Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Dowgin.14.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) stat####.face####.com:80
- TCP(HTTP/1.1) cd.md.c####.####.net:80
- TCP(HTTP/1.1) xi.ai.xa####.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) www.google-####.com:80
- TCP(HTTP/1.1) con####.face####.net:80
- TCP(HTTP/1.1) www.rusty####.com:80
- TCP(TLS/1.0) con####.face####.net:443
- TCP(TLS/1.0) stat####.face####.com:443
- TCP(TLS/1.0) www.face####.com:443
- TCP(TLS/1.0) scon####.xx.f####.net:443
Запросы DNS:
- a.appj####.com
- b####.rusty####.com
- cd.md.c####.cn
- con####.face####.net
- scon####.xx.f####.net
- stat####.face####.com
- www.face####.com
- www.google-####.com
- www.rusty####.com
- xi.ai.xa####.com
Запросы HTTP GET:
- cd.md.c####.####.net/offer/20171206/201712061752304.png
- cd.md.c####.####.net/offer/20171206/201712061752829.png
- cd.md.c####.####.net/offer/20180118/201801181609524.png
- cd.md.c####.####.net/offer/20181109/201811091511627.apk
- cd.md.c####.####.net/offer/20190115/201901151105265.png
- cd.md.c####.####.net/offer/20190403/201904031138952.png
- cd.md.c####.####.net/offer/20190403/201904031407486.png
- con####.face####.net/en_US/fbevents.js
- con####.face####.net/nl_NL/sdk.js
- stat####.face####.com/nl_NL/sdk.js
- www.google-####.com/analytics.js
- www.google-####.com/r/collect?v=####&_v=####&a=####&t=####&_s=####&dl=##...
- www.rusty####.com/
- www.rusty####.com//assets/css/bootstrap.css
- www.rusty####.com//assets/css/pushy.css
- www.rusty####.com//assets/css/style.css?v=####
- www.rusty####.com//assets/fancybox/jquery.fancybox.css?v=####
- www.rusty####.com//assets/fonts/Amatic-Bold.ttf
- www.rusty####.com//assets/fonts/AmaticSC-Regular.ttf
- www.rusty####.com//assets/fonts/FFDINProCond-Black.ttf
- www.rusty####.com//assets/fonts/FFDINProCond-Bold.ttf
- www.rusty####.com//assets/fonts/FFDINProCond-Regular.ttf
- www.rusty####.com//assets/fonts/abnzAghuaEBANRKU.ttf
- www.rusty####.com//assets/fonts/font-awesome/css/font-awesome.min.css
- www.rusty####.com//assets/fonts/font-awesome/fonts/fontawesome-webfont.t...
- www.rusty####.com//assets/header/index.html
- www.rusty####.com//assets/header/js/min.js
- www.rusty####.com//assets/img/arrow-newsletter.png
- www.rusty####.com//assets/img/bar-bg.png
- www.rusty####.com//assets/img/featured-bg2.png
- www.rusty####.com//assets/img/features-bottom.png
- www.rusty####.com//assets/img/graphic-top.png
- www.rusty####.com//assets/img/newsletter-bottom.png
- www.rusty####.com//assets/img/newsletter-top.png
- www.rusty####.com//assets/img/playarrow.png
- www.rusty####.com/assets//img/appstore.png
- www.rusty####.com/assets//img/googleplay.png
- www.rusty####.com/assets//img/itch.png
- www.rusty####.com/assets//img/steam.png
- www.rusty####.com/assets/fancybox/jquery.fancybox.pack.js?v=####
- www.rusty####.com/assets/img/apps.png
- www.rusty####.com/assets/img/appstore.png
- www.rusty####.com/assets/img/arles.png
- www.rusty####.com/assets/img/award.png
- www.rusty####.com/assets/img/birthday.png
- www.rusty####.com/assets/img/case23.png
- www.rusty####.com/assets/img/cave.png
- www.rusty####.com/assets/img/googleplay.png
- www.rusty####.com/assets/img/harveys.png
- www.rusty####.com/assets/img/hotel.png
- www.rusty####.com/assets/img/label.png
- www.rusty####.com/assets/img/logo.png
- www.rusty####.com/assets/img/merchandise.png
- www.rusty####.com/assets/img/paradise.png
- www.rusty####.com/assets/img/paradox.png
- www.rusty####.com/assets/img/press.png
- www.rusty####.com/assets/img/roots.png
- www.rusty####.com/assets/img/seasons.png
- www.rusty####.com/assets/img/the-lake.png
- www.rusty####.com/assets/img/theatre.png
- www.rusty####.com/assets/img/themill.png
- www.rusty####.com/assets/img/walkthroughs.png
- www.rusty####.com/assets/js/bootstrap.min.js
- www.rusty####.com/assets/js/custom.js
- www.rusty####.com/assets/js/jquery.js
- www.rusty####.com/assets/js/main.js
- www.rusty####.com/assets/js/pushy.min.js
- www.rusty####.com/cdn/games/a-knots-story-en.jpg
- www.rusty####.com/cdn/games/cube-escape-paradox-en.jpg
- www.rusty####.com/cdn/games/cube-escape-the-cave-en.jpg
- www.rusty####.com/cdn/games/cube-escape-theatre-en.jpg
- www.rusty####.com/cdn/games/escape-sequence-en.jpg
- www.rusty####.com/cdn/games/featured_80613-en.jpg
- www.rusty####.com/cdn/games/rusty-lake-paradise-en.jpg
- www.rusty####.com/cdn/games/rusty-lake-roots-en.jpg
- www.rusty####.com/favicon.ico
- www.rusty####.com/wp-content/uploads/2019/03/geocache-rustylake.jpg
- www.rusty####.com/wp-content/uploads/2019/03/youtube_plaatje-278x264.png
- xi.ai.xa####.com/t3
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
- xi.ai.xa####.com/0a76/h04
- xi.ai.xa####.com/0a76/j90
- xi.ai.xa####.com/0a76/k90
- xi.ai.xa####.com/0a76/l69
- xi.ai.xa####.com/0a76/n40
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/43354.xml
- /data/data/####/4a26b.xml
- /data/data/####/4aafa7f41.xml
- /data/data/####/9058138c.jar
- /data/data/####/CubeVanGogh.swf
- /data/data/####/RustyLakeSave4.sxx
- /data/data/####/analytics.sxx
- /data/data/####/application.xml
- /data/data/####/com.dhsjdu.rustlake.AIRSharedPref.xml
- /data/data/####/curl-ca-bundle.crt
- /data/data/####/d977dc4.xml
- /data/data/####/extension.xml
- /data/data/####/javaTrustStore.tmp
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/libjiagu.so
- /data/data/####/library.swf
- /data/data/####/webview.db-journal
- /data/media/####/.nomedia
- /data/media/####/076ac23
- /data/media/####/2acf101
- /data/media/####/418d3be
- /data/media/####/6cf6a2abf10879c08285a274e72327e1.tmp
- /data/media/####/950f1ca
- /data/media/####/b7bc1d3
- /data/media/####/d84e0ed
- /data/media/####/mfz.d
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- /system/bin/cat /proc/meminfo
- /system/bin/cat /sys/devices/system/cpu/present
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- chmod 777 /storage/emulated/0/download/f3edd02//6cf6a2abf10879c08285a274e72327e1.tmp
Загружает динамические библиотеки:
- libCore
- libjiagu
- libstlport_shared
Использует следующие алгоритмы для шифрования данных:
- DES
Использует следующие алгоритмы для расшифровки данных:
- DES
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
