Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Dowgin.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) pug220####.pubm####.com:80
- TCP(HTTP/1.1) p####.adverti####.com:80
- TCP(HTTP/1.1) ad.t####.com:80
- TCP(HTTP/1.1) p####.rubicon####.com:80
- TCP(HTTP/1.1) c####.lb.wac.####.net:80
- TCP(HTTP/1.1) m####.ad####.org:80
- TCP(HTTP/1.1) sync####.a####.asia:80
- TCP(HTTP/1.1) www.appsge####.com:80
- TCP(HTTP/1.1) yiel####.net.edg####.net:80
- TCP(HTTP/1.1) rs.a####.com:80
- TCP(HTTP/1.1) ad.360y####.com:80
- TCP(HTTP/1.1) ad.sxp.smart####.net:80
- TCP(HTTP/1.1) id####.r####.com:80
- TCP(HTTP/1.1) 2-01-27####.cdx.ced####.net:80
- TCP(HTTP/1.1) syn####.im-####.net:80
- TCP(HTTP/1.1) s####.tid####.com:80
- TCP(HTTP/1.1) s####.acxiom####.com:80
- TCP(HTTP/1.1) rt.gs####.jp:80
- TCP(HTTP/1.1) d.t####.com:80
- TCP(HTTP/1.1) pug22####.pubm####.com:80
- TCP(HTTP/1.1) dex.a####.jp:80
- TCP(HTTP/1.1) s####.appsge####.com:80
- TCP(HTTP/1.1) spug22####.pubm####.com:80
- TCP(HTTP/1.1) cs.n####.net:80
- TCP(HTTP/1.1) g.geo####.com:80
- TCP(HTTP/1.1) log-ec-####.a####.tv.####.net:80
- TCP(HTTP/1.1) cs.gs####.jp:80
- TCP(HTTP/1.1) td.crwdc####.net:80
- TCP(HTTP/1.1) i####.de####.net:80
- TCP(HTTP/1.1) stickya####.com.edg####.net:80
- TCP(HTTP/1.1) ads.y####.com:80
- TCP(HTTP/1.1) s####.search####.spotxch####.####.net:80
- TCP(HTTP/1.1) g.c.ap####.net:80
- TCP(HTTP/1.1) p####.ybp.y####.com:80
- TCP(HTTP/1.1) s####.f####.jp:80
- TCP(HTTP/1.1) sync-####.adma####.jp:80
- TCP(HTTP/1.1) x.bidsw####.net:80
- TCP(HTTP/1.1) s####.t####.tv:80
- TCP(HTTP/1.1) g####.n####.com:80
- TCP(HTTP/1.1) ads.appsge####.com:80
- TCP(HTTP/1.1) 10####.me####.net:80
- TCP(HTTP/1.1) u####.o####.net:80
- TCP(HTTP/1.1) san.ads####.de.####.net:80
- TCP(HTTP/1.1) a.rf####.com:80
- TCP(HTTP/1.1) m####.geniee####.jp:80
- TCP(HTTP/1.1) amobee-####.tremo####.com:80
- TCP(HTTP/1.1) s####.1rx.io:80
- TCP(HTTP/1.1) dsp.v.f####.net:80
- TCP(HTTP/1.1) ce.l####.com:80
- TCP(HTTP/1.1) d####.casalem####.com.####.net:80
- TCP(TLS/1.0) www.googlet####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) cs.gs####.jp:443
- TCP(TLS/1.0) cm.g.doublec####.net:443
- TCP(TLS/1.0) f####.google####.com:443
- TCP(TLS/1.0) www.appsge####.com:443
- TCP(TLS/1.0) cdn.app####.com:443
- TCP(TLS/1.0) code-####.k####.com:443
- TCP(TLS/1.0) a####.app####.com:443
Запросы DNS:
- 10####.me####.net
- a####.app####.com
- ad.360y####.com
- ad.sxp.smart####.net
- ad.t####.com
- ad.yiel####.net
- ads.appsge####.com
- ads.stickya####.com
- ads.y####.com
- amobee-####.tremo####.com
- bcp.crwdc####.net
- c####.ba####.com
- cdn.app####.com
- ce.l####.com
- cm.g.doublec####.net
- cs.gs####.jp
- cs.n####.net
- d####.casalem####.com
- d.t####.com
- dex.a####.jp
- dpm.de####.net
- dsp.v.f####.net
- e.n####.com
- f####.google####.com
- g.c.ap####.net
- ib.a####.com
- id####.r####.com
- ih.ads####.de
- im####.pubm####.com
- im####.pubm####.com
- m####.ad####.org
- m####.geniee####.jp
- p####.adverti####.com
- p####.appsge####.com
- p####.rubicon####.com
- p####.ybp.y####.com
- p.rf####.com
- r.t####.com
- rs.a####.com
- rt.gs####.jp
- rtb-c####.smartad####.com
- s####.1rx.io
- s####.a####.tv
- s####.acxiom####.com
- s####.ad####.adverti####.com
- s####.appsge####.com
- s####.f####.jp
- s####.se####.spotxch####.com
- s####.t####.tv
- s####.tid####.com
- s.acxiom####.com
- s.lb####.com
- sim####.pubm####.com
- sp####.appsge####.com
- syn####.im-####.net
- sync####.a####.asia
- sync-####.adma####.jp
- u####.ne####.com
- u####.o####.net
- u.lb####.com
- www.appsge####.com
- www.go####.com
- www.googlet####.com
- x.bidsw####.net
- x.dlx.add####.com
Запросы HTTP GET:
- 10####.me####.net/t/031/807/a1031807.js
- 2-01-27####.cdx.ced####.net/redir/?partnerid=####&partneruserid=####
- a.rf####.com/cm?in=####&pub=####
- ad.360y####.com/match?publisher_dsp_id=####&external_user_id=####
- ad.360y####.com/ul_cb/match?publisher_dsp_id=####&external_user_id=####
- ad.sxp.smart####.net/sync?type=####&dsp=####
- ad.sxp.smart####.net/sync?type=####&dsp=####&ang_testid=####
- ad.t####.com/r/bd?ddc=####&pid=####&cver=####&uid=####
- ad.t####.com/r/bd?ddc=####&pid=####&uid=####
- ad.t####.com/server/pixel.htm?fpid=####
- ads.appsge####.com/?widgetid=####&guid=####&v=####&aid=####&tlat=####&tl...
- ads.appsge####.com/checkstatus.php?wid=####
- ads.y####.com/pixel?id=2155814&t=2&piggyback=http://ads.yahoo.com/cms/v1...
- amobee-####.tremo####.com/sync?UITN=####
- c####.lb.wac.####.net/mapuser?providerid=####&userid=####
- ce.l####.com/merge?pid=####&3pid=####
- ce.l####.com/merge?pid=####&3pid=####&dnr=####
- cs.gs####.jp/yie/ld/cs?dspid=####
- cs.gs####.jp/yie/ld/cs?dspid=####&uid=####
- cs.gs####.jp/yie/ld/mcs?ver=####&dmpid=####&format=####&vid=####
- cs.gs####.jp/yie/ld/mcs?ver=####&dspid=####&format=####&vid=####
- cs.n####.net/cs/geniee
- d####.casalem####.com.####.net/rum?cm_dsp_id=####&external_user_id=####
- d####.casalem####.com.####.net/rum?cm_dsp_id=####&external_user_id=####&...
- d.t####.com/r/du/id/L2NzaWQvMS9tcGlkLzMzOTA0ODEz/mpuid/EUX90939039592889...
- dex.a####.jp/dx/p/resync?_aid=####&_page=####
- dex.a####.jp/dx/p/sync?_aid=####&_page=####
- dsp.v.f####.net/ad/u?nw=####&dpid=####&token=####&buid=####
- g####.n####.com/e/turn_sync.xgi?na_exid=####
- g.c.ap####.net/ge
- g.geo####.com/bounce?/getuid?http://r.turn.com/r/bd?ddc=####&pid=####&cv...
- g.geo####.com/getuid?/r.turn.com/r/bd?ddc=####&pid=####&cver=####&uid=####
- g.geo####.com/setuid?entity=####&code=####
- i####.de####.net/demconf.jpg?et:ibs|data:dpid=477&dpuuid=e4e238cee44e071...
- i####.de####.net/ibs:dpid=477&dpuuid=e4e238cee44e0713b0f77c5b6b56c865fc1...
- id####.r####.com/362248.gif?partner_uid=####
- id####.r####.com/402936.gif?partner_uid=####
- id####.r####.com/402936.gif?partner_uid=####&redirect=####
- id####.r####.com/459349.gif?partner_uid=####
- log-ec-####.a####.tv.####.net/sync?type=####&key=####&uid=####
- log-ec-####.a####.tv.####.net/turn_user_sync
- log-ec-####.a####.tv.####.net/turn_user_sync?
- m####.ad####.org/track/cmb/generic?ttd_pid=####&ttd_tpi=####
- m####.ad####.org/track/cmf/generic?ttd_pid=####&ttd_tpi=####
- m####.geniee####.jp/yie/ld/acs?ver=####&dspid=####&v=####&format=####
- m####.geniee####.jp/yie/ld/jsk?zoneid=1031807&cb=35148749895&charset=UTF...
- m####.geniee####.jp/yie/ld/jsk?zoneid=1031807&cb=36155744292&charset=UTF...
- p####.adverti####.com/ups/55939/sync?uid=####&_origin=####
- p####.adverti####.com/ups/55939/sync?uid=####&_origin=####&verify=####
- p####.rubicon####.com/tap.php?cookie_redirect=####&v=####&nid=####&put=#...
- p####.rubicon####.com/tap.php?v=####&nid=####&put=####&expires=####
- p####.ybp.y####.com/sync/geniee/c54d280ac348b467a58a33bdbc579f14
- pug22####.pubm####.com/AdServer/Pug?vcode=b####&piggybackCookie=####
- pug220####.pubm####.com/AdServer/Pug?vcode=bz0yJnR5cGU9MSZqcz0xJmNvZGU9O...
- rs.a####.com/geniee/csync
- rs.a####.com/geniee/csync?test_cookie=####
- rt.gs####.jp/yie/ld/gcs?v=WAs0e####
- s####.1rx.io/usersync/turn/2321959345896780870?dspret=####&redir=####
- s####.acxiom####.com/sci?pid=####&t=####&uid=####
- s####.acxiom####.com/sci?pid=####&t=####&uid=####&ccfm=####
- s####.acxiom####.com/sci?pid=####&uid=####
- s####.appsge####.com/click_statistics.php?action=####&wdid=####&uniqid=#...
- s####.appsge####.com/impression.php?fs=####&guid=####&banner_id=####&wid...
- s####.appsge####.com/impression.php?guid=####&banner_id=####&widget_id=#...
- s####.appsge####.com/statistics.php?action=####&name=####&id=####&p=####
- s####.f####.jp/sync?xid=####
- s####.search####.spotxch####.####.net/partner?adv_id=####&img=####&uid=#...
- s####.t####.tv/um?eid=####&uid=####
- s####.tid####.com/GenericUserSync.ashx?dpid=####
- s####.tid####.com/genericusersync.ashx?dpid=####&s=####
- san.ads####.de.####.net/adscale-ih/tpui?tpid=####&tpuid=####
- san.ads####.de.####.net/adscale-ih/tpui?tpid=####&tpuid=####&n####&uu=####
- spug22####.pubm####.com/AdServer/SPug?partnerID=####
- stickya####.com.edg####.net/user-registering?dataProviderId=####&userId=...
- syn####.im-####.net/imid/set?cid=####&tid=####&uid=####
- sync####.a####.asia/dsp/api/sync/send?s=####
- sync####.a####.asia/dsp/api/sync/send?s=####&uid-set=####
- sync####.a####.asia/dsp/api/sync/send?s=####&uid-set=####&auid=####
- sync-####.adma####.jp/data/sync.jsp?rd=http://sync-dsp.ad-m.asia/dsp/api...
- td.crwdc####.net/5/c=8843?/s.acxiomapac.com/sci?pid=####&uid=####
- td.crwdc####.net/5/ct=y/c=8843?/s.acxiomapac.com/sci?pid=####&uid=####
- u####.o####.net/w/1.0/sd?cc=####&id=####&val=####
- u####.o####.net/w/1.0/sd?id=####&val=####
- www.appsge####.com/
- x.bidsw####.net/sync?dsp_id=####&user_id=####&expires=####
- x.bidsw####.net/ul_cb/sync?dsp_id=####&user_id=####&expires=####
- yiel####.net.edg####.net/m?dt_id=####&ext_id=####
Запросы HTTP HEAD:
- ads.appsge####.com/?widgetid=####&guid=####&v=####&aid=####&tlat=####&tl...
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/bc/cc.dex
- <Package Folder>/bc/cc.zip
- <Package Folder>/bc/n.zip
- <Package Folder>/bc/tn.zip
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/index
- <Package Folder>/databases/kp_cc.db-journal
- <Package Folder>/databases/tc_cc.db
- <Package Folder>/databases/tc_cc.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/files/webWidgetConfiguration
- <Package Folder>/files/widgetsController
- <Package Folder>/shared_prefs/AppsgeyserPrefs.xml
- <Package Folder>/shared_prefs/WebViewSettings.xml
- <Package Folder>/shared_prefs/iad_KPkit.xml
- <Package Folder>/shared_prefs/iad_unkit.xml
- <Package Folder>/shared_prefs/ipssp.xml
- <SD-Card>/Android/####/.nomedia
- <SD-Card>/Android/####/XH.txt
Другие:
Загружает динамические библиотеки:
- xfskqzlfxd
Использует следующие алгоритмы для шифрования данных:
- DES
- RSA-ECB-PKCS1Padding
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
