Zver.app new signature

Вступление

Анализ приложений другого типа от этого актора можно найти по ссылке: https://teletype.in/@hawkeye/tz2kx3E6P.

Тут будут рассмотрены приложения от этого актора другого типа.

Список приложений:

• com.old.king
• com.love.correspondence
• com.big.chips

На момент проверки лишь com.big.chips удалено из ГП, остальные приложения из списка до сих пор там присутствуют.

Анализ

Анализ будет продемонстрирован на примере приложения com.love.correspondence.

АНализ трафика показал начальную ссылку и цепочк переходов.

Исходя из анализатора трафика цепочка запросов выглядит так:

1. https://lovecorrespondence.xyz/lander/com-love-correspondence/index.php?aid=1614177368284-2157373331582694884
2. https://lovecorrespondence.xyz/lovecorrespondence?aid=1614177368284-2157373331582694884
3. https://dating.statmyad.com/
4. https://dating.statmyad.com/landing/dating_redirect/go.php?uniq=uniq&token=uuid_3rh0uc7h2f0q_3rh0uc7h2f0q603664603a0c41.39751549&country=UA
5. https://dating.statmyad.com/?_lp=1&_token=uuid_3rh0uc7h2f0q_3rh0uc7h2f0q603664603a0c41.39751549&offer_id=675
6. https://track.oneamour.com/click?pid=2810&offer_id=60&sub1={affiliate_id}&sub2=3rh0uc7h2f0q&sub3=com.love.correspondence
7. https://oneamour.com/land/ba8efea17da0bea9b1f57f7a91299531dbc493b7?clickid=603664613ddd3d0001539784&partner=2810&pid={affiliate_id}&tid=3rh0uc7h2f0q&src=com.love.correspondence&offer_id=60&ip=46.252.220.153&geo=UA&sub4=&sub5=&device_ua=Mozilla%2F5.0+%28Linux%3B+Android+7.1.2%3B+ASUS_Z01QD+Build%2FN2G48H%3B+wv%29+AppleWebKit%2F537.36+%28KHTML%2C+like+Gecko%29+Version%2F4.0+Chrome%2F66.0.3359.158+Mobile+Safari%2F537.36&rand=fa218614-c8bb-48e6-828b-e9d4ef3185de&time=1614177377&city=Kiev

Зная первоначальную ссылку можно приступать к поиску ее в коде приложения.

Там же в коде ниже присутствует код который эту ссылку использует:

Так же существует и другая вариация использования ссылки в коде на примере приложения com.old.king

Отличаются они незначитально, однако различия в них есть. Оба варианта использования ссылки будут использованы для создания яра-правила.

Вывод

Результатом анализа приложений данного типа стало яра-правило, позволяющее точно определять приложения принадлежащие этому типу.

Яра-правило: https://pastebin.com/kkW3vz9n

Пароль: 4HScAiF2aM