Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Dowgin.3.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) s.3####.cn:80
- TCP(HTTP/1.1) api.is.13####.com:80
- TCP(HTTP/1.1) www.runnerg####.com:80
- TCP(HTTP/1.1) apk.d.ad.####.net:80
- TCP(TLS/1.0) d3388t5####.cloudf####.net:443
Запросы DNS:
- api.is.13####.com
- apk.d.ad.####.cn
- d3388t5####.cloudf####.net
- s.3####.cn
- www.runnerg####.com
Запросы HTTP GET:
- api.is.13####.com/is/init.jsp?appid=####
- apk.d.ad.####.net/ad/20180606/20180606952395.png
- apk.d.ad.####.net/ad/20180606/20180606953162.png
- apk.d.ad.####.net/ad/20180702/201807021745608.apk
- s.3####.cn/jiagu/s.html?model=####&osVersion=####&b=####&c=####&rid=####...
Запросы HTTP POST:
- api.is.13####.com/is/click.jsp
- api.is.13####.com/is/info.jsp
- api.is.13####.com/is/init.jsp
- api.is.13####.com/is/list.jsp
- api.is.13####.com/is/show.jsp
- www.runnerg####.com/w/BasCount/adAll?pd=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/NinjaRunData.ini
- /data/data/####/amb_dl.db-journal
- /data/data/####/ggvv.jar
- /data/data/####/hzshares.xml
- /data/data/####/libprotectClass.so
- /data/data/####/libqupc.so
- /data/data/####/listfiles.xml
- /data/data/####/madtotal.xml
- /data/data/####/qihooLock.xml
- /data/data/####/webview.db-journal
- /data/data/####/youturn.xml
- /data/media/####/19c4ba2e7346fb3df59c.pkg
- /data/media/####/adwords_bg
- /data/media/####/appcontent
- /data/media/####/arrow_down
- /data/media/####/arrow_up
- /data/media/####/bottom_bg
- /data/media/####/bottom_btn_cache
- /data/media/####/bottom_btn_install
- /data/media/####/bottom_btn_share
- /data/media/####/btn_install
- /data/media/####/d_appsc_an
- /data/media/####/d_arrow_down
- /data/media/####/d_arrow_up
- /data/media/####/d_bottom_btn_cancel
- /data/media/####/d_btn_install
- /data/media/####/d_btnbg_blue
- /data/media/####/d_btnbg_green
- /data/media/####/d_btnbg_orange
- /data/media/####/d_btnbg_yellow
- /data/media/####/d_cloesbtn_top
- /data/media/####/d_cp_more_btn
- /data/media/####/d_cp_other_btn
- /data/media/####/d_default_bg
- /data/media/####/d_dtop_closebtn
- /data/media/####/d_img_bg
- /data/media/####/d_page_normol
- /data/media/####/d_page_selecte_orange
- /data/media/####/d_pop_back
- /data/media/####/d_pop_bottom_btn
- /data/media/####/d_safe_icon
- /data/media/####/d_safe_line
- /data/media/####/d_sc_circle
- /data/media/####/d_shortcutad_bg
- /data/media/####/d_tj_line
- /data/media/####/d_top_bg
- /data/media/####/fc.properties
- /data/media/####/http##apk#d#ad#161161#cn#ad#20180606#201806069...ng.tmp
- /data/media/####/img_bg
- /data/media/####/item_btn
- /data/media/####/m_star
- /data/media/####/pop_back
- /data/media/####/pop_bottom_btn
- /data/media/####/safe_icon
- /data/media/####/safe_line
- /data/media/####/top_bg
Другие:
Запускает следующие shell-скрипты:
- chmod 777 <Package Folder>/files/libqupc.so
- getprop ro.product.cpu.abi
Загружает динамические библиотеки:
- libprotectClass
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
