Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Dowgin.1.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) api.cp.g####.com:80
- TCP(HTTP/1.1) api.mo####.com:80
- TCP(HTTP/1.1) cp.pushw####.com:80
- TCP(HTTP/1.1) oc.u####.com:80
- TCP(HTTP/1.1) sp.m####.jp:80
- TCP(TLS/1.0) ssl.sp.m####.jp:443
- TCP(TLS/1.0) sett####.crashly####.com:443
- TCP(TLS/1.0) ssl.sp.mbga-pl####.jp:443
- TCP(TLS/1.0) ssl.google-####.com:443
- TCP(TLS/1.0) 1####.217.168.206:443
- TCP(TLS/1.0) e.crashly####.com:443
Запросы DNS:
- a####.u####.com
- api.cp.g####.com
- api.mo####.com
- cp.pushw####.com
- e.crashly####.com
- oc.u####.com
- sett####.crashly####.com
- sp.m####.jp
- ssl.google-####.com
- ssl.sp.m####.jp
- ssl.sp.mbga-pl####.jp
Запросы HTTP GET:
- sp.m####.jp/_app_launch?app_id=12018865&intent_path=from_aff_app_launch?...
- sp.m####.jp/_sdk_ad_tracking?app_id=####&token=####
Запросы HTTP POST:
- a####.u####.com/app_logs
- api.cp.g####.com/is/info.jsp
- api.cp.g####.com/is/init.jsp
- api.mo####.com/crack/v1/getsendmsginfo?id=####
- cp.pushw####.com/json/1.3/registerDevice
- oc.u####.com/check_config_update
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/5C62DC7801F6-0001-08DC-7AFAE68782D7BeginSession.cls_temp
- /data/data/####/5C62DC7801F6-0001-08DC-7AFAE68782D7SessionApp.cls_temp
- /data/data/####/5C62DC7801F6-0001-08DC-7AFAE68782D7SessionDevice.cls_temp
- /data/data/####/5C62DC7801F6-0001-08DC-7AFAE68782D7SessionOS.cls_temp
- /data/data/####/5C62DC7801F6-0001-08DC-7AFAE68782D7SessionUser.cls_temp
- /data/data/####/5C62DC7901C1-0002-08DC-7AFAE68782D7BeginSession.cls_temp
- /data/data/####/5C62DC7901C1-0002-08DC-7AFAE68782D7SessionApp.cls_temp
- /data/data/####/5C62DC7901C1-0002-08DC-7AFAE68782D7SessionDevice.cls_temp
- /data/data/####/5C62DC7901C1-0002-08DC-7AFAE68782D7SessionOS.cls_temp
- /data/data/####/adwords_bg.png
- /data/data/####/arrow_down.png
- /data/data/####/arrow_up.png
- /data/data/####/bottom_bg.png
- /data/data/####/bottom_btn_cache.png
- /data/data/####/bottom_btn_cancel.png
- /data/data/####/bottom_btn_install.png
- /data/data/####/btn_install.png
- /data/data/####/bvfg.zip
- /data/data/####/com.crashlytics.android.internal.D.xml
- /data/data/####/com.crashlytics.prefs.xml
- /data/data/####/com.crashlytics.settings.json
- /data/data/####/com.google.android.gcm.xml
- /data/data/####/com.mobage.android.ad.AdEventReporter.sentLaunchEvents.xml
- /data/data/####/com.pushwoosh.pushnotifications.xml
- /data/data/####/d_adwords_bg
- /data/data/####/d_appsc_an
- /data/data/####/d_arrow_down
- /data/data/####/d_arrow_up
- /data/data/####/d_bottom_bg
- /data/data/####/d_bottom_btn_cancel
- /data/data/####/d_bottom_btn_install
- /data/data/####/d_btn_install
- /data/data/####/d_btnbg_blue
- /data/data/####/d_btnbg_green
- /data/data/####/d_btnbg_orange
- /data/data/####/d_btnbg_yellow
- /data/data/####/d_cloesbtn_top
- /data/data/####/d_cp_more_btn
- /data/data/####/d_cp_other_btn
- /data/data/####/d_default_bg
- /data/data/####/d_dtop_closebtn
- /data/data/####/d_img_bg
- /data/data/####/d_install_btn
- /data/data/####/d_list_title_bg
- /data/data/####/d_listcloseBtn
- /data/data/####/d_listview_bg
- /data/data/####/d_m_star
- /data/data/####/d_page_normol
- /data/data/####/d_page_selecte_blue
- /data/data/####/d_page_selecte_green
- /data/data/####/d_page_selecte_orange
- /data/data/####/d_page_selecte_yellow
- /data/data/####/d_pop_back
- /data/data/####/d_pop_bottom_btn
- /data/data/####/d_safe_icon
- /data/data/####/d_safe_line
- /data/data/####/d_sc_circle
- /data/data/####/d_shortcutad_bg
- /data/data/####/d_tj_line
- /data/data/####/d_top_bg
- /data/data/####/daytotal.xml
- /data/data/####/dydCfgPref.xml
- /data/data/####/dydTimePref.xml
- /data/data/####/gaClientId
- /data/data/####/google_analytics_v2.db-journal
- /data/data/####/img_bg.png
- /data/data/####/initialization_marker
- /data/data/####/item_btn.png
- /data/data/####/m_star.png
- /data/data/####/mga.xml
- /data/data/####/mobclick_agent_header_jp.inc.nagisa.android.pol...rl.xml
- /data/data/####/mobclick_agent_online_setting_jp.inc.nagisa.and...rl.xml
- /data/data/####/mobclick_agent_state_jp.inc.nagisa.android.polygongirl.xml
- /data/data/####/p_mnbv.xml
- /data/data/####/pcheck_n.png
- /data/data/####/pcheck_p.png
- /data/data/####/pop_back.png
- /data/data/####/pop_bottom_btn.png
- /data/data/####/pp_share.xml
- /data/data/####/pushapp.png
- /data/data/####/sa_78580480-77aa-40f4-9014-a77929d26b0a_1549982841772.tap
- /data/data/####/sa_e764ed6d-93fb-474e-b9ac-6bd0bb3b4e1f_1549982840813.tap
- /data/data/####/safe_icon.png
- /data/data/####/safe_line.png
- /data/data/####/sc_circle.png
- /data/data/####/session_analytics.tap
- /data/data/####/session_analytics.tap.tmp
- /data/data/####/tj_line.png
- /data/data/####/top_bg.png
- /data/data/####/webview.db-journal
- /data/data/####/zkl.jar
- /data/media/####/jiajia.apk
- /data/media/####/jp.inc.nagisa.android.polygongirl.txt
Другие:
Запускает следующие shell-скрипты:
- chmod 777 /storage/emulated/0/temp/jiajia.apk
Использует следующие алгоритмы для шифрования данных:
- AES-ECB-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
