Adware.Was.13000

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Was.1.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
UDP(DNS) 8####.8.4.4:53
TCP(HTTP/1.1) l####.tbs.qq.com:80
TCP(HTTP/1.1) 1####.254.116.117:80
TCP(HTTP/1.1) 64.2####.162.94:80
TCP(HTTP/1.1) a.da####.com:9127
TCP(TLS/1.0) sdk.b####.com.####.com:443
TCP(TLS/1.0) y####.qq.com:443
TCP(TLS/1.0) 1####.194.163.27:443
TCP(TLS/1.0) prd-le####.cdp.inte####.####.com:443
TCP(TLS/1.0) q####.tc.qq.com:443
TCP(TLS/1.0) n####.qq.com:443
TCP(TLS/1.0) co####.uca.c####.####.com:443
TCP(TLS/1.0) p####.google####.com:443
TCP(TLS/1.0) perf-ev####.c####.uni####.com:443
TCP(TLS/1.0) ecomm####.iap.uni####.com:443
TCP(TLS/1.0) ha####.3g.qq.com:443
TCP(TLS/1.2) 74.1####.205.102:443
TCP(TLS/1.2) 64.2####.162.94:443
TCP(TLS/1.2) p####.google####.com:443
TCP(TLS/1.2) www.go####.com:443
TCP oth.str.mdt.####.com:8081
UDP 1####.194.163.36:443
TCP oth.eve.mdt.####.com:8081

Запросы DNS:

254.21.0.####.arpa
a.da####.com
cdp.c####.uni####.com
co####.uca.c####.####.com
ecomm####.iap.uni####.com
g####.62####.com
ha####.3g.qq.com
l####.tbs.qq.com
m####.go####.com
n####.qq.com
oth.eve.mdt.####.com
oth.str.mdt.####.com
p####.google####.com
perf-ev####.c####.uni####.com
q####.qq.com
sdk.b####.com
www.go####.com
y####.qq.com

Запросы HTTP GET:

a.da####.com:9127/ll/app_com.tencent.tmgp.xph.lgsjzj.json?a170359####
a.da####.com:9127/ll/gs?baseversion=####&version=####&appversion=####&ch...
sdk.b####.com.####.com:443/app.api?app_id=####&vercode=####&version=####
y####.qq.com:443/ad/getadinfo?openappid=####&offerid=####&pay_os=####&ap...
y####.qq.com:443/auth/guest_verify_login?channel=####&offerid=####&devic...
y####.qq.com:443/conf/get_conf?openappid=####&offerid=####&pay_os=####&a...
y####.qq.com:443/conf/get_ysdk_update_conf?appid=####&scene=####&openid=...
y####.qq.com:443/conf/get_ysdk_update_conf?appid=####&scene=####&soMd5=#...
y####.qq.com:443/msg/msg_push?access_token=####&msg_list=####&openappid=...

Запросы HTTP POST:

a.da####.com:9127/ll//uu?t=####
l####.tbs.qq.com/ajax?c=####&k=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.dex2oatlock
/data/data/####/.hptc.cache_tmgp.xph.lgsjzj
/data/data/####/.hptc_kache_tmgp.xph.lgsjzj
/data/data/####/.updateIV.dat
/data/data/####/.updateIV.dat_0
/data/data/####/.updateIV.dat_1
/data/data/####/.updateIV.dat_2
/data/data/####/.updateIV.dat_3
/data/data/####/.updateIV.dat_4
/data/data/####/.updateIV.dat_5
/data/data/####/0000000lllll_0.dex
/data/data/####/0000000lllll_1.dex
/data/data/####/0000000lllll_2.dex
/data/data/####/0000000lllll_3.dex
/data/data/####/0000000lllll_4.dex
/data/data/####/0000000lllll_5.dex
/data/data/####/000001.dbtmp
/data/data/####/000O00ll111l_0.dex
/data/data/####/000O00ll111l_1.dex
/data/data/####/000O00ll111l_2.dex
/data/data/####/000O00ll111l_3.dex
/data/data/####/000O00ll111l_4.dex
/data/data/####/000O00ll111l_5.dex
/data/data/####/00O000ll111l_0.dex
/data/data/####/00O000ll111l_0.dex.flock
/data/data/####/00O000ll111l_0.dex.flock (deleted)
/data/data/####/00O000ll111l_1.dex
/data/data/####/00O000ll111l_1.dex.flock
/data/data/####/00O000ll111l_1.dex.flock (deleted)
/data/data/####/00O000ll111l_2.dex
/data/data/####/00O000ll111l_2.dex.flock
/data/data/####/00O000ll111l_2.dex.flock (deleted)
/data/data/####/00O000ll111l_3.dex
/data/data/####/00O000ll111l_3.dex.flock
/data/data/####/00O000ll111l_3.dex.flock (deleted)
/data/data/####/00O000ll111l_4.dex
/data/data/####/00O000ll111l_4.dex.flock
/data/data/####/00O000ll111l_4.dex.flock (deleted)
/data/data/####/00O000ll111l_5.dex
/data/data/####/00O000ll111l_5.dex.flock
/data/data/####/00O000ll111l_5.dex.flock (deleted)
/data/data/####/0227a8e4ab366964_0
/data/data/####/093c4fdd03fe0b0a_0
/data/data/####/0OO00l111l1l
/data/data/####/0OO00l111l1l.lock
/data/data/####/2cc80dabc69f58b6_0
/data/data/####/2cc80dabc69f58b6_1
/data/data/####/56b4e807cfbb1d48_0
/data/data/####/CURRENT
/data/data/####/Cookies-journal
/data/data/####/DENGTA_META.xml
/data/data/####/DENGTA_META.xml.bak
/data/data/####/Databases.db-journal
/data/data/####/GuestUser-journal
/data/data/####/MANIFEST-000001
/data/data/####/QuotaManager-journal
/data/data/####/WebViewChromiumPrefs.xml
/data/data/####/YSDK_CONFIG.xml
/data/data/####/YSDK_CONFIG_OPEN_.xml
/data/data/####/YSDK_CONFIG_OPEN_d1cee94d45803e0a1773a8edd4d24d6e.xml
/data/data/####/YSDK_CONFIG_PLAT_0.xml
/data/data/####/YSDK_CONFIG_PLAT_7.xml
/data/data/####/YSDK_STAT_CONFIG.xml
/data/data/####/a5a954081a0a661c_0
/data/data/####/b_log_ID_com.tencent.tmgp.xph.lgsjzj_000001HZDR3N4M5L.xml
/data/data/####/b_log_ID_com.tencent.tmgp.xph.lgsjzj_1112207582.xml
/data/data/####/b_log_ID_ydkbeacon_com.tencent.tmgp.xph.lgsjzj_...5L.xml
/data/data/####/beacon_db_000001HZDR3N4M5L-journal
/data/data/####/beacon_db_1112207582-journal
/data/data/####/beacon_sig_1.lock
/data/data/####/bfa7bb6ce38f7aca_0
/data/data/####/c0cb6bb5e2bba040_0
/data/data/####/c6483859fc987def_0
/data/data/####/cheuu
/data/data/####/com.tencent.tmgp.xph.lgsjzj.v2.playerprefs.xml
/data/data/####/com.tencent.tmgp.xph.lgsjzj.v2.playerprefs.xml.bak
/data/data/####/com.tencent.tmgp.xph.lgsjzj_preferences.xml
/data/data/####/core_info
/data/data/####/debug.conf
/data/data/####/download_upload
/data/data/####/https_nutty.qq.com_0.localstorage-journal
/data/data/####/https_qzs.qq.com_0.localstorage-journal
/data/data/####/index
/data/data/####/metrics_guid
/data/data/####/o0oooOO0ooOo.dat
/data/data/####/proc_auxv
/data/data/####/secret.xml
/data/data/####/tbs_download_config.xml
/data/data/####/tbs_download_stat.xml
/data/data/####/tbs_pv_config
/data/data/####/tbscoreinstall.txt
/data/data/####/tbslock.txt
/data/data/####/the-real-index
/data/data/####/tmd
/data/data/####/tosversion
/data/data/####/tv
/data/data/####/uuloi
/data/data/####/vva
/data/data/####/vva.dex
/data/data/####/vva.dex.flock (deleted)
/data/data/####/vva.jar
/data/data/####/ydkbeacon_db_000001HZDR3N4M5L
/data/data/####/ydkbeacon_db_000001HZDR3N4M5L-journal
/data/data/####/ydkbeacon_db_com.tencent.tmgp.xph.lgsjzj
/data/data/####/ydkbeacon_db_com.tencent.tmgp.xph.lgsjzj-journal
/data/data/####/ydkbeacon_db_com.tencent.tmgp.xph.lgsjzj-journal (deleted)
/data/media/####/.nomedia
/data/media/####/Compat.browser
/data/media/####/DefaultWsdlHelpGenerator.aspx
/data/media/####/browscap.ini
/data/media/####/c
/data/media/####/c7023cc77927eb02f8d3101620e50ee3_tmp (deleted)
/data/media/####/config
/data/media/####/config.xml
/data/media/####/d
/data/media/####/e
/data/media/####/g
/data/media/####/global-metadata.dat
/data/media/####/machine.config
/data/media/####/mscorlib.dll-resources.dat
/data/media/####/s
/data/media/####/settings.map
/data/media/####/values
/data/media/####/web.config
/data/misc/####/primary.prof

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/sh -c getprop ro.build.fingerprint
getprop ro.build.fingerprint
getprop ro.product.cpu.abi
sh -c cat /proc/sys/kernel/random/boot_id
stat -f /storage/emulated
stat -f /system/etc
stat /data/data
stat /data/user
stat /storage/emulated
stat /storage/emulated/0

Загружает динамические библиотеки:

libQimei
libYSDK
libfmod
libfmodstudio
libhades_lib
libhttpdns
libmain
libshell-super.2019
libydkqmp

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
DES-ECB-PKCS5Padding
RC4
RSA-ECB-NoPadding
RSA-ECB-PKCS1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
DES-CBC-PKCS5Padding
DES-ECB-PKCS5Padding

Осуществляет доступ к приватному интерфейсу ITelephony.

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Осуществляет доступ к интерфейсу камеры.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию о настроках APN.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней