ANDROIDOS_ADDOWN.OPS

アドウェアは、モバイル端末上に他のファイルを作成し、実行します。 アドウェアは、ポップアップの広告を表示します。

モバイル端末を狙う不正プログラムの不正活動

アドウェアは、モバイル機器上の以下の情報を収集するファイルです。

• simcard country
• language
• os version
• device name
• device id
• installed apps
• android id
• email address

またアドウェアは、感染端末から以下の情報を収集します。

• manufacturer
• source
• simcard country
• product
• publisher_id
• simcard operator
• service id
• language
• resolution
• model
• os version
• Device name
• Device id
• Installed apps
• Android id
• Email Address

アドウェアは、以下の不正なWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• https://{BLOCKED}stlet.com/services/v5/

アドウェアは、HTTP POSTを介して以下のWebサイトに収集した情報を送信します。

• hxxps://{BLOCKED}stlet[.]com/services/v5/rD

アドウェアは、以下のファイルを作成および実行します。

• malicious dex

アドウェアは、ポップアップの広告を表示します。

アドウェアは、インストールされると、以下のパーミッションを要求します。

• android.permission.ACCESS_NETWORK_STATE
• android.permission.ACCESS_WIFI_STATE
• android.permission.WRITE_EXTERNAL_STORAGE
• android.permission.READ_EXTERNAL_STORAGE
• android.permission.INTERNET
• android.permission.READ_PHONE_STATE
• android.permission.WAKE_LOCK
• android.permission.RECORD_AUDIO
• android.permission.SYSTEM_ALERT_WINDOW
• com.google.android.providers.gsf.permission.READ_GSERVICES
• android.permission.WRITE_SETTINGS
• android.permission.RECEIVE_BOOT_COMPLETED
• android.permission.GET_TASKS
• android.permission.VIBRATE
• android.permission.GET_ACCOUNTS
• android.permission.DISABLE_KEYGUARD
• com.google.android.c2dm.permission.RECEIVE
• com.fourvideo.videoshow.videoslide.permission.C2D_MESSAGE

このコードを解析した結果、アドウェアは、以下の機能を備えています。

• hides its aggressive ad behavior by detecting whether the system is running in an emulator
• hides its behavior by scanning the user’s email address to check whether it contains the special strings
• encrypts all constant strings
• It performs net transmission via HTTPS to prevent its traffic from being caught
• It uses a wide array of reflection invoking methods
• It will hide its behavior based on the running environment

アドウェアは、以下の不正活動を行う機能を備えています。

• download malicious code
• collect sensitive information
• popup adds
• escape from static and dynamic detection

アドウェアは、モバイル機器上の以下の情報を収集するファイルです。

• SIMカードの国名
• 使用言語
• オペレーティングシステム（OS）のバージョン
• デバイス名
• デバイスID
• インストールされたアプリ
• AndroidのID
• Eメールアドレス

アドウェアは、感染端末から以下の情報を収集します。

• 製造業者
• アプリなどのダウンロード先（ソース）
• SIMカードの国名
• 製品名
• パブリッシャーID
• SIMカードの事業者
• サービスID
• 言語
• 画面解像度
• モデル
• OSのバージョン
• デバイス名
• デバイスID
• インストールされたアプリ
• AndroidのID
• Eメールアドレス

このコードを解析した結果、アドウェアは、以下の機能を備えています。

• アドウェアは、システムが仮想環境上で動作していることを確認することで、自身の広告表示機能を隠ぺいします。
• アドウェアは、ユーザのEメールをチェックし、すべて定数列を暗号化する特別な文字列が含まれていることを確認することで、自身の活動を隠ぺいします。
• アドウェアは、自身のトラフィックが検知されることを防ぐため、HTTPSを介してネットワーク送信を実行します。
• アドウェアは、メソッドを呼び出すさまざまなリフレクションを利用します。
• アドウェアは、実行されている環境に応じて自身の活動を隠ぺいします。

アドウェアは、以下の不正活動を行う機能を備えています。

• 不正なコードのダウンロード
• 個人情報の収集
• ポップアップ広告の表示
• 静的および動的検知の回避