Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Dowgin.14.origin
- Adware.Dowgin.3.origin
- Adware.Plague.1.origin
- Android.DownLoader.570.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) l####.c####.q####.####.com:80
- TCP(HTTP/1.1) 1####.200.221.131:8080
- TCP(HTTP/1.1) www.reactio####.com:80
- TCP(HTTP/1.1) ji.si.js####.com:80
- TCP(HTTP/1.1) ff.t####.com.####.com:80
- TCP(HTTP/1.1) www.ohm####.com:80
- TCP(HTTP/1.1) t####.dmp.y####.net:80
- TCP(HTTP/1.1) s.y####.net:80
- TCP(TLS/1.0) 1####.217.17.46:443
- TCP i2.jiz####.com:7702
- TCP i3.jiz####.com:7702
- TCP i1.jiz####.com:7701
- TCP i3.jiz####.com:7703
Запросы DNS:
- 5####.nd####.y####.com
- aos.gw.y####.net
- ch.bo####.com
- ch1bo####.com
- ch2.bo####.com
- ci.ci.cc####.com
- ff.t####.com
- i1.jiz####.com
- i2.jiz####.com
- i3.jiz####.com
- ji.si.js####.com
- r.y####.net
- s####.gw.y####.net
- s.y####.net
- sdk.st####.y####.com
- t####.dmp.y####.net
- www.ohm####.com
- www.reactio####.com
Запросы HTTP GET:
- 1####.200.221.131:8080/spotService/a.jsp?k=####
- ff.t####.com.####.com/d/4170.jpg
- ff.t####.com.####.com/d/440q.jpg
- ff.t####.com.####.com/d/44y3.jpg
- ff.t####.com.####.com/d/44y6.jpg
- ff.t####.com.####.com/d/44z0.jpg
- ff.t####.com.####.com/d/44z7.jpg
- l####.c####.q####.####.com/core/aos-dex/1608/6440/26b46b6e.jar
- s.y####.net/aos/v3/initf?s=####
- s.y####.net/spot/aos/v2/reqv3?s=####
- s.y####.net/stat/aos/v3/pkc?s=####
- s.y####.net/stat/aos/v3/pku?s=####
- s.y####.net/stat/v3/udt2?appid=####&s=####
- www.ohm####.com/tag/gifs/
- www.ohm####.com/tag/gifs/page/1
- www.ohm####.com/wp-content/uploads/2015/02/cat-pillow-the-best-pillow-ev...
- www.ohm####.com/wp-content/uploads/2015/02/dog-loves-the-cat-a-little-to...
- www.ohm####.com/wp-content/uploads/2015/02/general-aladeen-the-dictator-...
- www.ohm####.com/wp-content/uploads/2015/03/cat-helping-an-old-lady-cross...
- www.reactio####.com/
- www.reactio####.com/page/1
- www.reactio####.com/r/ahwg.gif
- www.reactio####.com/r/dreams.gif
- www.reactio####.com/r/gc.gif
- www.reactio####.com/r/i-guess.gif
- www.reactio####.com/r/sdey.gif
Запросы HTTP POST:
- ji.si.js####.com/40c2l
- ji.si.js####.com/79/g75
- t####.dmp.y####.net/v1/android/packages?rt=####&sign=####
- t####.dmp.y####.net/v2/android/pkgtime?rt=####&sign=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/01546626697726.jar
- /data/data/####/01546626713747.jar
- /data/data/####/01546626746647.jar
- /data/data/####/0a2ef670471051fad4b335128f5dc315
- /data/data/####/0a2ef670471051fad4b335128f5dc315-journal
- /data/data/####/0b489.xml
- /data/data/####/10.xml
- /data/data/####/34e036a8557afccbf2e476a73e0c0597
- /data/data/####/34e036a8557afccbf2e476a73e0c0597-journal
- /data/data/####/3d4a22efbeb724dc1d1c3aa31dcb5103-journal
- /data/data/####/6689404x.jar
- /data/data/####/6716243x.jar
- /data/data/####/C0XKJAO3JLZKJPDKJFXLINQCJIOAOD.xml
- /data/data/####/CE94557724F842149D690D0E8CBB1CBD.xml
- /data/data/####/CE94557724F842149D690D0E8CBB1CBD.xml.bak (deleted)
