Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Dowgin.14.origin
- Adware.Dowgin.3.origin
- Adware.Plague.1.origin
- Android.DownLoader.570.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) l####.c####.q####.####.com:80
- TCP(HTTP/1.1) 1####.200.221.131:8080
- TCP(HTTP/1.1) ff.t####.com.####.com:80
- TCP(HTTP/1.1) s####.gw.y####.net:80
- TCP(HTTP/1.1) t####.dmp.y####.net:80
- TCP(HTTP/1.1) ci.ci.cc####.com:80
- TCP(HTTP/1.1) pu####.vip.wando####.com:80
- TCP(HTTP/1.1) s.y####.net:80
- TCP(TLS/1.0) 1####.217.17.110:443
- TCP i2.jiz####.com:7702
- TCP i1.jiz####.com:7701
- TCP i3.jiz####.com:7703
Запросы DNS:
- 9####.nd####.y####.com
- aos.gw.y####.net
- ci.ci.cc####.com
- ff.t####.com
- i1.jiz####.com
- i2.jiz####.com
- i3.jiz####.com
- r.y####.net
- s####.gw.y####.net
- s.y####.net
- sdk.st####.y####.com
- t####.dmp.y####.net
- u.zntia####.com
- u1.zntia####.com
- u2.zntia####.com
- xiba####.wando####.com
Запросы HTTP GET:
- 1####.200.221.131:8080/spotService/a.jsp?k=####
- ff.t####.com.####.com/d/4170.jpg
- ff.t####.com.####.com/d/440q.jpg
- ff.t####.com.####.com/d/44y3.jpg
- ff.t####.com.####.com/d/44y6.jpg
- ff.t####.com.####.com/d/44z0.jpg
- ff.t####.com.####.com/d/44z7.jpg
- l####.c####.q####.####.com/core/aos-dex/1608/6440/26b46b6e.jar
- s####.gw.y####.net/aos/v3/initf?s=####
- s####.gw.y####.net/stat/v3/udt2?appid=####&s=####
- s.y####.net/spot/aos/v2/reqv3?s=####
- s.y####.net/stat/aos/v3/pkc?s=####
- s.y####.net/stat/aos/v3/pku?s=####
Запросы HTTP POST:
- ci.ci.cc####.com/5b/gd2
- pu####.vip.wando####.com/api/v1/storage/list/
- t####.dmp.y####.net/v1/android/packages?rt=####&sign=####
- t####.dmp.y####.net/v2/android/pkgtime?rt=####&sign=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/01546635448734.jar
- /data/data/####/10.xml
- /data/data/####/44b42.xml
- /data/data/####/5443153x.jar
- /data/data/####/98a3da1020010cf9136e3f5763a28679
- /data/data/####/98a3da1020010cf9136e3f5763a28679-journal
- /data/data/####/C0XKJAO3JLZKJPDKJFXLINQCJIOAOD.xml
- /data/data/####/C0XKJAO3JLZKJPDKJFXLINQCJIOAOD.xml.bak (deleted)
- /data/data/####/CE94557724F842149D690D0E8CBB1CBD.xml
- /data/data/####/P15pKIjsm64m
- /data/data/####/P15pKIjsm64m-journal
- /data/data/####/T1oX0rhhuXWt
- /data/data/####/T1oX0rhhuXWt-journal
- /data/data/####/XKwVoK0huy3R
- /data/data/####/XKwVoK0huy3R-journal
- /data/data/####/^_`ab.xml
- /data/data/####/_csmarvel_.xml
- /data/data/####/_vsmarvel_.xml
- /data/data/####/a1.db-journal
- /data/data/####/a1.xml
- /data/data/####/a1356507059351895.xml
- /data/data/####/app_cvzclasses.jar
- /data/data/####/b1356507059351895.xml
- /data/data/####/b62ed838f768b9eb4d1fb0d576a232a6
- /data/data/####/b62ed838f768b9eb4d1fb0d576a232a6-journal
- /data/data/####/c1356507059351895.xml
- /data/data/####/cdum
- /data/data/####/com.bry.ant.uqbbc.jar
- /data/data/####/com.glgjing.marvel.xml
- /data/data/####/com.google.android.gms.appid-no-backup
- /data/data/####/com.google.android.gms.appid.xml
- /data/data/####/com.google.android.gms.measurement.prefs.xml
- /data/data/####/d1356507059351895.xml
- /data/data/####/dbbqevy-journal
- /data/data/####/f8f99b9d64080e039502d7ba6040b747-journal
- /data/data/####/garbage_v1.db-journal
- /data/data/####/jqIqJYOT3JpT
- /data/data/####/jqIqJYOT3JpT-journal
- /data/data/####/marvel_v2.db-journal
- /data/data/####/spotData.xml
- /data/data/####/wIU6pTyUBYWX
- /data/data/####/wIU6pTyUBYWX-journal
- /data/data/####/webview.db-journal
- /data/data/####/wsUL1uCdKvjD
- /data/data/####/wsUL1uCdKvjD-journal
- /data/data/####/ymdex.jar.new
- /data/media/####/4170.jpg.data
- /data/media/####/440q.jpg.data
- /data/media/####/44y3.jpg.data
- /data/media/####/44y6.jpg.data
- /data/media/####/44z0.jpg.data
- /data/media/####/44z7.jpg.data
- /data/media/####/DXTX902KJZX9JASLDJF
- /data/media/####/DXTX902KJZX9JASLDJF.ymtf
- /data/media/####/i42d45df023jnkdd93la483f9xGFKXI
- /data/media/####/s92TjjdfoP2n3o9dfji2l9s1olkjf0p
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/kernel_max
Загружает динамические библиотеки:
- cipher
- okw
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES
- DES-ECB-PKCS5Padding
- PBEWITHMD5andDES
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
- PBEWITHMD5andDES
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
