Adware.Dowgin.4088

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Dowgin.3.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a.cp.api.####.net:80
TCP(HTTP/1.1) apk.d.ad.####.com:80
TCP(HTTP/1.1) m####.yo####.com.####.com:80
TCP(TLS/1.0) 2####.58.212.142:443

Запросы DNS:

a.cp.api.####.net
api.appgen####.com
apk.d.ad.####.com
co####.ad####.com
e####.ad####.com
int.d####.s####.####.cn
m####.ad####.com
m####.yo####.com
mt####.go####.com
t####.ad####.com

Запросы HTTP GET:

apk.d.ad.####.com/ad/20171206/201712061752304.png
apk.d.ad.####.com/ad/20181109/201811091511627.apk
apk.d.ad.####.com/ad/20181204/201812041054103.png
apk.d.ad.####.com/ad/20181204/201812041054366.apk
m####.yo####.com.####.com/20110920/13165155031650847699.mp3
m####.yo####.com.####.com/mv20110922/1316768918503421816.mp3

Запросы HTTP POST:

a.cp.api.####.net/is/click.jsp
a.cp.api.####.net/is/info.jsp
a.cp.api.####.net/is/init.jsp
a.cp.api.####.net/is/show.jsp

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.md5
/data/data/####/.sec_version
/data/data/####/1553024416_847f85d7-dff2-4669-9608-40924011a4eb.dat
/data/data/####/1553024416_bec5ef7b-2516-4566-90dd-d72cb5128520.dat
/data/data/####/1553024416_d9d5dd59-da4c-4fa3-9d0d-98d3893c3632.dat
/data/data/####/1553024416_db97f656-f356-42af-bf03-dbe5af54c854.dat
/data/data/####/1553024419_ccc2a3fb-b74f-4a17-b384-a9cd16cc8b05.dat
/data/data/####/1553024419_eaad59c0-ca7d-4792-9afa-81e3428fff8c.dat
/data/data/####/1553024421_5d1c6235-25c2-4d36-86e3-7a8591f740f3.dat
/data/data/####/1553024422_48ef65ce-c34d-4027-8ce1-8ef8ae24c894.dat
/data/data/####/1553024422_b4c2683f-8fa3-49f7-bedf-0f68ff483b77.dat
/data/data/####/1553024432_b4d5b462-3d12-49d1-8f01-98b17ba6c4a7.dat
/data/data/####/1553024442_0ea3c0ef-aaca-4c3b-83b5-88349805721d.dat
/data/data/####/1553024442_5d215a33-6132-4283-a829-e334fdec8c0d.dat
/data/data/####/1553024442_71ed670e-2cba-4fe8-b4ee-cd728b66e49e.dat
/data/data/####/1553024448_dde9a808-32bb-4fe4-8c4c-2af5fdbe5705.dat
/data/data/####/1553024463_b249b0f6-7a8a-4d17-bdb6-21074407b60a.dat
/data/data/####/MobiSage.xml
/data/data/####/_duazh.xml
/data/data/####/_spturn.xml
/data/data/####/actionbtn1.png
/data/data/####/actionbtn2.png
/data/data/####/adsage.dbMgr.js
/data/data/####/adsage.js
/data/data/####/adsage.module.js
/data/data/####/adsage.os.js
/data/data/####/adsage.util.js
/data/data/####/back1.png
/data/data/####/back2.png
/data/data/####/btn_close.png
/data/data/####/cfg.js
/data/data/####/classes.dex
/data/data/####/classes.jar
/data/data/####/close1.png
/data/data/####/close2.png
/data/data/####/container.apk
/data/data/####/container.pre_global_config
/data/data/####/device_id.xml.xml
/data/data/####/file__0.localstorage-journal
/data/data/####/forward1.png
/data/data/####/forward2.png
/data/data/####/index.html
/data/data/####/init.zip
/data/data/####/init.zip (deleted)
/data/data/####/libcpu
/data/data/####/libsecexe.x86.so
/data/data/####/libsecmain.x86.so
/data/data/####/libsecpreload.x86.so
/data/data/####/mb.db-journal
/data/data/####/org.vv.children.story
/data/data/####/org.vv.children.story.art
/data/data/####/org.vv.children.story_preferences.xml
/data/data/####/refresh1.png
/data/data/####/refresh2.png
/data/data/####/safari1.png
/data/data/####/safari2.png
/data/data/####/sdkjs.js
/data/data/####/share1.png
/data/data/####/share2.png
/data/data/####/version_info.xml
/data/data/####/vsorg.db
/data/data/####/vsorg.db-journal
/data/data/####/webview.db-journal
/data/data/####/wstory.jar
/data/data/####/xorg
/data/media/####/201712061752304&png
/data/media/####/201812041054103&png.tmp
/data/media/####/a
/data/media/####/aa
/data/media/####/ab
/data/media/####/ac
/data/media/####/ad
/data/media/####/ae
/data/media/####/af
/data/media/####/ag
/data/media/####/b
/data/media/####/blue
/data/media/####/c
/data/media/####/d
/data/media/####/e
/data/media/####/f
/data/media/####/g
/data/media/####/green
/data/media/####/h
/data/media/####/i
/data/media/####/j
/data/media/####/k
/data/media/####/l
/data/media/####/m
/data/media/####/n
/data/media/####/o
/data/media/####/orange
/data/media/####/orgvvchildrenstory.tmp
/data/media/####/p
/data/media/####/pubKVDB.txt
/data/media/####/q
/data/media/####/r
/data/media/####/s
/data/media/####/t
/data/media/####/u
/data/media/####/v
/data/media/####/w
/data/media/####/x
/data/media/####/yellow
/data/media/####/z

Другие:

Запускает следующие shell-скрипты:

<Package> <Package> -1836135240 0 /data/app/<Package>-1.apk 41 <Package> 50 51
chmod 755 <Package Folder>/.cache/<Package>
chmod 755 <Package Folder>/.cache/<Package>.art
chmod 775 <Package Folder>/app_bangcleplugin/libcpu
getprop ro.product.cpu.abi
sh -c <Package Folder>/app_bangcleplugin/libcpu /storage/emulated/0/.14430e3d-0093-3294-8ebd-18c26074547f 18 1 <Package>
sh -c chmod 775 <Package Folder>/app_bangcleplugin/libcpu

Загружает динамические библиотеки: