Adware.Dowgin.4571

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Dowgin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ci.tv.c####.cn:80
TCP(HTTP/1.1) cd.md.c####.####.net:80
TCP(HTTP/1.1) www.go####.com:80
TCP(TLS/1.0) l####.chartb####.com:443
TCP(TLS/1.0) 1####.217.168.238:443
TCP(TLS/1.0) googl####.g.doublec####.net:443

Запросы DNS:

cd.md.c####.cn
ci.tv.c####.cn
googl####.g.doublec####.net
l####.chartb####.com
mt####.go####.com
www.go####.com

Запросы HTTP GET:

cd.md.c####.####.net/offer/20190403/201904031407486.png
www.go####.com/complete/search?hl=####&client=####&q=####

Запросы HTTP POST:

ci.tv.c####.cn/aelttil/9042/ebf
ci.tv.c####.cn/aelttil/9042/pbf
ci.tv.c####.cn/aelttil/9042/qbf
ci.tv.c####.cn/aelttil/9042/tbf
ci.tv.c####.cn/aelttil/9042/wbf

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/ApplicationCache.db-journal
/data/data/####/_mhlittleaqs.xml
/data/data/####/_mslittlea_r.xml
/data/data/####/ads-117291021.dex
/data/data/####/ads-117291021.jar
/data/data/####/ads-1251858812.dex
/data/data/####/ads-1251858812.jar
/data/data/####/ads-188573283.dex
/data/data/####/ads-188573283.jar
/data/data/####/ads-1983018981.dex
/data/data/####/ads-1983018981.jar
/data/data/####/ads-2140828937.dex
/data/data/####/ads-2140828937.jar
/data/data/####/ads-827997209.dex
/data/data/####/ads-827997209.jar
/data/data/####/ads1655818574.dex
/data/data/####/ads1655818574.jar
/data/data/####/ads1784214999.dex
/data/data/####/ads1784214999.jar
/data/data/####/ads1984985062.dex
/data/data/####/ads1984985062.jar
/data/data/####/ads2043575691.dex
/data/data/####/ads2043575691.jar
/data/data/####/ads501988236.jar
/data/data/####/ads527234416.dex
/data/data/####/ads527234416.jar
/data/data/####/ads692333111.jar
/data/data/####/cbPrefs.xml
/data/data/####/cb_previous_session_info
/data/data/####/com.google.android.gms.analytics.prefs.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/ezqj.coj.is.oe.dex (deleted)
/data/data/####/ezqj.coj.is.oe.jar
/data/data/####/f_000001
/data/data/####/f_000002
/data/data/####/gaClientId
/data/data/####/google_analytics_v4.db
/data/data/####/google_analytics_v4.db-journal
/data/data/####/https_googleads.g.doubleclick.net_0.localstorage-journal
/data/data/####/index
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/media/####/.nomedia
/data/media/####/8950f1cae1554
/data/media/####/com.sheepdog.littlea.p
/data/media/####/pr.p

Другие:

Запускает следующие shell-скрипты:

/system/bin/app_process /system/bin ezqj.coj.is.oe.pjyz 2358 <Package>
/system/bin/app_process /system/bin ezqj.coj.is.oe.pjyz 2462 <Package>
/system/bin/app_process /system/bin ezqj.coj.is.oe.pjyz 2603 <Package>
/system/bin/app_process /system/bin ezqj.coj.is.oe.pjyz 2702 <Package>
/system/bin/app_process /system/bin ezqj.coj.is.oe.pjyz 2791 <Package>
/system/bin/app_process /system/bin ezqj.coj.is.oe.pjyz 2902 <Package>
/system/bin/app_process /system/bin ezqj.coj.is.oe.pjyz 3000 <Package>
/system/bin/app_process /system/bin ezqj.coj.is.oe.pjyz 3101 <Package>
/system/bin/app_process /system/bin ezqj.coj.is.oe.pjyz 3202 <Package>
/system/bin/app_process /system/bin ezqj.coj.is.oe.pjyz 3307 <Package>
/system/bin/app_process /system/bin ezqj.coj.is.oe.pjyz 3395 <Package>
/system/bin/app_process /system/bin ezqj.coj.is.oe.pjyz 3494 <Package>
am startservice --user 0 -n <Package>/ezqj.coj.is.oe.mlq
app_process /system/bin com.android.commands.am.Am startservice --user 0 -n <Package>/ezqj.coj.is.oe.mlq
com.google.mservice