Adware.Dowgin.3852

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Dowgin.14.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/0a231bd8575dcf72.txt
/data/data/####/1376656544437878541
/data/data/####/1551582414648.log
/data/data/####/1824952415-1173059407
/data/data/####/1d77ea041509fe06.lock
/data/data/####/21c22f492aba3de8.lock
/data/data/####/5ead7c1916e321af3ee0d7d6aa595238.temp
/data/data/####/8ef9c457b3bbb403.lock
/data/data/####/930a31b34bd52c08.lock
/data/data/####/ACCS_BINDumeng;5570f54f67e58e363c005ea8.xml
/data/data/####/ACCS_SDK.xml
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/AGOO_BIND.xml
/data/data/####/Agoo_AppStore.xml
/data/data/####/Alvin2.xml
/data/data/####/ApplicationCache.db-journal
/data/data/####/BuglySdkInfos.xml
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/GDTSDK.db
/data/data/####/GDTSDK.db-journal
/data/data/####/MessageStore.db-journal
/data/data/####/MsgLogStore.db-journal
/data/data/####/SGMANAGER_DATA2.tmp
/data/data/####/TrineaAndroidCommon.xml
/data/data/####/UTCommon.xml
/data/data/####/UTCommon.xml.bak (deleted)
/data/data/####/__Baidu_Stat_SDK_SendRem.xml
/data/data/####/__local_ap_info_cache.json
/data/data/####/__local_last_session.json
/data/data/####/__local_stat_cache.json
/data/data/####/__send_data_1551582420762
/data/data/####/__send_data_1551582431955
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/ap.Lock
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/channel__local_stat_cache.json
/data/data/####/cn.gamedog.survivalwarbox_preferences.xml
/data/data/####/d78ab0b.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/devCloudSetting.cfg
/data/data/####/devCloudSetting.sig
/data/data/####/e4327c1abf64f4ea5bbedb92156b6fb8.temp
/data/data/####/eudemon
/data/data/####/exchangeIdentity.json
/data/data/####/exid.dat
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/f_000003
/data/data/####/gdt_plugin.jar
/data/data/####/gdt_plugin.jar.sig
/data/data/####/gdt_plugin.next.sig
/data/data/####/gdt_plugin.tmp
/data/data/####/gdt_suid
/data/data/####/index
/data/data/####/libcuid.so
/data/data/####/libsgmainso-5.1.81.so.tmp
/data/data/####/lock.lock
/data/data/####/message_accs_db
/data/data/####/message_accs_db-journal
/data/data/####/register.xml
/data/data/####/sdkCloudSetting.cfg
/data/data/####/sdkCloudSetting.sig
/data/data/####/sp.lock
/data/data/####/survivalwarbox.xml
/data/data/####/trinea_android_common.db-journal
/data/data/####/ua.db
/data/data/####/ua.db-journal
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/umeng_socialize.xml
/data/data/####/update_lc
/data/data/####/ut.db
/data/data/####/ut.db-journal
/data/data/####/uuid.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/ywPrefsTools.xml
/data/data/####/zcn.gamedog.survivalwarboxop.jar
/data/media/####/.confd
/data/media/####/.confd-journal
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.nomedia
/data/media/####/.timestamp
/data/media/####/66af3bcf177c42c98c9490d7bae26566
/data/media/####/6c709c11d2d46a7b
/data/media/####/712683bf01bd4aadab965cc370d33f22
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/dd7893586a493dc3
/data/media/####/deviceToken
/data/media/####/hid.dat
/data/media/####/http___img1_gamedog_cn_2015_12_02_181_1512021S0510_jpg
/data/media/####/http___img1_gamedog_cn_2015_12_18_181_15121Q015130_jpg
/data/media/####/http___img1_gamedog_cn_2015_12_21_181_1512211T4300_jpg
/data/media/####/http___img1_gamedog_cn_2016_07_02_181_160F21G4390_jpg
/data/media/####/http___img1_gamedog_cn_2016_07_02_181_160F21GJ40_jpg

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:5570f54f67e58e363c005ea8","utdid":"XHtEy2KmQpMDAGdzx1GHWhjB","sdkVersion":"220"} -I agoodm.m.taobao.com -O 80 -T -Z
chmod 500 <Package Folder>/files/DaemonServer
sh

Загружает динамические библиотеки: