Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Dowgin.3.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) cl####.bay####.com:80
- TCP(HTTP/1.1) api.is.2010####.com:80
- TCP(HTTP/1.1) al####.bay####.com:80
- TCP(HTTP/1.1) dm.bd.5####.####.net:80
Запросы DNS:
- al####.bay####.com
- api.is.2010####.com
- cl####.bay####.com
- dm.bd.5####.net
- s1.se####.cn
Запросы HTTP GET:
- al####.bay####.com/adv/1930/1864/20171114112447_93.png
- dm.bd.5####.####.net/ad/20170705/201707051157602.png
- dm.bd.5####.####.net/ad/20171020/201710201050746.apk
- dm.bd.5####.####.net/ad/20171207/201712071116111.png
- dm.bd.5####.####.net/ad/20180102/201801021309162.apk
Запросы HTTP POST:
- api.is.2010####.com/R/_b/c.jsp
- api.is.2010####.com/R/_b/i.jsp
- api.is.2010####.com/R/_b/in.jsp
- api.is.2010####.com/R/_b/s.jsp
- cl####.bay####.com/terminal/ad/checkVersion.do
- cl####.bay####.com/terminal/ad/getAdList.do?t=####
- cl####.bay####.com/terminal/ad/listener.do?t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/PIG_DB
- /data/data/####/PIG_DB-journal
- /data/data/####/_c_pp_h.xml
- /data/data/####/_v_t_n.xml
- /data/data/####/a_c_t.xml
- /data/data/####/back.png
- /data/data/####/bayi_bai-db-journal
- /data/data/####/bayi_bayiSharedPrferences.xml
- /data/data/####/by_mark.png
- /data/data/####/by_right_arrow.png
- /data/data/####/by_rloding_1.png
- /data/data/####/by_rloding_2.png
- /data/data/####/by_rloding_3.png
- /data/data/####/by_rloding_4.png
- /data/data/####/by_safety_certification.png
- /data/data/####/by_surprise.png
- /data/data/####/check.xml
- /data/data/####/classes.zip
- /data/data/####/cpigshotcloneco.jar
- /data/data/####/cxcdownloads
- /data/data/####/cxcdownloads-journal
- /data/data/####/dm_cover_close.png
- /data/data/####/http+alicdn+bayimob+com+adv+1930+1864+201711141...93+png
- /data/data/####/icom_bg.png
- /data/data/####/im_cache_prefs.xml
- /data/data/####/ki.xml
- /data/data/####/libexec.so
- /data/data/####/libexecmain.so
- /data/data/####/uscom.db
- /data/data/####/uscom.db-journal
- /data/data/####/vgp_id.xml
- /data/data/####/webview.db-journal
- /data/media/####/CX.DAT
- /data/media/####/afc.pro
- /data/media/####/egnaro_etceles_egap_d
- /data/media/####/egnaro_gbntb_d
- /data/media/####/ehcac_ntb_mottob
- /data/media/####/elcric_cs_d
- /data/media/####/enil_efas
- /data/media/####/enil_efas_d
- /data/media/####/enil_jt_d
- /data/media/####/erahs_ntb_mottob
- /data/media/####/eulb_gbntb_d
- /data/media/####/gb_datuctrohs_d
- /data/media/####/gb_gmi
- /data/media/####/gb_gmi_d
- /data/media/####/gb_mottob
- /data/media/####/gb_pot
- /data/media/####/gb_pot_d
- /data/media/####/gb_sdrowda
- /data/media/####/gb_tluafed_d
- /data/media/####/kcab_pop
- /data/media/####/kcab_pop_d
- /data/media/####/lecnac_ntb_mottob_d
- /data/media/####/llatsni_ntb
- /data/media/####/llatsni_ntb_d
- /data/media/####/llatsni_ntb_mottob
- /data/media/####/lomron_egap_d
- /data/media/####/n_kcehcp
- /data/media/####/na_csppa_d
- /data/media/####/neerg_gbntb_d
- /data/media/####/noci_efas
- /data/media/####/noci_efas_d
- /data/media/####/ntb_erom_pc_d
- /data/media/####/ntb_meti
- /data/media/####/ntb_mottob_pop
- /data/media/####/ntb_mottob_pop_d
- /data/media/####/ntb_rehto_pc_d
- /data/media/####/ntbesolc_pot_x
- /data/media/####/ntbesolc_potd_d
- /data/media/####/nwod_worra
- /data/media/####/nwod_worra_d
- /data/media/####/p_kcehcp
- /data/media/####/pot_ntbseolc_d
- /data/media/####/pu_worra
- /data/media/####/pu_worra_d
- /data/media/####/rats_m
- /data/media/####/tnetnocppa
- /data/media/####/wolley_gbntb_d
- /data/media/####/z.jar
Другие:
Запускает следующие shell-скрипты:
- getprop ro.product.cpu.abi
Загружает динамические библиотеки:
- libexec
- libexecmain
Использует следующие алгоритмы для шифрования данных:
- DES
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
