Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Dowgin.14.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) a####.exc.mob.com:80
- TCP(HTTP/1.1) oc.u####.com:80
- TCP(HTTP/1.1) p####.ico####.com:80
- TCP(HTTP/1.1) api.s####.mob.com:80
- TCP(HTTP/1.1) t.p####.ico####.com:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(TLS/1.0) gl####.w.kunl####.####.com:443
- TCP(TLS/1.0) q####.a####.com:443
Запросы DNS:
- a####.exc.mob.com
- a####.u####.com
- api.s####.mob.com
- c####.comi####.cn
- cdn.ico####.com
- oc.u####.com
- p####.ico####.com
- t.p####.ico####.com
- u####.comi####.cn
Запросы HTTP GET:
- ti####.c####.l####.####.com/11564_ccover_hp_4dd10493c7f32e03.jpg?imageVi...
- ti####.c####.l####.####.com/11727_ccover_hp_0b56ec6558479752.jpg?imageVi...
- ti####.c####.l####.####.com/12081_ccover_hp_64e637d33625601e.jpg?imageVi...
- ti####.c####.l####.####.com/12747_ccover_hp_93fc5aa0805acf3e.jpg?imageVi...
- ti####.c####.l####.####.com/12900_ccover_hp_7a95954dcbbdf2d1.jpg?imageVi...
- ti####.c####.l####.####.com/12955_ccover_hp_d3fb61c54730a263.jpg?imageVi...
- ti####.c####.l####.####.com/13029_1_acover.jpg?imageVi####
- ti####.c####.l####.####.com/13029_2_acover.jpg?imageVi####
- ti####.c####.l####.####.com/13029_3_acover.jpg?imageVi####
- ti####.c####.l####.####.com/13029_4_10_cd23a96c0de5b61a.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_11_f8a4766a05f3ca96.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_12_54a0fa8ef1fff923.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_13_77964636f6c3d6fd.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_14_56ea9fff087ec87d.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_15_12ac3f378bd8be73.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_16_b76ced04df647458.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_17_f365e111243e2182.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_18_4946ffaf03847b50.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_19_9d75df4e0b84da5c.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_1_047524c42dcc764c.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_20_6b742954578c1783.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_21_2948a3e5ee0cd6cc.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_22_17f6d77b6bb1f2cb.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_23_4e78eaa443fc0607.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_24_2e4da0b4c802b433.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_25_32ffc9af33134790.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_2_736c7e667dfe3887.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_3_e8aebb3808ab7f9a.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_4_d3eba9894bb989b6.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_5_715efba71d6bd999.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_6_add1988b16cf13ab.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_7_a31d18777d7f7c8d.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_8_4ae7603f332cb5e7.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_9_f867fe3d37043056.jpg?imageMo####
- ti####.c####.l####.####.com/13029_4_acover.jpg?imageVi####
- ti####.c####.l####.####.com/13029_5_acover.jpg?imageVi####
- ti####.c####.l####.####.com/13029_6_acover.jpg?imageVi####
- ti####.c####.l####.####.com/13029_7_acover.jpg?imageVi####
- ti####.c####.l####.####.com/13029_ccover_30be26bc56b375d8.jpg?imageVi####
Запросы HTTP POST:
- a####.exc.mob.com/errconf
- a####.u####.com/app_logs
- api.s####.mob.com/conf4
- api.s####.mob.com/conn
- api.s####.mob.com/data2
- api.s####.mob.com/log4
- api.s####.mob.com/snsconf
- oc.u####.com/v2/check_config_update
- oc.u####.com/v2/get_update_time
- p####.ico####.com/categorylist
- p####.ico####.com/handshake
- p####.ico####.com/homepage
- t.p####.ico####.com/comicdetail
- t.p####.ico####.com/epinfo
- t.p####.ico####.com/getcomments2
- t.p####.ico####.com/getextinfo
- t.p####.ico####.com/splashinfo
- t.p####.ico####.com/syncextinfo
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/Alvin2.xml
- /data/data/####/AppStore.xml
- /data/data/####/ContextData.xml
- /data/data/####/ICOMICO_PREFERENCE.xml
- /data/data/####/ThrowalbeLog.db-journal
- /data/data/####/gtgqz.jar
- /data/data/####/icomico_db-journal
- /data/data/####/libjiagu-1085698736.so
- /data/data/####/mob_sdk_exception_1.xml
- /data/data/####/mobclick_agent_cached_com.airsky.comics.day442
- /data/data/####/mobclick_agent_online_setting_com.airsky.comics.day.xml
- /data/data/####/share_sdk_1.xml
- /data/data/####/sharesdk.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_message_state.xml
- /data/data/####/webview.db-journal
- /data/data/####/z2b9e5162.xml
- /data/media/####/.ba
- /data/media/####/.dk
- /data/media/####/.lock
- /data/media/####/19m87qszq9cjol1p83hahv056.0.tmp
- /data/media/####/19m87qszq9cjol1p83hahv056.downtmp.downtmp
- /data/media/####/1eib0r8nuo13bxjc0u548z272.0.tmp
- /data/media/####/1eib0r8nuo13bxjc0u548z272.downtmp.downtmp
- /data/media/####/1gfvp0l8aggxdut1xq92i6asw.0.tmp
- /data/media/####/1gfvp0l8aggxdut1xq92i6asw.downtmp.downtmp
- /data/media/####/2j3ji40c2so96mt2lum5gmm1o.0.tmp
- /data/media/####/2j3ji40c2so96mt2lum5gmm1o.downtmp.downtmp
- /data/media/####/2pspyhvgii1qkll11ukgz5mp6.0.tmp
- /data/media/####/2si6nn6ukd7df4qztt2sp4sbe.0.tmp
- /data/media/####/2si6nn6ukd7df4qztt2sp4sbe.downtmp.downtmp
- /data/media/####/2t89xwe34jhi8z4vvevow8wlg.0.tmp
- /data/media/####/2t89xwe34jhi8z4vvevow8wlg.downtmp.downtmp
- /data/media/####/3g3b7q0yn49ftfvturlvk9t7m.0.tmp
- /data/media/####/3m04nc8n9xfidv89lzmb21zpl.0.tmp
- /data/media/####/49yfhm3wfuacujvyssfmhf0cr.0.tmp
- /data/media/####/49yfhm3wfuacujvyssfmhf0cr.downtmp.downtmp
- /data/media/####/4hl4601ny9xczc9cbry53eawf.0.tmp
- /data/media/####/4hl4601ny9xczc9cbry53eawf.downtmp.downtmp
- /data/media/####/50inzix03uhaulo3juvx1pz3w.0.tmp
- /data/media/####/54j80smlym4l0vbovc7y1t9ut.0.tmp
- /data/media/####/550n0y3r46m9d2eue5d4palb.0.tmp
- /data/media/####/550n0y3r46m9d2eue5d4palb.downtmp.downtmp
- /data/media/####/5fr8e0ljqtqxn5ofavrxgoh0b.0.tmp
- /data/media/####/5fr8e0ljqtqxn5ofavrxgoh0b.downtmp.downtmp
- /data/media/####/5h5fb574hzggh87fg5ky9carp.0.tmp
- /data/media/####/5h5fb574hzggh87fg5ky9carp.downtmp.downtmp
- /data/media/####/5j4mjpyydpwldwxpkx4l6g5ak.0.tmp
- /data/media/####/5jhp6mzyr7th3l7auup8rgxlv.0.tmp
- /data/media/####/5jhp6mzyr7th3l7auup8rgxlv.downtmp.downtmp
- /data/media/####/5pdvc22gedf4npyheovop6idy.0.tmp
- /data/media/####/5pdvc22gedf4npyheovop6idy.downtmp.downtmp
- /data/media/####/5x0yb0nhyc8urzvbn0pt9pbyn.0.tmp
- /data/media/####/5x0yb0nhyc8urzvbn0pt9pbyn.downtmp.downtmp
- /data/media/####/68w1qkyw8at1p1w6oy1jfuac9.0.tmp
- /data/media/####/68w1qkyw8at1p1w6oy1jfuac9.downtmp.downtmp
- /data/media/####/6hp5bhhy0me046epcn00b58ip.0.tmp
- /data/media/####/6l0ri0djjd7kb9on30on7qpuq.0.tmp
- /data/media/####/6l0ri0djjd7kb9on30on7qpuq.downtmp.downtmp
- /data/media/####/75z7z2xg9nym3gw58ld4wt4s5.0.tmp
- /data/media/####/75z7z2xg9nym3gw58ld4wt4s5.downtmp.downtmp
- /data/media/####/77wpbtdp1l0mqf92i61elahml.0.tmp
- /data/media/####/77wpbtdp1l0mqf92i61elahml.downtmp.downtmp
- /data/media/####/79mj47rm8h4piqgaj9u8a3f83.0.tmp
- /data/media/####/7ab60sgop59q5pdh1c8fqfy2s.0.tmp
- /data/media/####/7axs7a91lx6qx2yv69u4taf1i.0.tmp
- /data/media/####/7axs7a91lx6qx2yv69u4taf1i.downtmp.downtmp
- /data/media/####/7hkm8yjf2s6nr9fmsvjznpcu2.0.tmp
- /data/media/####/7hkm8yjf2s6nr9fmsvjznpcu2.downtmp.downtmp
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/acomairskycomicsday.txt
- /data/media/####/brrv7v2b4869h0rz06jrium6.0.tmp
- /data/media/####/brrv7v2b4869h0rz06jrium6.downtmp.downtmp
- /data/media/####/hrnyozyoh1z47yrr4o0n28bo.0.tmp
- /data/media/####/journal.tmp
- /data/media/####/rnh18baqhabofdbgs0e7vcjj.0.tmp
- /data/media/####/rnh18baqhabofdbgs0e7vcjj.downtmp.downtmp
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu-1085698736.so
Загружает динамические библиотеки:
- libjiagu-1085698736
- neh
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS7Padding
- DES
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
