Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Dowgin.14.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) statson####.pu####.b####.com:80
- TCP(HTTP/1.1) hi.fi.ah####.com:80
- TCP(HTTP/1.1) st####.afant####.com:80
- TCP(HTTP/1.1) api.tui####.b####.com:80
- TCP(HTTP/1.1) api.afant####.com:80
- TCP(HTTP/1.1) afanti-####.af####.com:80
- TCP(HTTP/1.1) cd.md.c####.####.net:80
- TCP(HTTP/1.1) s####.afant####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP sa.tui####.b####.com:5287
Запросы DNS:
- afanti-####.af####.com
- api.afant####.com
- api.tui####.b####.com
- cd.md.c####.cn
- hi.fi.ah####.com
- loc.map.b####.com
- s####.afant####.com
- sa.tui####.b####.com
- st####.afant####.com
- statson####.pu####.b####.com
- www.b####.com
Запросы HTTP GET:
- afanti-####.af####.com/data/image/default/update_default_heaview.png
- api.afant####.com/image_search/get_update_info2/a/2.0.1021/343/
- api.afant####.com/latest_activity/show_activity_html/?activity=####
- api.afant####.com/static/dist/common/js/adapt_mobile.min.js
- api.afant####.com/static/dist/common/js/locate_browser.min.js
- api.afant####.com/white_board/red_packet_activity/?platform=####&version...
- cd.md.c####.####.net/offer/20181204/201812041054103.png
- cd.md.c####.####.net/offer/20181204/201812041054366.apk
- cd.md.c####.####.net/offer/20181204/201812041054759.png
- hi.fi.ah####.com/z1
- st####.afant####.com/static/images/white_board_intro/background.png
- st####.afant####.com/static/images/white_board_intro/clickdown.png
- st####.afant####.com/static/images/white_board_intro/clickup.png
- st####.afant####.com/static/images/white_board_intro/prevue.png
Запросы HTTP POST:
- api.afant####.com/get_global_param/
- api.afant####.com/image_search/get_message/
- api.afant####.com/latest_activity/get_latest_activity/
- api.afant####.com/today_i_am_alive/
- api.afant####.com/update_user_push_info/
- api.afant####.com/white_board/wb_video_intro/
- api.tui####.b####.com/rest/2.0/channel/4498680748162647006
- api.tui####.b####.com/rest/2.0/channel/channel
- hi.fi.ah####.com/61abc2/he6
- hi.fi.ah####.com/61abc2/jee
- hi.fi.ah####.com/61abc2/kee
- hi.fi.ah####.com/61abc2/l8e
- hi.fi.ah####.com/61abc2/n61
- loc.map.b####.com/sdk.php
- s####.afant####.com/submit_statistic_file/
- statson####.pu####.b####.com/pushlog_special
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-6519542342013382
- /data/data/####/-779735862-1572995289
- /data/data/####/0d85c.xml
- /data/data/####/1453360895-1812437736
- /data/data/####/2516227c.jar
- /data/data/####/3668312561622916084
- /data/data/####/443090648-2088716225
- /data/data/####/605207285-1435729274
- /data/data/####/CONFIG_SP_ACCOUNT.xml
- /data/data/####/CONFIG_SP_PERSONALITY.xml
- /data/data/####/FIRST_PREFERENCES_2_0_0.xml
- /data/data/####/FIRST_PREFERENCES_2_0_0.xml (deleted)
- /data/data/####/LEJENT_ANALYTICS1.xml
- /data/data/####/SP_PUSH.xml
- /data/data/####/analytics.xml
- /data/data/####/analytics_array.xml
- /data/data/####/bindcache.xml
- /data/data/####/com.fanti.paipai.push_sync.xml
- /data/data/####/com.fanti.paipai.self_push_sync.xml
- /data/data/####/com.fanti.paipai_preferences.xml
- /data/data/####/d128e.xml
- /data/data/####/d49cf73c2.xml
- /data/data/####/da7adeb.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/download_sp.xml
- /data/data/####/error.gzip
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/firll.dat
- /data/data/####/index
- /data/data/####/pst.xml
- /data/data/####/pushstat_4.6.2.db
- /data/data/####/pushstat_4.6.2.db-journal
- /data/data/####/video_storage
- /data/data/####/video_storage-journal
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.cuid
- /data/media/####/.nomedia
- /data/media/####/15099fbb7f572200f2c89a95ceb28b3d.tmp
- /data/media/####/2w924bjyq7ldznd1b5psy5p260.tmp
- /data/media/####/367b372
- /data/media/####/apps
- /data/media/####/c3bd44de2a1c40e56d3a046299b65cee_beach_dld
- /data/media/####/conlts.dat
- /data/media/####/fc000b6
- /data/media/####/installation
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/mfz.d
- /data/media/####/yoh.dat
- /data/media/####/yol.dat
- /data/media/####/yom.dat
Другие:
Запускает следующие shell-скрипты:
- chmod 777 /storage/emulated/0/download/12fdb46//15099fbb7f572200f2c89a95ceb28b3d.tmp
Загружает динамические библиотеки:
- bdpush_V2_5
- locSDK4d
- uninstall-jni
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
- RSA-ECB-PKCS1Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
