Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Dowgin.3.origin
- Android.DownLoader.699.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ads.w####.cn:80
- TCP(HTTP/1.1) www.gst####.com:80
- TCP(HTTP/1.1) d.zxl####.com.####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) ad.a####.ne.jp:80
- TCP(HTTP/1.1) j.a####.com:80
- TCP(HTTP/1.1) s####.ad####.jp.####.jp:80
- TCP(HTTP/1.1) api.cp.13####.net:80
- TCP(HTTP/1.1) app.w####.cn:80
- TCP(HTTP/1.1) d.a####.com:80
- TCP(TLS/1.0) sh.ad####.jp:443
- TCP(TLS/1.0) cdn-f####.sh.ad####.jp:443
- TCP(TLS/1.0) st####.cr####.net:443
- TCP(TLS/1.0) j.a####.com:443
- TCP(TLS/1.0) nqsh####.nq.com:443
- TCP so1.yo####.com:7701
- TCP so3.yo####.com:7703
- TCP so1.yo####.com:7702
Запросы DNS:
- a####.u####.com
- ad.a####.ne.jp
- adc.medi####.com
- ads.w####.cn
- api.cp.13####.net
- app.w####.cn
- bnr.a####.ne.jp
- cdn-f####.sh.ad####.jp
- d.a####.com
- d.adresul####.jp
- d.zxl####.com
- j.a####.com
- nqsh####.nq.com
- s####.ad####.jp.####.jp
- sh.ad####.jp
- so1.yo####.com
- so2.yo####.com
- so3.yo####.com
- st####.cr####.net
- t####.m####.jp.####.jp
- www.gst####.com
Запросы HTTP GET:
- ad.a####.ne.jp/and/ad/CasualGame3EN?AAI2017####&U####
- ad.a####.ne.jp/and/banner/bnr.php?mp=####&lang=####&c=####&t=####
- ads.w####.cn/action/pop_ad/ad?app_id=####&udid=####&imsi=####&net=####&b...
- app.w####.cn/action/connect/active?app_id=####&udid=####&imsi=####&net=#...
- d.a####.com/ad/json/?sid=####&uid=####&orientation=####&app=####&version...
- d.zxl####.com.####.com/d/42d2.jpg
- d.zxl####.com.####.com/d/42kb.png
- j.a####.com/js/a.js
- s####.ad####.jp.####.jp/sp/xml/?S=####&V=####&lang=####&area=####
- www.gst####.com/afma/sdk-core-v40.js
Запросы HTTP POST:
- a####.u####.com/app_logs
- api.cp.13####.net/is/info.jsp
- api.cp.13####.net/is/init.jsp
- api.cp.13####.net/is/list.jsp
- app.w####.cn/action/user_info
Изменения в файловой системе:
Создает следующие файлы:
- /data/anr/traces.txt
- <Package Folder>/.cache/DexToLoad.apk
- <Package Folder>/.cache/libnqshieldx86.so
- <Package Folder>/.cache/nqdata
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/f_000001
- <Package Folder>/cache/####/index
- <Package Folder>/databases/ZucksAdNet.sqlite-journal
- <Package Folder>/databases/ZucksAnalytics.sqlite
- <Package Folder>/databases/ZucksAnalytics.sqlite-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/databases/webviewCookiesChromiumPrivate.db-journal
- <Package Folder>/databases/yoo_fs_download.db-journal
- <Package Folder>/files/.imprint
- <Package Folder>/files/CacheTime.dat
- <Package Folder>/files/a.jar
- <Package Folder>/files/acruise_ja.jar
- <Package Folder>/files/cnet
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/AppSettings.xml
- <Package Folder>/shared_prefs/ShowAdFlag.xml
- <Package Folder>/shared_prefs/_dsph.xml
- <Package Folder>/shared_prefs/_dtnum.xml
- <Package Folder>/shared_prefs/nqshield_pref_file.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml.bak
- <Package Folder>/shared_prefs/yoo_fsac_pre.xml
- <Package Folder>/shared_prefs/yoo_fsappInfo_pre.xml
- <Package Folder>/shared_prefs/yoo_fsconf_pre.xml
- <Package Folder>/shared_prefs/yoo_fsinfo_pre.xml
- <Package Folder>/shared_prefs/yoo_fstrategy_pre.xml
- <SD-Card>/Android/####/AppPackage.dat
- <SD-Card>/Android/####/CacheTime.dat
- <SD-Card>/Android/####/UnPackage.dat
- <SD-Card>/Android/####/android
- <SD-Card>/Android/####/netkairosoftandroidcruise_ja.tmp
- <SD-Card>/Android/####/run.pp
- <SD-Card>/Download/####/42d2.jpg.data
- <SD-Card>/Download/####/42kb.png.data
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.cache/libnqshieldx86.so
- chmod 755 <Package Folder>/.cache/nqshell
Загружает динамические библиотеки:
- libnqshieldx86
Использует следующие алгоритмы для шифрования данных:
- AES-ECB-PKCS7Padding
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
