Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Dowgin.14.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ec####.b####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) www.s####.com:80
- TCP(HTTP/1.1) pag####.googles####.com:80
- TCP(HTTP/1.1) si####.jom####.com:80
- TCP(HTTP/1.1) o####.b####.cn.####.com:80
- TCP(HTTP/1.1) c####.baidust####.com:80
- TCP(HTTP/1.1) c1.4qx.net.####.net:80
- TCP(HTTP/1.1) em.b####.com:80
- TCP(HTTP/1.1) ui.ki.u####.cn:80
- TCP(HTTP/1.1) c2.4qx.net.####.net:80
- TCP(HTTP/1.1) ad.h####.com:8883
- TCP(HTTP/1.1) wn.pos.b####.com:80
- TCP(HTTP/1.1) bmob-cd####.b0.upa####.com:80
- TCP(HTTP/1.1) pos.b####.com:80
- TCP(TLS/1.0) c####.baidust####.com:443
- TCP(TLS/1.0) adser####.go####.nl:443
- TCP(TLS/1.0) pag####.googles####.com:443
- TCP(TLS/1.0) z.c####.com:443
- TCP(TLS/1.0) c.c####.com:443
Запросы DNS:
- a####.u####.com
- ad.h####.com
- adser####.go####.com
- adser####.go####.nl
- bmob-cd####.b0.upa####.com
- c####.baidust####.com
- c.c####.com
- c1.4####.net
- c2.4####.net
- ec####.b####.com
- em.b####.com
- f12.b####.com
- o####.b####.cn
- pag####.googles####.com
- pos.b####.com
- s4.c####.com
- t11.b####.com
- ui.ki.u####.cn
- wn.pos.b####.com
- www.s####.com
- z11.c####.com
Запросы HTTP GET:
- bmob-cd####.b0.upa####.com/2017/10/30/589fab3e40e8d9cb8031ab3e6539fb75.jpg
- c####.baidust####.com/cpro/exp/closead/img/bd_logo.png
- c####.baidust####.com/cpro/exp/closead/img/bg_rb.png
- c####.baidust####.com/cpro/ui/noexpire/img/2.0.0/cube_1.jpg
- c####.baidust####.com/cpro/ui/noexpire/img/4.0.0/pc_ads.1x.png
- c####.baidust####.com/cpro/ui/noexpire/img/4.0.0/pc_ads_bear.1x.png
- c####.baidust####.com/cpro/ui/noexpire/js/4.0.0/adClosefeedbackUpgrade.m...
- c####.baidust####.com/cpro/ui/pr.js
- c1.4qx.net.####.net/icgkjl.js
- c1.4qx.net.####.net/idvvezez.js
- c1.4qx.net.####.net/kfxnbugc.js
- c2.4qx.net.####.net/m.html?mediaid=####&cookie_version=####×tamp=##...
- c2.4qx.net.####.net/nzkw/w?c=####
- c2.4qx.net.####.net/xvifwomnek?gdh=####&vhc=####&ch=####&kst=####&cb=###...
- ec####.b####.com/rs.jpg?type=####&stamp=####
- em.b####.com/pixel?media_sign=####&media_site=####
- pag####.googles####.com/pagead/js/adsbygoogle.js
- pag####.googles####.com/pagead/js/r20181107/r20180604/show_ads_impl.js
- pos.b####.com/s?hei=####&wid=####&di=####<u=####&cce=####&ti=####&tlm=...
- pos.b####.com/s?hei=####&wid=####&di=####<u=####&ti=####&pis=####&cmi=...
- si####.jom####.com/it/u=264794257,4279256371&fm=76
- si####.jom####.com/it/u=4271176334,2077981689&fm=76
- ui.ki.u####.cn/p?a=####
- wn.pos.b####.com/adx.php?c=####
- www.s####.com/images/submit_alert.gif
- www.s####.com/template/250155/xingmingpeidui.gif
- www.s####.com/template/css/sanzang_font.css
- www.s####.com/template/css/sanzang_global.css
- www.s####.com/template/images/dig_bg_A.gif
- www.s####.com/template/images/dig_bg_B.gif
- www.s####.com/template/images/dig_bg_C.gif
- www.s####.com/template/images/global_bj.jpg
- www.s####.com/template/images/logo1.jpg
- www.s####.com/template/images/logo2.jpg
- www.s####.com/template/images/logo3.jpg
- www.s####.com/template/images/main_foot_bj.jpg
- www.s####.com/template/images/main_left_bj.jpg
- www.s####.com/template/images/main_right_bj.gif
- www.s####.com/template/images/menu_bj.jpg
- www.s####.com/template/js/module_uaredirect.js
- www.s####.com/template/js/sanzang_global.js
- www.s####.com/xingmingpeidui.php
Запросы HTTP POST:
- a####.u####.com/app_logs
- ad.h####.com:8883/v1/statistics
- o####.b####.cn.####.com/8/find
- o####.b####.cn.####.com/8/init
- o####.b####.cn.####.com/8/phone_ci
- o####.b####.cn.####.com/8/secret
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/4addd.xml
- /data/data/####/816765344.dex
- /data/data/####/816765344.zf
- /data/data/####/bmob_sp.xml
- /data/data/####/cache
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/ij.dex
- /data/data/####/index
- /data/data/####/sea.xfs.com.fz.jar
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
Другие:
Загружает динамические библиотеки:
- BmobStat
- bmob
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
