Adware.Dowgin.3723

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Dowgin.14.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.u####.com:80
TCP(HTTP/1.1) ji.oi.jos####.cn:80
TCP(HTTP/1.1) jd.od.jos####.####.net:80
TCP(TLS/1.0) co####.in####.com:443
TCP(TLS/1.0) i.l.inmob####.net:443
TCP(TLS/1.0) inmobis####.akam####.net.####.net:443

Запросы DNS:

a####.u####.com
a.ai.in####.com
cn.api.v####.com
config-####.in####.com
d.ap####.com
i.l.inmob####.net
inmobis####.akam####.net
jd.od.jos####.cn
ji.oi.jos####.cn

Запросы HTTP GET:

jd.od.jos####.####.net/offer/20181025/201810251739389.png
jd.od.jos####.####.net/offer/20181025/201810251739437.png
jd.od.jos####.####.net/offer/20181204/201812041054103.png
jd.od.jos####.####.net/offer/20181204/201812041054366.apk
jd.od.jos####.####.net/offer/20181204/201812041054759.png
jd.od.jos####.####.net/offer/20181224/201812241540636.png
jd.od.jos####.####.net/offer/20181229/201812291315199.apk

Запросы HTTP POST:

a####.u####.com/app_logs
ji.oi.jos####.cn/e47d/21a10/ea1
ji.oi.jos####.cn/e47d/21a10/pe4
ji.oi.jos####.cn/e47d/21a10/q21
ji.oi.jos####.cn/e47d/21a10/ra1
ji.oi.jos####.cn/e47d/21a10/se4
ji.oi.jos####.cn/e47d/21a10/t10
ji.oi.jos####.cn/e47d/21a10/u0e
ji.oi.jos####.cn/e47d/21a10/w1a

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.md5
/data/data/####/.sec_version
/data/data/####/008884a0.xml
/data/data/####/24228baa.xml
/data/data/####/4d6351b0.db
/data/data/####/4d6351b0.db-journal
/data/data/####/702b6c47.xml
/data/data/####/IMAdMLtvpRuleCache.xml
/data/data/####/IMAdTrackerStatusUpload.xml
/data/data/####/__pasys_remote_banner.tmp.jar
/data/data/####/classes.dex
/data/data/####/classes.jar
/data/data/####/com.androidemu.gba.EmulatorActivity2.xml
/data/data/####/com.androidemu.gbakdyglbs
/data/data/####/com.androidemu.gbakdyglbs.art
/data/data/####/com.androidemu.gbakdyglbs.art.20
/data/data/####/db3ba0de.xml
/data/data/####/eventlog
/data/data/####/game_config.txt
/data/data/####/imai_click_events
/data/data/####/inmobi.cache
/data/data/####/inmobiAppAnalyticsAppId.xml
/data/data/####/inmobiAppAnalyticsSession.xml
/data/data/####/inmobisdkaid.xml
/data/data/####/libsecexe.x86.so
/data/data/####/libsecmain.x86.so
/data/data/####/libsecpreload.x86.so
/data/data/####/ltvp.db
/data/data/####/ltvp.db-journal
/data/data/####/mobclick_agent_online_setting_com.androidemu.gb...bs.xml
/data/data/####/openudid_prefs.xml
/data/data/####/org.ebmvuk.dex (deleted)
/data/data/####/org.ebmvuk.jar
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/webview.db-journal
/data/media/####/22e7fe8381aa4
/data/media/####/291298a609368
/data/media/####/4217e0d344016
/data/media/####/ad8a538a313727f765e064da30874040.tmp
/data/media/####/ba0e45b62852a
/data/media/####/d334f65034b06eb18e6481d335352d90.tmp
/data/media/####/d7f19fb1d6bd9
/data/media/####/gba_bios.bin
/data/media/####/kdyglbs.zip
/data/media/####/pr.p

Другие:

Запускает следующие shell-скрипты:

<Package> <Package> -1829377256 0 /data/app/<Package>-1.apk 41 <Package> 43 44 1 0
<Package> <Package> -1829377256 0 /data/app/<Package>-1.apk 41 <Package> 52 53 1 0
chmod 755 <Package Folder>/.cache/<Package>
chmod 755 <Package Folder>/.cache/<Package>.art
chmod 755 <Package Folder>/.cache/<Package>.art.20
chmod 777 /storage/emulated/0/download/56e652f7//ad8a538a313727f765e064da30874040.tmp
chmod 777 /storage/emulated/0/download/56e652f7//d334f65034b06eb18e6481d335352d90.tmp
getprop ro.product.cpu.abi

Загружает динамические библиотеки: