Adware.Dowgin.4667

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Dowgin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ni.ei.ne####.cn:80
TCP(HTTP/1.1) a.appj####.com:80
TCP(HTTP/1.1) ser####.j####.360.cn:80
TCP(HTTP/1.1) cd.md.c####.####.net:80

Запросы DNS:

a.appj####.com
cd.md.c####.cn
ni.ei.ne####.cn
ser####.j####.360.cn

Запросы HTTP GET:

cd.md.c####.####.net/offer/20171206/201712061752304.png
cd.md.c####.####.net/offer/20181109/201811091511627.apk
cd.md.c####.####.net/offer/20181204/201812041054759.png
cd.md.c####.####.net/offer/20190403/201904031138116.apk
cd.md.c####.####.net/offer/20190403/201904031407486.png

Запросы HTTP POST:

a.appj####.com/ad-service/ad/mark
ni.ei.ne####.cn/oaimoas/aa2f/e70
ni.ei.ne####.cn/oaimoas/aa2f/p70
ni.ei.ne####.cn/oaimoas/aa2f/q70
ni.ei.ne####.cn/oaimoas/aa2f/r70
ni.ei.ne####.cn/oaimoas/aa2f/s70
ni.ei.ne####.cn/oaimoas/aa2f/t70
ni.ei.ne####.cn/oaimoas/aa2f/u70
ni.ei.ne####.cn/oaimoas/aa2f/w70
ser####.j####.360.cn/jiagu/check/upgrade

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/_mhsaomiaoqs.xml
/data/data/####/_mjtsaomiaop.xml
/data/data/####/_mssaomiao_r.xml
/data/data/####/anti.pbj.qr.jar
/data/data/####/etouch.db-journal
/data/data/####/etouch.xml
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/libjiagu.so
/data/data/####/mobclick_agent_cached_com.qr.fast.saomiao
/data/data/####/mobclick_agent_header_com.qr.fast.saomiao.xml
/data/data/####/mobclick_agent_state_com.qr.fast.saomiao.xml
/data/data/####/mySP.xml
/data/data/####/zscom.db
/data/data/####/zscom.db-journal
/data/media/####/6cf6a2abf10879c08285a274e72327e1.tmp
/data/media/####/7fc000b614430
/data/media/####/8950f1cae1554
/data/media/####/8fbec85d084f84a32336fbbd8852c38e.tmp
/data/media/####/anxindakuaidi_s.png
/data/media/####/b076ac23900b2
/data/media/####/chuanxi.png
/data/media/####/com.qr.fast.saomiao.p
/data/media/####/datianwuliu_s.png
/data/media/####/debangwuliu_s.png
/data/media/####/dhl_s.png
/data/media/####/ems_s.png
/data/media/####/etouch_express.db
/data/media/####/etouch_express.db-journal
/data/media/####/fedex_s.png
/data/media/####/feikangda_s.png
/data/media/####/ganzhongnengda_s.png
/data/media/####/gongsuda_s.png
/data/media/####/guotong.png
/data/media/####/huayu.png
/data/media/####/huitongkuaidi_s.png
/data/media/####/jiajiwuliu_s.png
/data/media/####/jiayiwuliu_s.png
/data/media/####/kuaijiesudi_s.png
/data/media/####/lianhaowuliu_s.png
/data/media/####/longbanwuliu_s.png
/data/media/####/pr.p
/data/media/####/quanfeng_s.png
/data/media/####/quanritongkuaidi_s.png
/data/media/####/quanyikuaidi_s.png
/data/media/####/rufengda_s.png
/data/media/####/shentong_s.png
/data/media/####/shunfeng_s.png
/data/media/####/suer_s.png
/data/media/####/tiantian_s.png
/data/media/####/tnt_s.png
/data/media/####/ups_s.png
/data/media/####/usps_s.png
/data/media/####/xinbangwuliu_s.png
/data/media/####/yousuwuliu_s.png
/data/media/####/youzheng_s.png
/data/media/####/yuantong_s.png
/data/media/####/yunda_s.png
/data/media/####/zhaijisong_s.png
/data/media/####/zhongtiewuliu_s.png
/data/media/####/zhongtong_s.png
/data/media/####/zhongyouwuliu_s.png

Другие:

Запускает следующие shell-скрипты:

/system/bin/app_process /system/bin anti.pbj.qr.zxqd 2308 <Package>
chmod 755 <Package Folder>/files/libjiagu.so
chmod 777 /storage/emulated/0/download/omqr//6cf6a2abf10879c08285a274e72327e1.tmp
chmod 777 /storage/emulated/0/download/omqr//8fbec85d084f84a32336fbbd8852c38e.tmp

Загружает динамические библиотеки: