Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Dowgin.14.origin
- Adware.Dowgin.3.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) st####.mei####.net:80
- TCP(HTTP/1.1) jd.od.jos####.####.net:80
- TCP(HTTP/1.1) tin####.c####.l####.####.com:80
- TCP(HTTP/1.1) ap####.me####.cc:80
- TCP(HTTP/1.1) hi.bi.h####.cn:80
- TCP(HTTP/1.1) idu####.qini####.com:80
- TCP(HTTP/1.1) a####.m.ta####.com:80
- TCP(HTTP/1.1) api.me####.cc:80
- TCP(TLS/1.0) ssl.gst####.com:443
- TCP(TLS/1.0) c####.im.ta####.com:443
- TCP(TLS/1.0) ti####.c####.l####.####.com:443
- TCP(TLS/1.0) api####.zhu####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) na61-####.wagbr####.ali####.####.com:443
Запросы DNS:
- a####.m.ta####.com
- ap####.me####.cc
- api####.zhu####.com
- api.me####.cc
- c####.im.ta####.com
- hi.bi.h####.cn
- i####.ww.ta####.com
- im####.mei####.net
- jd.od.jos####.cn
- s####.mei####.net
- s1.c.mei####.net
- s1.st.mei####.net
- ssl.gst####.com
- st####.mei####.net
- to####.me####.cc
- www.go####.com
- www.gst####.com
Запросы HTTP GET:
- hi.bi.h####.cn/sd/ggsc?appid=####
- idu####.qini####.com/adm/additive/2016-03-25/56f4eede1ea0a.png
- idu####.qini####.com/adm/additive/2016-03-25/56f4ef9eb4617.jpg
- idu####.qini####.com/adm/additive/2016-04-12/570c91a079057.jpg
- idu####.qini####.com/adm/additive/2016-04-15/571092e7534aa.jpg
- idu####.qini####.com/app/open/jiuyang0914_750x1336.jpg
- idu####.qini####.com/data/upload/shop/store/goods/139/139_05422116940382...
- idu####.qini####.com/data/upload/shop/store/goods/197/197_05560427132405...
- idu####.qini####.com/shop/uploadfile/20161008/20161008123459.jpg
- jd.od.jos####.####.net/offer/20180118/201801181609524.png
- jd.od.jos####.####.net/offer/20181024/201810241644966.apk
- jd.od.jos####.####.net/offer/20181204/201812041054759.png
- jd.od.jos####.####.net/offer/20190115/201901151105265.png
- jd.od.jos####.####.net/offer/20190115/201901151110667.png
- st####.mei####.net/wap6/images/v6/kuaishoucainew.png
- st####.mei####.net/wap6/images/v6/paihangbangnew.png
- st####.mei####.net/wap6/images/v6/quanbunew.png
- st####.mei####.net/wap6/images/v6/shipincaipunew.png
- st####.mei####.net/wap6/images/v6/zhinengzucainew.png
- tin####.c####.l####.####.com/p/20190319/1a8442fd4eedeb5575e11d0decb8af02...
- tin####.c####.l####.####.com/p/20190319/1ac9a250a35a23a81d63bb102f60d054...
- tin####.c####.l####.####.com/p/20190319/1d5c99a251710b728f497c463701a97a...
- tin####.c####.l####.####.com/p/20190319/22b0075c0c20f6843518ab9fee1c57f8...
- tin####.c####.l####.####.com/p/20190319/468661704313347971279ae442b9ba79...
- tin####.c####.l####.####.com/p/20190319/544d23c1c77f6de650bb4f7016cf442e...
- tin####.c####.l####.####.com/p/20190319/9cf6862a3c5de63026899122b236012e...
- tin####.c####.l####.####.com/p/20190319/a9592b9f73076cb70c6bcaf8e59a9f9b...
- tin####.c####.l####.####.com/p/20190319/b5b55b3d23168923e3444e7f19b903eb...
- tin####.c####.l####.####.com/p/20190319/b5df4b70077a2c5a9adcecbac2944000...
- tin####.c####.l####.####.com/p/20190319/d56bafbcd0a86cf0b3009d34fc8bab4b...
- tin####.c####.l####.####.com/p/20190319/e380e91475aacc4e89f8d97e4d7daec7...
Запросы HTTP POST:
- a####.m.ta####.com/rest/gc?dd=####&nsgs=####&ak=####&av=####&c=####&v=##...
- a####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=####&...
- ap####.me####.cc/android_version.php
- ap####.me####.cc/v5/packlist.php
- api.me####.cc/v5/index5.php?format=####
- api.me####.cc/v5/index_activity_icons.php?format=####
- api.me####.cc/v5/msg_num.php
- api.me####.cc/v5/show.php
- hi.bi.h####.cn/3bcck
- hi.bi.h####.cn/9a3bl
- hi.bi.h####.cn/be/ggde
- hi.bi.h####.cn/be/hc1
- hi.bi.h####.cn/be/jbc
- hi.bi.h####.cn/be/kbc
- hi.bi.h####.cn/be/leb
- hi.bi.h####.cn/be/n15
- hi.bi.h####.cn/be/z51
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-151507063-636408437
- /data/data/####/-158079558437409165
- /data/data/####/-176002274378823395
- /data/data/####/10d4aa45ca19.xml
- /data/data/####/1553090947967b.jar
- /data/data/####/544524051-408777501
- /data/data/####/90721ae85a9b.xml
- /data/data/####/Alvin2.xml
- /data/data/####/AppStore.xml
- /data/data/####/ContextData.xml
- /data/data/####/FlagDbFileWriteOK.xml
- /data/data/####/UTCommon.xml
- /data/data/####/UTMCConf1504771268.xml
- /data/data/####/UTMCConf280026300.xml
- /data/data/####/UTMCLog1504771268.xml
- /data/data/####/UTMCLog280026300.xml
- /data/data/####/_i280026300.xml
- /data/data/####/_w280026300.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.tiantian.zuodachu4cfc5d6000164932a167e1f5e32f59bf.xml
- /data/data/####/com.tiantian.zuodachu;remote4cfc5d6000164932a16...bf.xml
- /data/data/####/com.zmx.jar
- /data/data/####/config.xml
- /data/data/####/d27424dd8818.xml
- /data/data/####/data_package.xml
- /data/data/####/data_package_dvs.xml
- /data/data/####/data_package_md5.xml
- /data/data/####/data_package_name_map.xml
- /data/data/####/dcd2e90b52bd.xml
- /data/data/####/meishi-journal
- /data/data/####/meishij8.db
- /data/data/####/mobclick_agent_cached_com.tiantian.zuodachu100
- /data/data/####/privatemessage.xml
- /data/data/####/sp.lock
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_message_state.xml
- /data/data/####/umeng_socialize_qq.xml
- /data/data/####/ums_agent_online_setting_com.tiantian.zuodachu.xml
- /data/data/####/webview.db-journal
- /data/data/####/ywPrefsTools.xml
- /data/data/####/zhuge
- /data/data/####/zhuge-journal
- /data/media/####/-1014858320.tmp
- /data/media/####/-1093838259.tmp
- /data/media/####/-1251533947.tmp
- /data/media/####/-1442989503.tmp
- /data/media/####/-1836497179.tmp
- /data/media/####/-1878338417.tmp
- /data/media/####/-2012804826.tmp
- /data/media/####/-418699790.tmp
- /data/media/####/-569477589.tmp
- /data/media/####/-832732371.tmp
- /data/media/####/.nomedia
- /data/media/####/00aea2b60d
- /data/media/####/1027022162.tmp
- /data/media/####/1153240073.tmp
- /data/media/####/1407038696.tmp
- /data/media/####/1594982919.tmp
- /data/media/####/1622246414.tmp
- /data/media/####/1784346204.tmp
- /data/media/####/1792104229.tmp
- /data/media/####/1830565.tmp
- /data/media/####/1880052621.tmp
- /data/media/####/1885901676.tmp
- /data/media/####/297376601.tmp
- /data/media/####/342286541.tmp
- /data/media/####/35788103.tmp
- /data/media/####/410b476d30
- /data/media/####/45624873.tmp
- /data/media/####/485391906.tmp
- /data/media/####/543158934.tmp
- /data/media/####/684074902.tmp
- /data/media/####/6c709c11d2d46a7b
- /data/media/####/738740158.tmp
- /data/media/####/769651857.tmp
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/a0e45b6285
- /data/media/####/dd7893586a493dc3
- /data/media/####/f2d809dd6e
- /data/media/####/jiuyang0914_750x1336
- /data/media/####/mfz.d
Другие:
Запускает следующие shell-скрипты:
- cat /proc/cpuinfo | grep Serial
- chmod 777 /storage/emulated/0/download/49a3bcc85261//e483af2f41f3ca85d8bff7723969072f.tmp
- ls -l /system/xbin/su
Загружает динамические библиотеки:
- ijkffmpeg
- ijkplayer
- ijksdl
- securitysdk-3.1
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Получает информацию о привязанных к устройству аккаунтах (Google, Facebook и т. д.).
Отрисовывает собственные окна поверх других приложений.
