Adware.Dowgin.870

Техническая информация

Вредоносные функции:

Загружает на исполнение код следующих детектируемых угроз:

Adware.Dowgin.14.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) 1####.205.163.87:443
TCP(HTTP/1.1) and####.b####.qq.com:80
TCP(HTTP/1.1) oc.u####.com:80
TCP(HTTP/1.1) 1####.205.163.87:80
TCP(HTTP/1.1) m####.h####.com:80
TCP(HTTP/1.1) a####.a####.m.####.com:80
TCP(HTTP/1.1) kkyi####.du####.com:80
TCP(TLS/1.0) co####.h####.com:443
TCP 1####.205.160.76:443

Запросы DNS:

a####.m.ta####.com
ag####.m.ta####.com
and####.b####.qq.com
co####.h####.com
ii.ti.its####.cn
kkyi####.du####.com
m####.h####.com
mt####.go####.com
oc.u####.com

Запросы HTTP GET:

kkyi####.du####.com/api/book/query.do?platform=####&primary=####

Запросы HTTP POST:

a####.a####.m.####.com/amdc/mobileDispatch?appkey=####&platform=####&v=#...
and####.b####.qq.com/rqd/async
m####.h####.com/c.gif?act=####&smkdata=####&EC=####&appkey=####&item=###...
oc.u####.com/v2/check_config_update
oc.u####.com/v2/get_update_time

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK.xml.bak
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/Dict.db-journal
/data/data/####/Hiido_BasicBehavior_Appa_v3
/data/data/####/Hiido_BasicBehavior_Event_v3
/data/data/####/Hiido_BasicBehavior_Page_v3
/data/data/####/MessageStore.db-journal
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/bugly_db_-journal
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/com.kk.chuzhongyingyuz.jar
/data/data/####/d68cd.xml
/data/data/####/daily_active.xml
/data/data/####/daily_things.xml
/data/data/####/hd_default_pref.xml
/data/data/####/hd_default_pref_378693191.xml
/data/data/####/hdcommon_config_cache_pref.xml
/data/data/####/hdcommon_config_cache_pref_378693191.xml
/data/data/####/hdid.bck
/data/data/####/hdstatis_cache_1ddeb10a_l
/data/data/####/hduuid.bck
/data/data/####/libjiagu.so
/data/data/####/local_crash_lock
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/mobclick_agent_cached_com.kk.chuzhongyingyu272
/data/data/####/native_record_lock
/data/data/####/onlineconfig_agent_online_setting_com.kk.chuzho...yu.xml
/data/data/####/security_info
/data/data/####/umeng_general_config.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/Device
/data/media/####/Global
/data/media/####/bookyingyu.db
/data/media/####/dictionary.db
/data/media/####/hdstatis_20180403.log
/data/media/####/hduuid.bck

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
/system/bin/sh -c getprop androVM.vbox_dpi
/system/bin/sh -c getprop gsm.sim.state
/system/bin/sh -c getprop gsm.sim.state2
/system/bin/sh -c getprop qemu.sf.fake_camera
/system/bin/sh -c getprop ro.board.platform
/system/bin/sh -c getprop ro.debuggable
/system/bin/sh -c getprop ro.genymotion.version
/system/bin/sh -c getprop ro.secure
/system/bin/sh -c type su
<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:580c78b08630f53f96003c57","utdid":"WsNk69COy/0DAGdzx1E9smoS","sdkVersion":"212"} -I agoodm.m.taobao.com -O 80 -T -Z
chmod 500 <Package Folder>/files/DaemonServer
chmod 755 <Package Folder>/.jiagu/libjiagu.so
getprop androVM.vbox_dpi
getprop gsm.sim.state
getprop gsm.sim.state2
getprop qemu.sf.fake_camera
getprop ro.board.platform
getprop ro.debuggable
getprop ro.genymotion.version
getprop ro.secure
ls -l /system/bin/su
ps
sh