Adware.Waps.787

Technical information

Malicious functions:

Executes code of the following detected threats:

Adware.Waps.5.origin

Network activity:

Connects to:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) im####.w####.cn.####.com:80
TCP(HTTP/1.1) app.w####.cn:80
TCP(HTTP/1.1) m.xiaoyan####.net:80
TCP(HTTP/1.1) api.to####.today:80
TCP(HTTP/1.1) bmob-cd####.b0.upa####.com:80
TCP(TLS/1.0) api.b####.cn:443

DNS requests:

ads.w####.cn
api.b####.cn
api.to####.today
app.w####.cn
bmob-cd####.b0.upa####.com
bmob-cd####.b0.upa####.com
im####.w####.cn
m.xiaoyan####.net

HTTP GET requests:

app.w####.cn/action/connect/active?app_id=####&udid=####&imsi=####&net=#...
app.w####.cn/action/miniad/ad?app_id=####&udid=####&imsi=####&net=####&b...
bmob-cd####.b0.upa####.com/2016/10/26/addb4295408b3ae880baa6871a16464f.dex
bmob-cd####.b0.upa####.com/2017/10/30/589fab3e40e8d9cb8031ab3e6539fb75.jpg
im####.w####.cn.####.com/appfile/adsfile/11bff27be6c574cfb5bc785f38f92df...
im####.w####.cn.####.com/appfile/adsfile/e5849d37b08d7e884257cc9bea6cc84...
im####.w####.cn.####.com/appfile/stuff/38759fe7d053704da06e30b83b616b30/...
im####.w####.cn.####.com/appfile/stuff/432db4f00a1cfc1518026b4ec46d326e/...
im####.w####.cn.####.com/appfile/stuff/45f86318583b6457b9a42cfe8c91f6fe/...
im####.w####.cn.####.com/appfile/stuff/4f107bda894d5f390100c536bd5a50f6/...
im####.w####.cn.####.com/appfile/stuff/86d473b91059d4e3f354efe22a7dad57/...
im####.w####.cn.####.com/appfile/stuff/9ba31bb7edd0cbe16b2bc6f39b7797e9/...
im####.w####.cn.####.com/appfile/stuff/a5c07a14c10dc674037a9141d6f70ff3/...
im####.w####.cn.####.com/appfile/stuff/b2d619fa19e36718e2c10a22e03a4a6b/...
im####.w####.cn.####.com/appfile/stuff/bc7fcd97089361c283090e3e2d56ec9a/...
im####.w####.cn.####.com/appfile/stuff/bcd87c74f4f1842ede5ca31d0430dd8b/...
m.xiaoyan####.net/gg.txt
m.xiaoyan####.net/user/login_api.php?user=####&pass=####

HTTP POST requests:

api.to####.today/v1/statistics

File system changes:

Creates the following files:

/data/data/####/.jg.ic
/data/data/####/816765344.dex
/data/data/####/816765344.zf
/data/data/####/AppSettings.xml
/data/data/####/BmobDy.xml
/data/data/####/CacheTime.dat
/data/data/####/ShowAdFlag.xml
/data/data/####/apprate_prefs.xml
/data/data/####/cache
/data/data/####/ij.dex
/data/data/####/libjiagu-1037821301.so
/data/data/####/net.openvpn.openvpn_preferences.xml
/data/data/####/z.dex
/data/data/####/z.so
/data/media/####/-1526659919.zf
/data/media/####/07d96cffac1cd3efc30a716a70e5a26c
/data/media/####/11bff27be6c574cfb5bc785f38f92dfc
/data/media/####/1550761495227.db
/data/media/####/16430e9c184223cdd5003eed93dcd026
/data/media/####/647b7d170f3f9f12c98ce981999e8804
/data/media/####/74cbb9d5b799b930bd8f86e896721e51
/data/media/####/938e790af8936191d01351bc9eec7fd0
/data/media/####/977e97767fd09498be4b7bcb61b45b9f
/data/media/####/CacheTime.dat
/data/media/####/android
/data/media/####/d3a7fa5a12abd6dd85ef85655e219e5b
/data/media/####/e145581a87a717b1f4c8da86a402715f
/data/media/####/e5849d37b08d7e884257cc9bea6cc848
/data/media/####/ec34ad2a9cc514480b1278f0fee283bf
/data/media/####/ec985a17475a503a60627b1a0cac5b4b

Miscellaneous:

Loads the following dynamic libraries:

bmob
libjiagu-1037821301
ovpncli
z

Uses the following algorithms to encrypt data:

AES-CBC-PKCS5Padding
DES-CBC-PKCS5Padding

Uses the following algorithms to decrypt data:

AES-CBC-PKCS5Padding
DES-CBC-PKCS5Padding

Uses special library to hide executable bytecode.

Gets information about phone status (number, IMEI, etc.).

Displays its own windows over windows of other apps.

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android