/data/data/####/1696650303116_3641
/data/data/####/1696650303193_3641
/data/data/####/1696650303223_3641
/data/data/####/1696650303283_3641
/data/data/####/1696650303300_3641
/data/data/####/1696650305108_3641
/data/data/####/1696650305198_3641
/data/data/####/1696650307181_4001
/data/data/####/1696650307235_4001
/data/data/####/1696650307321_4001
/data/data/####/1696650307605_3641
/data/data/####/1696650307727_3641
/data/data/####/1696650308153_3641
/data/data/####/1696650308167_3641
/data/data/####/1696650308335_3641
/data/data/####/1696650310067_3641
/data/data/####/1696650310352_3641
/data/data/####/1696650311347_3641
/data/data/####/1696650316979_3641
/data/data/####/1696650317357_3641
/data/data/####/1696650324474_3641
/data/data/####/1696650331232_3641
/data/data/####/1696650333173_3641
/data/data/####/1696650333331_3641
/data/data/####/1696650336028_3641
/data/data/####/1696650336462_3641
/data/data/####/1696650337865_3641
/data/data/####/1696650343817_3641
/data/data/####/1696650344339_3641
/data/data/####/1696650344388_3641
/data/data/####/1696650344433_3641
/data/data/####/1696650344652_3641
/data/data/####/1696650344693_3641
/data/data/####/Archimedes_p1
/data/data/####/Archimedes_p2
/data/data/####/Archimedes_p3
/data/data/####/Archimedes_p4
/data/data/####/Archimedes_p5
/data/data/####/Cocos2dxPrefsFile.xml
/data/data/####/Cocos2dxPrefsFile.xml.bak
/data/data/####/Reyun.db
/data/data/####/Reyun.db-journal
/data/data/####/TD_app_pefercen_profile.xml
/data/data/####/TD_push_pref_file.xml
/data/data/####/TDpref_cloudcontrol1.xml
/data/data/####/TDpref_longtime.xml
/data/data/####/TDpref_longtime0.xml
/data/data/####/TDpref_longtime0.xml.bak
/data/data/####/TDpref_shorttime.xml
/data/data/####/UM_PROBE_DATA.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/a==8.1.3&&1.0.1_1696650308515_envelope.log
/data/data/####/classes.dex
/data/data/####/classes.dex;classes2.dex
/data/data/####/classes.dex;classes3.dex
/data/data/####/classes.dex;classes4.dex
/data/data/####/classes.oat
/data/data/####/com.jumpgun.gunbattle_preferences.xml
/data/data/####/core_info
/data/data/####/cv.xml
/data/data/####/dW1weF9pbnRlcm5hbF8xNjk2NjUwMjk5MTYx;
/data/data/####/downloader.db-journal
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/i==1.2.0&&1.0.1_1696650298963_envelope.log
/data/data/####/index
/data/data/####/info.xml
/data/data/####/iv
/data/data/####/jsb.sqlite-journal
/data/data/####/libjiagu.so
/data/data/####/metrics_guid
/data/data/####/mintegral.msdk.db-journal
/data/data/####/mintegral.xml
/data/data/####/myServerData_prefs.xml
/data/data/####/openudid_prefs.xml
/data/data/####/proc_auxv
/data/data/####/pushInfo.db
/data/data/####/pushInfo.db-journal
/data/data/####/salt
/data/data/####/share.db-journal
/data/data/####/share_date.xml
/data/data/####/sp_global_info.xml
/data/data/####/sp_global_info.xml.bak
/data/data/####/startInfo.xml
/data/data/####/t==8.1.3&&1.0.1_1696650307887_envelope.log
/data/data/####/talkingdata_app_default_push_preferences.xml
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/tdid.xml
/data/data/####/tenjinInstallPreferences.xml
/data/data/####/the-real-index
/data/data/####/tracking_device_id_cache.xml
/data/data/####/tracking_install.xml
/data/data/####/tracking_interval.xml
/data/data/####/tracking_login.xml
/data/data/####/tt_sdk_settings.xml
