Android.SmsSend.31951

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Plague.1.origin
Android.SmsSend.1848.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.0) th.pen####.com:80
TCP(HTTP/1.1) trac####.m####.com:80
TCP(HTTP/1.1) 64.2####.164.94:80
TCP(HTTP/1.1) api.shu####.cn:80
TCP(HTTP/1.1) api.ad.xi####.####.net:80
TCP(HTTP/1.1) ad####.oss-cn-####.aliy####.com:80
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) sdkco####.ad.xi####.com:80
TCP(TLS/1.0) rr14---####.g####.com:443
TCP(TLS/1.0) scdn2####.wpc.17####.####.net:443
TCP(TLS/1.0) gmscomp####.google####.com:443
TCP(TLS/1.0) 64.2####.164.94:443
TCP(TLS/1.0) rr13---####.g####.com:443
TCP(TLS/1.0) 2####.85.233.95:443
TCP(TLS/1.0) sdkco####.ad.i####.####.com:443
TCP(TLS/1.0) sdkco####.ad.xi####.com:443
TCP(TLS/1.2) www.go####.com:443
TCP(TLS/1.2) 74.1####.131.113:443
TCP(TLS/1.2) 64.2####.164.94:443
TCP(TLS/1.2) gmscomp####.google####.com:443
UDP 1####.194.15.6:443

Запросы DNS:

113.131.125.####.arpa
175.21.199.####.arpa
188.41.76.####.arpa
213.232.88.####.arpa
223.176.194.####.arpa
254.15.0.####.arpa
84.51.155.####.arpa
94.164.233.####.arpa
95.220.194.####.arpa
95.222.194.####.arpa
a####.u####.com
a.cs####.top
ad####.oss-cn-####.aliy####.com
api.ad.xi####.com
api.shu####.cn
b####.mtu####.com
b.cs####.top
dai.shu####.cn
dia####.site
f1.ma####.xi####.com
gmscomp####.google####.com
jdq.mtu####.com
m####.go####.com
rr13---####.g####.com
rr14---####.g####.com
sdkco####.ad.i####.####.com
sdkco####.ad.xi####.com
th.pen####.com
trac####.m####.com
www.go####.com

Запросы HTTP GET:

ad####.oss-cn-####.aliy####.com/dev/xxx.png
scdn2####.wpc.17####.####.net:443/download/AdCenter/05b4bf36955af43f6937...
sdkco####.ad.i####.####.com:443/api/detail/0cd850b185439f68a1b78521a9e3c...
sdkco####.ad.i####.####.com:443/api/detail/54db829f09424caad69f7fb9350fa...
sdkco####.ad.i####.####.com:443/api/detail/5a0d76b426bd66bf94b94e19a8719...
sdkco####.ad.xi####.com/api/checkupdate/lastusefulversion?currentApiVers...
sdkco####.ad.xi####.com/api/detail/0cd850b185439f68a1b78521a9e3c3d2?ts=#...
sdkco####.ad.xi####.com/api/detail/54db829f09424caad69f7fb9350fa48d?ts=#...
sdkco####.ad.xi####.com/api/detail/5a0d76b426bd66bf94b94e19a8719e41?ts=#...
sdkco####.ad.xi####.com:443/api/detail/common_conf?i=####&o=####&b=####&...

Запросы HTTP POST:

a####.u####.com/app_logs
api.ad.xi####.####.net/union/fetchAds
api.shu####.cn/report?v=####&c=####&e=####
th.pen####.com/a
trac####.m####.com/track/v1

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.appInfo
/data/data/####/.imprint
/data/data/####/1502771302142
/data/data/####/AdServer_asset.apk
/data/data/####/AdServer_asset.dex
/data/data/####/AdServer_asset.dex.flock (deleted)
/data/data/####/AdWhiteList.xml
/data/data/####/AdWhiteList.xml.bak
/data/data/####/MA_epay_db
/data/data/####/MA_epay_db-journal
/data/data/####/MyShare.xml
/data/data/####/MyShare.xml.bak
/data/data/####/ReporterService.xml
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/_miad_sdk_module_versions.xml
/data/data/####/analytics.apk.tmp
/data/data/####/analytics.db-journal
/data/data/####/analytics.dex
/data/data/####/analytics.dex.flock (deleted)
/data/data/####/analytics_asset.apk
/data/data/####/analytics_asset.dex
/data/data/####/analytics_asset.dex.flock (deleted)
/data/data/####/analyticsv2.db-journal
/data/data/####/apkloader.xml
/data/data/####/apkloader.xml.bak
/data/data/####/app_lsnpclasses.dex
/data/data/####/app_lsnpclasses.dex (deleted)
/data/data/####/app_lsnpclasses.dex.flock (deleted)
/data/data/####/app_lsnpclasses.jar
/data/data/####/b_setting.xml
/data/data/####/b_share.xml
/data/data/####/bblr
/data/data/####/bil_db
/data/data/####/bil_db-journal
/data/data/####/co.xml
/data/data/####/com.yslearning.starxxl_dna.xml
/data/data/####/com.yslearning.starxxl_preferences.xml
/data/data/####/com.yslearning.starxxl_prefs.xml
/data/data/####/dbnmhl-journal
/data/data/####/heartbeat.xml
/data/data/####/libanalytics.so
/data/data/####/libanalytics.so (deleted)
/data/data/####/libas.so
/data/data/####/libdemolishdata.so
/data/data/####/libdu.so
/data/data/####/libpreverify1.so
/data/data/####/ma_call.xml
/data/data/####/ma_data.xml
/data/data/####/ma_epay_share.xml
/data/data/####/ma_epay_share.xml.bak
/data/data/####/metrics_guid
/data/data/####/nexor.dex
/data/data/####/nexor.dex.flock (deleted)
/data/data/####/nexor.jar
/data/data/####/nnt_data.xml
/data/data/####/place.holder
/data/data/####/policy.cache
/data/data/####/prim.dex
/data/data/####/prim.dex.flock (deleted)
/data/data/####/proc_auxv
/data/data/####/requests.db-journal
/data/data/####/setting.xml
/data/data/####/setting.xml.bak
/data/data/####/share_ecd.xml
/data/data/####/share_version.xml
/data/data/####/shuzilm.db
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/updater.xml
/data/media/####/_android.dat
/data/media/####/_driver.dat
/data/media/####/_system.dat
/data/media/####/lut
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

getprop ro.product.cpu.abi
logcat -c
ls /dev/socket
netstat
ps
service call iphonesubinfo 1
sh -c cat /proc/cpuinfo
sh -c cat /proc/net/arp
sh -c cat /proc/sys/kernel/osrelease
sh -c cat /proc/sys/kernel/random/boot_id
sh -c cat /proc/sys/kernel/random/uuid

Загружает динамические библиотеки:

libdemolish
libdu
libgdx
libune

Использует следующие алгоритмы для шифрования данных:

DES
DES-ECB-PKCS5Padding
RSA

Использует следующие алгоритмы для расшифровки данных:

Осуществляет доступ к приватному интерфейсу ITelephony.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Отрисовывает собственные окна поверх других приложений.

Парсит информацию из SMS.

Получает информацию о входящих/исходящих звонках.

Получает информацию об отправленых/принятых SMS.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней