Adware.Dowgin.3984

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Dowgin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) oc.u####.com:80
TCP(HTTP/1.1) a.cp.api.####.net:80
TCP(HTTP/1.1) apk.d.ad.####.com:80
TCP(HTTP/1.1) a####.u####.com:80

Запросы DNS:

a####.u####.com
a.cp.api.####.net
api.appgen####.com
apk.d.ad.####.com
int.d####.s####.####.cn
oc.u####.com

Запросы HTTP GET:

apk.d.ad.####.com/ad/20181204/201812041054103.png

Запросы HTTP POST:

a####.u####.com/app_logs
a.cp.api.####.net/is/info.jsp
a.cp.api.####.net/is/init.jsp
oc.u####.com/check_config_update

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imprint
/data/data/####/.md5
/data/data/####/.sec_version
/data/data/####/_duazh.xml
/data/data/####/classes.dex
/data/data/####/classes.jar
/data/data/####/com.ng2048
/data/data/####/com.ng2048.art
/data/data/####/com.ng2048_preferences.xml
/data/data/####/container.apk
/data/data/####/container.pre_global_config
/data/data/####/danke_share.xml
/data/data/####/device_id.xml.xml
/data/data/####/kng2048d.jar
/data/data/####/libcpu
/data/data/####/libsecexe.x86.so
/data/data/####/libsecmain.x86.so
/data/data/####/libsecpreload.x86.so
/data/data/####/mobclick_agent_cached_com.ng20488
/data/data/####/mobclick_agent_online_setting_com.ng2048.xml
/data/data/####/n2048.xml
/data/data/####/umeng_general_config.xml
/data/data/####/umeng_it.cache
/data/data/####/wng2048.jar
/data/data/####/xcom
/data/media/####/201812041054103&png.tmp
/data/media/####/adwords_bg
/data/media/####/all1
/data/media/####/all1_p
/data/media/####/arrow_down
/data/media/####/arrow_go
/data/media/####/arrow_up
/data/media/####/bottom_bg
/data/media/####/bottom_btn_cancel
/data/media/####/bottom_btn_install
/data/media/####/btn_install
/data/media/####/comng2048.tmp
/data/media/####/dtop_closebtn
/data/media/####/dtop_title
/data/media/####/dtop_title2
/data/media/####/g_install_btn
/data/media/####/game1
/data/media/####/game1_p
/data/media/####/img_bg
/data/media/####/item_bg
/data/media/####/item_btn
/data/media/####/line
/data/media/####/list_btn_b
/data/media/####/m_star
/data/media/####/more
/data/media/####/nav1
/data/media/####/nav1_p
/data/media/####/nav2
/data/media/####/nav2_p
/data/media/####/nav3
/data/media/####/nav3_p
/data/media/####/pop_back
/data/media/####/pop_bottom_btn
/data/media/####/safe_icon
/data/media/####/safe_line
/data/media/####/sc_circle
/data/media/####/soft1
/data/media/####/soft1_p
/data/media/####/theme01_title2bg
/data/media/####/theme01_topbg
/data/media/####/title_black_bg
/data/media/####/tj_line
/data/media/####/top_bg
/data/media/####/zero_bg.jpg
/data/media/####/zero_hx
/data/media/####/zero_hx_e
/data/media/####/zero_left
/data/media/####/zero_mf
/data/media/####/zero_no
/data/media/####/zero_right
/data/media/####/zero_xz
/data/media/####/zero_yes

Другие:

Запускает следующие shell-скрипты:

<Package> <Package> -1829696328 0 /data/app/<Package>-1.apk 41 <Package> 50 51
chmod 755 <Package Folder>/.cache/<Package>
chmod 755 <Package Folder>/.cache/<Package>.art
chmod 775 <Package Folder>/app_bangcleplugin/libcpu
getprop ro.product.cpu.abi
sh -c <Package Folder>/app_bangcleplugin/libcpu /storage/emulated/0/.ec262175-591e-37c5-89a9-81030f034fd1 18 1 <Package>
sh -c chmod 775 <Package Folder>/app_bangcleplugin/libcpu

Загружает динамические библиотеки: