Adware.Dowgin.4586

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Dowgin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) trac####.m####.com:80
TCP(HTTP/1.1) sdkco####.ad.xi####.com:80
TCP(HTTP/1.1) f.ma####.mi####.####.com:80
TCP(HTTP/1.1) zi.si.07####.cn:80
TCP(TLS/1.0) d####.fl####.com:443
TCP(TLS/1.0) sdkco####.ad.i####.####.com:443
TCP(TLS/1.0) 1####.217.20.78:443

Запросы DNS:

cf.gdata####.net
d####.fl####.com
f5.ma####.mi####.com
sdkco####.ad.i####.####.com
sdkco####.ad.xi####.com
trac####.m####.com
zi.si.07####.cn

Запросы HTTP GET:

f.ma####.mi####.####.com/download/AdCenter/0af9955fef95e4c591512dc702a9f...
sdkco####.ad.xi####.com/api/checkupdate/lastusefulversion?currentApiVers...
sdkco####.ad.xi####.com/api/detail/2b0cbd7f501c24eb7f32cf26c8c48e9e?ts=#...
sdkco####.ad.xi####.com/api/detail/54db829f09424caad69f7fb9350fa48d?ts=#...
sdkco####.ad.xi####.com/api/detail/a194a0a7214f6cbda0672045c51505d1?ts=#...

Запросы HTTP POST:

trac####.m####.com/track/v1
zi.si.07####.cn/oreherif/635e/p2f
zi.si.07####.cn/oreherif/635e/q2f

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.YFlurrySenderIndex.info.AnalyticsData_B625S77B...T9_195
/data/data/####/.YFlurrySenderIndex.info.AnalyticsMain
/data/data/####/.md5
/data/data/####/.sec_version
/data/data/####/.yflurrydatasenderblock.0035edb2-c79e-41ca-8b45...3bb062
/data/data/####/.yflurrydatasenderblock.1120a2fb-a61e-4657-9e98...96556a
/data/data/####/.yflurrydatasenderblock.16bc108d-9240-43d4-9ea6...675459
/data/data/####/.yflurrydatasenderblock.2e1f03af-c0c9-478c-8a2c...514d3e
/data/data/####/.yflurrydatasenderblock.3ea9e90c-7027-47d2-ad0c...165f54
/data/data/####/.yflurrydatasenderblock.47f7b6f3-ff98-4f73-a395...626904
/data/data/####/.yflurrydatasenderblock.4e9f5846-502f-4d11-97cc...091a81
/data/data/####/.yflurrydatasenderblock.6cdc4ee9-efab-43cf-b650...3387b4
/data/data/####/.yflurrydatasenderblock.7ba6cf68-25b6-47c3-a547...8d45bb
/data/data/####/.yflurrydatasenderblock.8c56bbcf-b1cd-4ea7-9a16...b8cf1a
/data/data/####/.yflurrydatasenderblock.9d0d67ea-8187-4232-91b7...52e2a9
/data/data/####/.yflurrydatasenderblock.a336be01-d447-4162-ad82...7a09d9
/data/data/####/.yflurrydatasenderblock.d0600689-04eb-4bca-ae11...6d0a63
/data/data/####/.yflurrydatasenderblock.e44488dd-0649-4519-abb4...555544
/data/data/####/.yflurrydatasenderblock.eefea359-44a1-422c-86f2...ea3122
/data/data/####/.yflurryreport.122e825ed5c640af
/data/data/####/FLURRY_SHARED_PREFERENCES.xml
/data/data/####/ReporterService.xml
/data/data/####/_msfirehero_r.xml
/data/data/####/analytics.apk.tmp
/data/data/####/analytics.db
/data/data/####/analytics.db-journal
/data/data/####/analytics.dex
/data/data/####/analytics_asset.apk
/data/data/####/analytics_asset.dex
/data/data/####/analyticsv2.db
/data/data/####/analyticsv2.db-journal
/data/data/####/classes.dex
/data/data/####/classes.jar
/data/data/####/co.xml
/data/data/####/com.dajiadou.buxihuan.heigui.dex (deleted)
/data/data/####/com.dajiadou.buxihuan.heigui.jar
/data/data/####/com.kitty.firehero
/data/data/####/com.kitty.firehero.art
/data/data/####/com.kitty.firehero.art.20
/data/data/####/dc.620BB6262402E5BED642B631535FCA81.preferences.xml
/data/data/####/heartbeat.xml
/data/data/####/init_config.xml
/data/data/####/libanalytics.so
/data/data/####/libsecexe.x86.so
/data/data/####/libsecmain.x86.so
/data/data/####/libsecpreload.x86.so
/data/data/####/policy.cache
/data/data/####/requests.db
/data/data/####/requests.db-journal
/data/data/####/sharedPre_flurry.xml
/data/data/####/updater.xml
/data/data/####/webview.db
/data/data/####/webview.db-journal
/data/media/####/oid
/data/media/####/uid

Другие:

Запускает следующие shell-скрипты:

/system/bin/sh
<Package> <Package> -1836479720 0 /data/app/<Package>-1.apk 41 <Package> 43 44 1 0
<Package> <Package> -1836479720 0 /data/app/<Package>-1.apk 41 <Package> 46 47 1 0
<Package> <Package> -1836479720 0 /data/app/<Package>-1.apk 41 <Package> 52 53 1 0
chmod 755 <Package Folder>/.cache/<Package>
chmod 755 <Package Folder>/.cache/<Package>.art
chmod 755 <Package Folder>/.cache/<Package>.art.20
getprop ro.product.cpu.abi
ls -l /sbin/su
ls -l /system/bin/su
ls -l /system/sbin/su
ls -l /system/xbin/su
ls -l /vendor/bin/su