Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Dowgin.14.origin
- Adware.Ninebox.4.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) analy####.k####.net:80
- TCP(HTTP/1.1) sdk####.k####.net:80
- TCP(HTTP/1.1) ji.oi.jos####.cn:80
- TCP(HTTP/1.1) im####.google####.com:80
- TCP(HTTP/1.1) sdk.k####.net:80
- TCP(HTTP/1.1) d1e0dkk####.cloudf####.net:80
- TCP(HTTP/1.1) cdn.k####.net:80
- TCP(TLS/1.0) st####.doublec####.net:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) lh3.googleu####.com:443
- TCP(TLS/1.0) cdn.k####.net:443
- TCP(TLS/1.0) im####.google####.com:443
- TCP(TLS/1.0) www.you####.com:443
- TCP(TLS/1.0) adser####.go####.com:443
- TCP(TLS/1.0) googl####.g.doublec####.net:443
- TCP(TLS/1.0) pag####.googles####.com:443
- TCP(TLS/1.0) tpc.googles####.com:443
- TCP(TLS/1.0) s0.2####.net:443
Запросы DNS:
- adser####.go####.com
- analy####.k####.net
- cdn.k####.net
- d1e0dkk####.cloudf####.net
- d28lrrc####.cloudf####.net
- f####.google####.com
- f####.gst####.com
- googl####.g.doublec####.net
- im####.google####.com
- ji.oi.jos####.cn
- lh3.googleu####.com
- pag####.googles####.com
- s.y####.com
- s0.2####.net
- sdk####.k####.net
- sdk.k####.net
- st####.doublec####.net
- tpc.googles####.com
- www.go####.com
- www.you####.com
Запросы HTTP GET:
- cdn.k####.net/libraries/progress_bar/progressbar.js
- cdn.k####.net/sdk/Resources/Release/0.5/expand.png
- cdn.k####.net/sdk/Resources/Release/0.5/generic_open_button.gif
- cdn.k####.net/sdk/Resources/Release/0.5/lock.png
- cdn.k####.net/sdk/Resources/Release/0.5/logo.png
- cdn.k####.net/sdk/Resources/Release/0.5/next.png
- cdn.k####.net/sdk/Resources/Release/0.5/panel_left_animation.gif
- cdn.k####.net/sdk/Resources/Release/0.5/unlock.png
- cdn.k####.net/sdk/back_cloud.png
- cdn.k####.net/sdk/ball.png
- cdn.k####.net/sdk/bottom_bar_background.png
- cdn.k####.net/sdk/cat.png
- cdn.k####.net/sdk/duck.png
- cdn.k####.net/sdk/exit_cloud.png
- cdn.k####.net/sdk/hat.png
- cdn.k####.net/sdk/lock_cloud.png
- cdn.k####.net/sdk/lock_cloud_open.png
- cdn.k####.net/sdk/on_boarding_cloud_bottom.png
- cdn.k####.net/sdk/pizza.png
- cdn.k####.net/sdk/plane.png
- cdn.k####.net/sdk/sponsored.png
- cdn.k####.net/sdk/stroller.png
- cdn.k####.net/sdk/ted.png
- cdn.k####.net/sdk/title_cloud.png
- cdn.k####.net/sounds/ItemClickSound.mp3
- cdn.k####.net/video_player/v/v2.9/AndroidClientInterface.js
- cdn.k####.net/video_player/v/v2.9/BackgroundImageUtil.js
- cdn.k####.net/video_player/v/v2.9/BlackScreenView.js
- cdn.k####.net/video_player/v/v2.9/FunctionsUtil.js
- cdn.k####.net/video_player/v/v2.9/JavaScriptsUtil.js
- cdn.k####.net/video_player/v/v2.9/LoggerUtil.js
- cdn.k####.net/video_player/v/v2.9/MP4PlayerView.js
- cdn.k####.net/video_player/v/v2.9/YoutubePlayerView.js
- cdn.k####.net/video_player/v/v2.9/actionButton.js
- cdn.k####.net/video_player/v/v2.9/end_card_download_btn.png
- cdn.k####.net/video_player/v/v2.9/iframeView.js
- cdn.k####.net/video_player/v/v2.9/installView.js
- cdn.k####.net/video_player/v/v2.9/kidoz_logo_and_text.png
- cdn.k####.net/video_player/v/v2.9/progressbar.js
- cdn.k####.net/video_player/v/v2.9/transparent_pixel.png
- cdn.k####.net/video_player/v/v3.1/VastManager_1_0_4_5.js
- cdn.k####.net/video_player/v/v3.1/getContent.js
- cdn.k####.net/video_player/v/v3.1/html_loader_58_1.html?publisher_id=###...
- cdn.k####.net/video_player/video_player_sdk.html
- d1e0dkk####.cloudf####.net/thumbs/SheepStackingBanner_new_ImageSize_375_...
- im####.google####.com/js/core/bridge3.210.1_en.html
- im####.google####.com/js/sdkloader/ima3.js
- ji.oi.jos####.cn/is/init.jsp?appid=####
- sdk####.k####.net/api/getSharedResources?publisher_id=####&device_type=#...
- sdk####.k####.net/api/getStyle?widget_type=####&publisher_id=####&device...
- sdk####.k####.net/api/initSDK?publisher_id=####&device_type=####&actual_...
- sdk.k####.net/api/sdk?widget_type=####&publisher_id=####&ts=####&hash=##...
Запросы HTTP POST:
- analy####.k####.net/parents/KidozRestMobile.php
- ji.oi.jos####.cn/f58e/6879b/pf5
- ji.oi.jos####.cn/f58e/6879b/q68
- ji.oi.jos####.cn/f58e/6879b/sf5
- ji.oi.jos####.cn/f58e/6879b/t9b
- ji.oi.jos####.cn/f58e/6879b/w87
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/1526512250726.jar
- /data/data/####/1526512251509.jar
- /data/data/####/2widget.xml
- /data/data/####/42a7c150.xml
- /data/data/####/ABC4Kids.swf
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/ApplicationCache.db-journal (deleted)
- /data/data/####/BackButton.png
- /data/data/####/BottomBar.png
- /data/data/####/ConfigurationFile
- /data/data/####/ExitButton.png
- /data/data/####/ItemClick.mp3
- /data/data/####/KIDOZ_SDK_DATATBASE_1
- /data/data/####/KIDOZ_SDK_DATATBASE_1-journal
- /data/data/####/KIDOZ_SDK_EVENT_DATABASE
- /data/data/####/KIDOZ_SDK_EVENT_DATABASE-journal
- /data/data/####/LockActiveButton.png
- /data/data/####/LockIcon_ball.png
- /data/data/####/LockIcon_bear.png
- /data/data/####/LockIcon_cat.png
- /data/data/####/LockIcon_duck.png
- /data/data/####/LockIcon_hat.png
- /data/data/####/LockIcon_pizza.png
- /data/data/####/LockIcon_plane.png
- /data/data/####/LockIcon_stroller.png
- /data/data/####/LockNotActiveButton.png
- /data/data/####/OnBoardingBackground.png
- /data/data/####/PromotedIndication.png
- /data/data/####/SDK_SHARED_PREFERENCES_FILE_NAME.xml
- /data/data/####/StringsFile
- /data/data/####/TitleBackground.png
- /data/data/####/admob.xml
- /data/data/####/ads1742430491.jar
- /data/data/####/air.ABC4Toddlergdd.AIRSharedPref.xml
- /data/data/####/application.xml
- /data/data/####/cn.yqnvdq.oebik.jar
- /data/data/####/curl-ca-bundle.crt
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/eid.xml
- /data/data/####/events_shared_preferences.xml
- /data/data/####/extension.xml
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/ftime.xml
- /data/data/####/https_googleads.g.doubleclick.net_0.localstorage-journal
- /data/data/####/https_www.youtube.com_0.localstorage-journal
- /data/data/####/index
- /data/data/####/javaTrustStore.tmp
- /data/data/####/library.swf
- /data/data/####/session.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/expand.png
- /data/media/####/generic_open_button.gif
- /data/media/####/lock.png
- /data/media/####/logo.png
- /data/media/####/next.png
- /data/media/####/panel_left_animation.gif
- /data/media/####/share.dat
- /data/media/####/unlock.png
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- /system/bin/cat /proc/meminfo
- /system/bin/cat /sys/devices/system/cpu/present
Загружает динамические библиотеки:
- libCore
- libstlport_shared
- pl_droidsonroids_gif
Использует следующие алгоритмы для шифрования данных:
- DES
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
