Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Dowgin.3.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) v1.dwst####.com.####.com:80
- TCP(HTTP/1.1) v2.dwst####.com:80
- TCP(HTTP/1.1) api.tui####.b####.com:80
- TCP(HTTP/1.1) m2.dwst####.com:80
- TCP(HTTP/1.1) gi.xi.g####.com:80
- TCP(HTTP/1.1) wup.z####.com:80
- TCP(HTTP/1.1) statson####.pu####.b####.com:80
- TCP(TLS/1.0) 2####.58.212.142:443
- TCP sa.tui####.b####.com:5287
Запросы DNS:
- a####.u####.com
- api.tui####.b####.com
- bi2.du####.com
- gi.xi.g####.com
- m2.dwst####.com
- sa.tui####.b####.com
- statson####.pu####.b####.com
- v1.dwst####.com
- v2.dwst####.com
- wup.z####.com
- www.b####.com
Запросы HTTP GET:
- m2.dwst####.com/bi_material/20160714/e9bf5d44191a0e04853e985c70d1d416146...
- m2.dwst####.com/bi_material/201612/22/530370cef741201689aea0290898b39c14...
- m2.dwst####.com/bi_material/201708/01/aa040e7d0e0db9cc6d4b1d8fcc0e911a15...
- m2.dwst####.com/huodong/shouji3/201604/294/84/xc25ca40233fb616ba689529ea...
- m2.dwst####.com/huodong/shouji3/201604/516/47/868fa1e67f7c4461c29ea726c5...
- m2.dwst####.com/huodong/shouji3/201705/218/86/32ddef5fef1e1c6ca6cc0c567e...
- m2.dwst####.com/huodong/shouji3/201705/218/92/0aab8dd71a64f0bf3d715ef539...
- m2.dwst####.com/huodong/shouji3/201705/219/08/8e95935febe504d9177bab6056...
- m2.dwst####.com/huodong/shouji3/201705/219/50/afe1b88801184b45168fec9282...
- m2.dwst####.com/huodong/shouji3/201705/219/66/21b3e7d32f08aeb28354a009a7...
- m2.dwst####.com/huodong/shouji3/201706/412/77/4cfe1064350447f7f5d85846e7...
- m2.dwst####.com/huodong/shouji3/201708/554/83/fd24c9653a2269488de01b4d3c...
- m2.dwst####.com/huodong/shouji3/201708/555/02/fc73928b6bbd5907ebdd6a1f11...
- m2.dwst####.com/huodong/shouji3/201708/599/14/6bde23e3b687ee53b4e2f988cb...
- v1.dwst####.com.####.com/bi/201710/24/3ad7a91ad7b5ee59234fb53bb63b0000.j...
- v1.dwst####.com.####.com/bi/201711/20/3ad7a91a29b0125ab6c7644165410000.j...
- v1.dwst####.com.####.com/bi/201711/20/3ad7a91aacaf125ab6c76e406f400000.j...
- v2.dwst####.com/bi/201712/04/3da02490c5f0245afb4e7ffe80fe0000.jpg?w=####...
- v2.dwst####.com/bi/201712/12/3da0248d5ec52f5ab361b252b3520000.gif?w=####...
- v2.dwst####.com/bi/201712/12/3da0248d63c52f5ab861d652d7520000.jpg?w=####...
- v2.dwst####.com/bi/201712/18/3da02490eba3375afa4ec7cbc8cb0000.jpg?w=####...
- v2.dwst####.com/bi/201712/26/3da0248dad0b425a985886e187e10000.jpg?w=####...
- v2.dwst####.com/bi/201801/09/3da024909bb9545a91680bb90cb90000.jpg?w=####...
- v2.dwst####.com/bi/201801/24/3da0248d7679685a9a588e628f620000.jpg?w=####...
- wup.z####.com/apiBiList_cate_new.php?os=####&page=####&version=####&smal...
- wup.z####.com/apiBiList_cate_new.php?type=####&os=####&page=####&version...
- wup.z####.com/apiMain_new.php?os=####&version=####
- wup.z####.com/hot_search.php?os=####&funcName=####&version=####
- wup.z####.com/upgrade/version_bi_new.php?isAutoRequest=####&os=####&vers...
Запросы HTTP POST:
- a####.u####.com/app_logs
- api.tui####.b####.com/rest/2.0/channel/4300950339168061766
- api.tui####.b####.com/rest/2.0/channel/channel
- gi.xi.g####.com/50f7k
- gi.xi.g####.com/6f50l
- gi.xi.g####.com/97/gf5
- gi.xi.g####.com/97/h76
- gi.xi.g####.com/97/l56
- gi.xi.g####.com/97/zca
- statson####.pu####.b####.com/pushlog_special
- wup.z####.com/
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/databases/funbox_db_cache.db-journal
- <Package Folder>/databases/pushstat_4.6.2.db
- <Package Folder>/databases/pushstat_4.6.2.db-journal
- <Package Folder>/files/####/exchangeIdentity.json
- <Package Folder>/files/.imprint
- <Package Folder>/files/1510835291362b.jar
- <Package Folder>/files/mobclick_agent_cached_<Package>500
- <Package Folder>/files/org.ozufpg.jar
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/shared_prefs/<Package>.push_sync.xml
- <Package Folder>/shared_prefs/<Package>.self_push_sync.xml
- <Package Folder>/shared_prefs/_i-819278499.xml
- <Package Folder>/shared_prefs/_w-819278499.xml
- <Package Folder>/shared_prefs/bi_preference.xml
- <Package Folder>/shared_prefs/bindcache.xml
- <Package Folder>/shared_prefs/d4199558.xml
- <Package Folder>/shared_prefs/pst.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/zb_user.xml
- <SD-Card>/baidu/####/apps
- <SD-Card>/baidu/.cuid
- <SD-Card>/bi/####/8AwdWzenw2XbKZGQ2EEVAVX5gfo.-927814922.tmp
- <SD-Card>/bi/####/8RaTImZ_aniutWi01kkuqwqe-lY.1709191962.tmp
- <SD-Card>/bi/####/8i8GgkjSo84SsS-WcS0bN8NglWA.790533571.tmp
- <SD-Card>/bi/####/8uTkqoi5VP-FUJA9eBeg3McJboU.-1736560120.tmp
- <SD-Card>/bi/####/9f2EmeVUveVFYa5AyieVnk2z0vU.738370573.tmp
- <SD-Card>/bi/####/9oS43vFATdr_t8Y_yI5qVXTarpA.-749766865.tmp
- <SD-Card>/bi/####/EcyQ8eG0lI8oZmO2ipdohql0bAA.-1923759690.tmp
- <SD-Card>/bi/####/FnHBi1mmT8wG2x8svh0xu_OqbGM.1055312979.tmp
- <SD-Card>/bi/####/GI5rfBRMJ86GcP21Sn66g-DSbbs.810537244.tmp
- <SD-Card>/bi/####/MCtrLgUtKOoGbbs8NWcgabJs2Ec.-1142918354.tmp
- <SD-Card>/bi/####/YHDh0FFau4DXT-C-7DB5QxgQ-Co.-358546103.tmp
- <SD-Card>/bi/####/Yfdaxz8wsl9SL5b_PeBdVa_lhVA.-548316891.tmp
- <SD-Card>/bi/####/ZiTsY07ifC0_t4PuadZGC4aB214.-433133603.tmp
- <SD-Card>/bi/####/b27wulJrLBYbSN3_zNUeyP7uwhI.-109588360.tmp
- <SD-Card>/bi/####/ba7CP6aYs1o0y61DyNAyWHim4KA.2004300087.tmp
- <SD-Card>/bi/####/cfpSEzjm1-EXl3MU4If98tWxoXw.1858142130.tmp
- <SD-Card>/bi/####/fgKmDRdrund1d618LK2aLybfZzM.-1463412676.tmp
- <SD-Card>/bi/####/ikzobIn1P2C3zYzszlnCNa3bRtQ.387585066.tmp
- <SD-Card>/bi/####/joN3uzjYDjJQ_YrtAC7pchKGKG4.682187329.tmp
- <SD-Card>/bi/####/pES1o0sUBP7_fs77f9viBTzyCJI.-1517652807.tmp
- <SD-Card>/bi/####/quWln1sHi6XM3BXu0sDAezEEruk.1497776480.tmp
- <SD-Card>/bi/####/sG2lEK7t8O3lGg37YbVq6kBHPmE.-1627954966.tmp
- <SD-Card>/bi/####/tJaeuvjdUhomE_LkHNo7sJbDMNg.461117046.tmp
- <SD-Card>/bi/####/xW_6XoPJiomPs8shqQgwSsbBhhs.1554733094.tmp
Другие:
Загружает динамические библиотеки:
- bdpush_V2_5
- bitmaps
- gifimage
- memchunk
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
- RSA-ECB-PKCS1Padding
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