- /data/data/####/GIF_APP.xml
- /data/data/####/P15pKIjsm64m
- /data/data/####/P15pKIjsm64m-journal
- /data/data/####/T1oX0rhhuXWt
- /data/data/####/T1oX0rhhuXWt-journal
- /data/data/####/XKwVoK0huy3R
- /data/data/####/XKwVoK0huy3R-journal
- /data/data/####/^_`ab.xml
- /data/data/####/_csgifviewerfree_.xml
- /data/data/####/_vsgifviewerfree_.xml
- /data/data/####/_w901449643.xml
- /data/data/####/a1.db-journal
- /data/data/####/a1.xml
- /data/data/####/a1356507059351895.xml
- /data/data/####/app_cavmclasses.jar
- /data/data/####/b1356507059351895.xml
- /data/data/####/c1356507059351895.xml
- /data/data/####/com.bry.ant.sre.jar
- /data/data/####/com.bry.ant.txka.jar
- /data/data/####/d1356507059351895.xml
- /data/data/####/dbfwuj-journal
- /data/data/####/f1356507059351895.xml
- /data/data/####/gaClientId
- /data/data/####/google_analytics_v2.db-journal
- /data/data/####/jqIqJYOT3JpT
- /data/data/####/jqIqJYOT3JpT-journal
- /data/data/####/spotData.xml
- /data/data/####/wIU6pTyUBYWX
- /data/data/####/wIU6pTyUBYWX-journal
- /data/data/####/webview.db-journal
- /data/data/####/wsUL1uCdKvjD
- /data/data/####/wsUL1uCdKvjD-journal
- /data/data/####/ymdex.dex (deleted)
- /data/data/####/ymdex.jar.new
- /data/data/####/zim
- /data/media/####/.nomedia
- /data/media/####/05234575098be77d177e059cbfae81fd.0
- /data/media/####/05234575098be77d177e059cbfae81fd.0.tmp
- /data/media/####/0f34db00c4ddd9e88405d489ff93fd70.0
- /data/media/####/0f34db00c4ddd9e88405d489ff93fd70.0.tmp
- /data/media/####/16e8158a4b2d36ce16c93a6a1556de06.0
- /data/media/####/16e8158a4b2d36ce16c93a6a1556de06.0.tmp
- /data/media/####/1a5843f4a75538cd10afd8fea9aa106e.0
- /data/media/####/1a5843f4a75538cd10afd8fea9aa106e.0.tmp
- /data/media/####/1bb5e569781e71b3415ad47a47dc0700.0
- /data/media/####/1bb5e569781e71b3415ad47a47dc0700.0.tmp
- /data/media/####/1d609d10e41181ccb4a47dfd49902765.0
- /data/media/####/1d609d10e41181ccb4a47dfd49902765.0.tmp
- /data/media/####/4170.jpg.data
- /data/media/####/440q.jpg.data
- /data/media/####/44y3.jpg.data
- /data/media/####/44y6.jpg.data
- /data/media/####/44z0.jpg.data
- /data/media/####/44z7.jpg.data
- /data/media/####/9064af9261efeb9c17c4d791139507b2.0
- /data/media/####/9064af9261efeb9c17c4d791139507b2.0.tmp
- /data/media/####/92355863ecea8f4cd78bac844bf05899.0
- /data/media/####/92355863ecea8f4cd78bac844bf05899.0.tmp
- /data/media/####/DXTX902KJZX9JASLDJF
- /data/media/####/DXTX902KJZX9JASLDJF.ymtf
- /data/media/####/c9eaf1b170c2e27594a7fcd9fa9c1530.0
- /data/media/####/c9eaf1b170c2e27594a7fcd9fa9c1530.0.tmp
- /data/media/####/i42d45df023jnkdd93la483f9xGFKXI
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/s92TjjdfoP2n3o9dfji2l9s1olkjf0p
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/kernel_max
Загружает динамические библиотеки:
- hiy
Использует следующие алгоритмы для шифрования данных:
- DES
- DES-ECB-PKCS5Padding
- PBEWITHMD5andDES
Использует следующие алгоритмы для расшифровки данных:
- DES
- PBEWITHMD5andDES
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
