Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Dowgin.14.origin
- Adware.Dowgin.3.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) www.gst####.com:80
- TCP(HTTP/1.1) jd.od.jos####.####.net:80
- TCP(HTTP/1.1) ji.oi.jos####.cn:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(TLS/1.0) ssl.gst####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) api.openf####.com:443
Запросы DNS:
- a.appj####.com
- api.openf####.com
- jd.od.jos####.cn
- ji.oi.jos####.cn
- ssl.gst####.com
- www.go####.com
- www.gst####.com
Запросы HTTP GET:
- jd.od.jos####.####.net/offer/20181204/201812041054759.png
- jd.od.jos####.####.net/offer/20190304/201903041753944.png
- jd.od.jos####.####.net/offer/20190304/201903041818738.png
- jd.od.jos####.####.net/offer/20190403/201904031138116.apk
- jd.od.jos####.####.net/offer/20190403/201904031407486.png
- jd.od.jos####.####.net/offer/20190409/201904091105770.jpg
- ji.oi.jos####.cn/is/init.jsp?appid=####
- www.gst####.com/afma/sdk-core-v40.js
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
- ji.oi.jos####.cn//9871k
- ji.oi.jos####.cn//9871l
- ji.oi.jos####.cn/5684/ba4dd/e4d
- ji.oi.jos####.cn/5684/ba4dd/p56
- ji.oi.jos####.cn/5684/ba4dd/qba
- ji.oi.jos####.cn/5684/ba4dd/r4d
- ji.oi.jos####.cn/5684/ba4dd/s56
- ji.oi.jos####.cn/5684/ba4dd/tdd
- ji.oi.jos####.cn/5684/ba4dd/ud5
- ji.oi.jos####.cn/5684/ba4dd/wa4
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/7cdfbfa3.xml
- /data/data/####/82178a91.xml
- /data/data/####/87796e54.db
- /data/data/####/87796e54.db-journal
- /data/data/####/Ezjoy-JewelsLink-Coin-journal
- /data/data/####/Ezjoy-JewelsLink-Data-journal
- /data/data/####/_i1481782315.xml
- /data/data/####/_w1481782315.xml
- /data/data/####/a659afc9.xml
- /data/data/####/c8210005.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/cn.jzmdl.jar
- /data/data/####/com.ivar.bxzzsf.jar
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/index
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/libjiagu.so
- /data/data/####/mobclick_agent_cached_com.magicmofa.colorfulpaopao
- /data/data/####/mobclick_agent_cached_com.magicmofa.colorfulpaopao21
- /data/data/####/mobclick_agent_header_com.magicmofa.colorfulpaopao.xml
- /data/data/####/mobclick_agent_state_com.magicmofa.colorfulpaopao.xml
- /data/data/####/of_prefs
- /data/data/####/umeng_general_config.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.nomedia
- /data/media/####/14a93e0ce2259
- /data/media/####/2e5137fd669ee586d1e5fb6a88368241.tmp
- /data/media/####/50bd33b5dd179
- /data/media/####/96c3b4155b0ec
- /data/media/####/ba0e45b62852a
- /data/media/####/f703d7f2de5ce
- /data/media/####/manifest.db
- /data/media/####/manifest.db-journal
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/files/libjiagu.so
- chmod 777 /storage/emulated/0/download/e0e238ff//2e5137fd669ee586d1e5fb6a88368241.tmp
- logcat -d -v raw -s AndroidRuntime:E -p <Package>
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- DES
- PBEWithSHA256And256BitAES-CBC-BC
Использует следующие алгоритмы для расшифровки данных:
- DES
- PBEWithSHA256And256BitAES-CBC-BC
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
