Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Dowgin.3.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) bj.bc####.com:80
- TCP(HTTP/1.1) www.3####.com:8081
- TCP(HTTP/1.1) 3####.com:8081
Запросы DNS:
- 3####.com
- a####.bj.bc####.com
- a####.u####.com
- ci.xi.5####.cn
- www.3####.com
Запросы HTTP GET:
- 3####.com:8081/e/app/029AF4F4E9C5D60E06E813663CAE1661.png
- 3####.com:8081/e/app/182F92EB9A3FB8D4E21001B68F1FD7BB.png
- 3####.com:8081/e/app/3175BC0D1C9A5F2AA6513BCAD9824754.png
- 3####.com:8081/e/app/92B7152848BE8B860936D787CB102BDC.png
- 3####.com:8081/e/app/95B0F66634673A4138BA046676274E66.png
- 3####.com:8081/e/app/CA779A39B67BD8775CA8F651B3C8606C.png
- 3####.com:8081/e/app/CAD6C42681EB1021844D6700693B52CB.png
- 3####.com:8081/e/app/F5227657FB1CBA727E5D70D4D6A0AB1A.png
- 3####.com:8081/e/app/F98B07EFAA6FE0BF7B03CC2CB1CE5B7E.png
- bj.bc####.com/am0411.txt
- www.3####.com:8081/e/006007.jpg
- www.3####.com:8081/e/008006.jpg
Запросы HTTP POST:
- 3####.com:8081/e/e
- 3####.com:8081/e/s
- a####.u####.com/app_logs
- www.3####.com:8081/e/e
- www.3####.com:8081/e/s
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/006007.jpg
- /data/data/####/008006.jpg
- /data/data/####/27ee7af3fb9a3535.apk
- /data/data/####/Epre.xml
- /data/data/####/Epre.xml.bak
- /data/data/####/P_R_06.xml
- /data/data/####/_38c934d.xml
- /data/data/####/com.wahdsk.jar
- /data/data/####/e9c98577f7fe52a6.apk
- /data/data/####/log.txt
- /data/data/####/mobclick_agent_online_setting_com.edwardkimcood...ll.xml
- /data/data/####/screen_shot_it_preferences.xml
- /data/data/####/screenshot
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/media/####/029AF4F4E9C5D60E06E813663CAE1661.temp
- /data/media/####/182F92EB9A3FB8D4E21001B68F1FD7BB.temp
- /data/media/####/2D7C37CA81F6C533F41EC8ACBD868D3E.temp
- /data/media/####/3175BC0D1C9A5F2AA6513BCAD9824754.temp
- /data/media/####/45636A8B312DC8145143483474FABB4F.temp
- /data/media/####/679EA0D0F806D97860DEA895D7CE961A.temp
- /data/media/####/6F08E47031A211B15A02F178A250E6F8.temp
- /data/media/####/7ED7C1FEAD03B942DB8ABEC2D4C25E01.temp
- /data/media/####/85E836AFA5C229BA0B62C3638D6B026D.temp
- /data/media/####/92B7152848BE8B860936D787CB102BDC.temp
- /data/media/####/95B0F66634673A4138BA046676274E66.temp
- /data/media/####/9C55A2153277957BE354E9395B51E90A.temp
- /data/media/####/BAC4A0B2B678C16C84369EAAF714D8E2.temp
- /data/media/####/BCB0F704FE556A1D4C24BC4D88316E94.temp
- /data/media/####/BE3A8004C4222200FC29433D6758FC8F.temp
- /data/media/####/CA779A39B67BD8775CA8F651B3C8606C.temp
- /data/media/####/CAD6C42681EB1021844D6700693B52CB.temp
- /data/media/####/F5227657FB1CBA727E5D70D4D6A0AB1A.temp
- /data/media/####/F98B07EFAA6FE0BF7B03CC2CB1CE5B7E.temp
- /data/media/####/FDA6BBC1E061F34E32F670267BAB6A0A.temp
Другие:
Запускает следующие shell-скрипты:
- chmod 555 <Package Folder>/screenshot
- chmod 666 <Package Folder>/log.txt
- chmod 773 <Package Folder>/temp/
- ps
- sh
Использует следующие алгоритмы для шифрования данных:
- DES
Использует следующие алгоритмы для расшифровки данных:
- DES
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