/data/data/####/tt_sdk_settings.xml.bak
/data/data/####/ttopenadsdk.xml
/data/data/####/ttopensdk.db-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/um_pri.xml
/data/data/####/umeng_common_config.xml
/data/data/####/umeng_common_location.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_message_state.xml
/data/data/####/umeng_socialize.xml
/data/media/####/-1788230348
/data/media/####/.nomedia
/data/media/####/003.gif
/data/media/####/1234615475
/data/media/####/1b920c76403c1776ed8292faaf014578.zip
/data/media/####/278cbd81bc72b4f8c27a3ff5a0659383
/data/media/####/278cbd81bc72b4f8c27a3ff5a0659383.tmp
/data/media/####/2ac7ea8232fa8e060cc4b4f8ab388093
/data/media/####/3like.v7.html
/data/media/####/5322fd762db1d0aea8aa0e32571db55a.zip
/data/media/####/6b6e0205f4900ee51677f18cfb9d46c5.html
/data/media/####/6cd6061f86befd419f1b89d98d668803
/data/media/####/6e52c254a84ba5b08b0b6673519c72d0.tmp
/data/media/####/AndroidLog.log
/data/media/####/AndroidLog.log.1
/data/media/####/EC_TUIA_v1.js
/data/media/####/GjzkTfya717.1m1
/data/media/####/P3Pie33FqzJBy.6fy
/data/media/####/btn_close.png
/data/media/####/circle.png
/data/media/####/close_v2.png
/data/media/####/common.min.js
/data/media/####/eea17f8ae0f20ec23b2dd6fffae43597.zip
/data/media/####/endv4.css
/data/media/####/endv4.css.map
/data/media/####/endv4.js
/data/media/####/finger.png
/data/media/####/gift-love.gif
/data/media/####/icon-download.png
/data/media/####/icon-finger1.png
/data/media/####/icon-finger2.png
/data/media/####/icon-gdt.png
/data/media/####/icon-go.png
/data/media/####/icon-idcd-finger.gif
/data/media/####/icon-idcd-finger.png
/data/media/####/icon-mtg.png
/data/media/####/icon-privacy-black.png
/data/media/####/icon-right-arrow.png
/data/media/####/icon_close.png
/data/media/####/icon_mtg.png
/data/media/####/icon_privacy.png
/data/media/####/info3.png
/data/media/####/light.png
/data/media/####/loading.gif
/data/media/####/loadingMtg.gif
/data/media/####/logo-black.png
/data/media/####/logo-gray.png
/data/media/####/mini.html
/data/media/####/more_offer_v4.js
/data/media/####/privacy-shadow.png
/data/media/####/privacy.png
/data/media/####/rv_bg_0.jpg
/data/media/####/rv_bg_1.jpg
/data/media/####/rv_bg_2.jpg
/data/media/####/shake-btn-icon.png
/data/media/####/sound_off_v2.png
/data/media/####/sound_open_v2.png
/data/media/####/star-gray.png
/data/media/####/star-yellow.png
/data/media/####/star.png
/data/media/####/star1.png
/data/media/####/subscripts.png
/data/media/####/tbslog.txt
/data/media/####/temp.txt
/data/media/####/temp_pkg_info.json
/data/media/####/tpl4.html
/data/media/####/tpl4.js
/data/media/####/user-gray.png
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
cat /sys/class/net/wlan0/address
getprop
getprop ro.build.version.emui
getprop ro.letv.release.version
getprop ro.product.cpu.abi
getprop ro.vivo.os.build.display.id
ls /
ls /sys/class/thermal
ps

Загружает динамические библиотеки:

libcom_jumpgun_gunbattle
libjiagu

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-ECB-PKCS5Padding
RC4
RSA-ECB-NoPadding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
AES-CBC-PKCS7Padding
AES-CFB-PKCS5Padding
AES-ECB-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Запрашивает разрешение на отображение системных уведомлений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней