Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Dowgin.14.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) hi.bi.hb####.cn:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) ipv6-wi####.appl####.com.####.net:80
- TCP(HTTP/1.1) applovi####.edg####.net:80
- TCP(HTTP/1.1) ai.io.wo####.net:80
- TCP(HTTP/1.1) pl####.ghz####.com:80
- TCP(TLS/1.0) backfli####.app####.com:443
- TCP(TLS/1.0) api.face####.com:443
- TCP(TLS/1.0) mani####.localy####.com:443
- TCP(TLS/1.0) d####.fl####.com:443
- TCP(TLS/1.0) pu####.g.doublec####.net:443
- TCP(TLS/1.0) analy####.localy####.com:443
- TCP(TLS/1.0) sdk.hocke####.net:443
- TCP(TLS/1.0) con####.koc####.com:443
- TCP(TLS/1.0) 1####.217.20.78:443
Запросы DNS:
- a####.u####.com
- a.appl####.com
- ai.io.wo####.net
- analy####.localy####.com
- as####.appl####.com
- backfli####.app####.com
- con####.koc####.com
- d####.fl####.com
- d.appl####.com
- g####.face####.com
- hi.bi.hb####.cn
- img.appl####.com
- mani####.localy####.com
- pdn.appl####.com
- pl####.ghz####.com
- pu####.g.doublec####.net
- r####.appl####.com
- rt.appl####.com
- sdk.hocke####.net
- ui.ki.u####.cn
Запросы HTTP GET:
- applovi####.edg####.net/2.0/ad?v1=####&model=####&dx=####&dy=####&accept...
- applovi####.edg####.net/2.0/ad?v1=####&model=####&etf=####&dx=####&dy=##...
- applovi####.edg####.net/jquery-2.1.1.min.js
- applovi####.edg####.net/nad?v1=####&model=####&dx=####&dy=####&accept=##...
- applovi####.edg####.net/o8adb692/509246575b8b61c744d51b458b868f24c1efbdd...
- applovi####.edg####.net/o8adb692/9993631aba89f6835b40184ed1daaded919f193...
- applovi####.edg####.net/o997dd6e/13ba5aa30953c79b6358637cfbd483887f2d0b0...
- applovi####.edg####.net/oaf48081/8bfa04bcd42c95e138790cb9880cfe44352d7eb...
- applovi####.edg####.net/oc1c9479/853a64d972ced9dfe167650600e9c71bd6b7e08...
- applovi####.edg####.net/playable/CashInc_CTAUpdate_p_01_Trump.js
- applovi####.edg####.net/playable/LuckyDay_V2_p_02_A.js
- applovi####.edg####.net/playable/RollingSky_V2_p_03.js
- applovi####.edg####.net/playable/c2_pathfind_02.min.js
- applovi####.edg####.net/playable/playable_close.png
- applovi####.edg####.net/playable/playable_fallback.png
- applovi####.edg####.net/playable/playable_loader.gif
- applovi####.edg####.net/sound_off.png
- applovi####.edg####.net/sound_on.png
- hi.bi.hb####.cn/z
- ipv6-wi####.appl####.com.####.net/1380229154.js
- ipv6-wi####.appl####.com.####.net/1381250003_28x28.png
- ipv6-wi####.appl####.com.####.net/2.0/ad?v1=####&model=####&dx=####&dy=#...
- ipv6-wi####.appl####.com.####.net/2.0/ad?v1=####&model=####&etf=####&dx=...
- ipv6-wi####.appl####.com.####.net/closeOptOut.png
- ipv6-wi####.appl####.com.####.net/jquery-1.9.1.min.js
- ipv6-wi####.appl####.com.####.net/jquery.knob.js
- ipv6-wi####.appl####.com.####.net/nad?v1=####&model=####&dx=####&dy=####...
- pl####.ghz####.com/api/v1d1/control/getTimestamp
- pl####.ghz####.com/api/v1d2/control/so?game_id=####&platform=####&code=#...
Запросы HTTP POST:
- a####.u####.com/app_logs
- ai.io.wo####.net/062a/pmujni/damp
- applovi####.edg####.net/device?device_####
- applovi####.edg####.net/pix?event=####&ts=####&platform=####&model=####&...
- hi.bi.hb####.cn/tP/yRB/CVR/f669l
- ipv6-wi####.appl####.com.####.net/device?api_key=####
- ipv6-wi####.appl####.com.####.net/pix?event=####&ts=####&platform=####&m...
- pl####.ghz####.com/api/v1d1/stat/session
- pl####.ghz####.com/api/v1d1/stat/visit
- pl####.ghz####.com/api/v1d2/stat/app
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.YFlurrySenderIndex.info.AnalyticsData_GQVHCBAR...42_226
- /data/data/####/.YFlurrySenderIndex.info.AnalyticsMain
- /data/data/####/.imprint
- /data/data/####/.yflurrydatasenderblock.36d5d688-528e-41ed-8b37...42ccd7
- /data/data/####/.yflurrydatasenderblock.a16f6245-be7c-45c0-ac61...0cb284
- /data/data/####/.yflurrydatasenderblock.ae70f03c-2e6f-4beb-9a7f...c18286
- /data/data/####/.yflurrydatasenderblock.b90e1a90-db9a-4649-b722...b9267c
- /data/data/####/.yflurryreport.-6693f987cb2cc0f0
- /data/data/####/0af0eb84-1166-45a4-8b01-8906366e5aaa.stacktrace
- /data/data/####/1468357373244.dex
- /data/data/####/1468357373244.jar
- /data/data/####/1468357373244.tmp
- /data/data/####/3582b600-9e66-430f-8fa1-7953291f38d0.stacktrace
- /data/data/####/3819c.xml
- /data/data/####/3819c.xml.bak (deleted)
- /data/data/####/FLURRY_SHARED_PREFERENCES.xml
- /data/data/####/HockeySDK.xml
- /data/data/####/KochavaFeatureTracker
- /data/data/####/KochavaFeatureTracker-journal
- /data/data/####/_h7f66o.xml
- /data/data/####/_w-1390949995.xml
- /data/data/####/a6fc290c-157c-436f-bee0-da3f6a109d75.stacktrace
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.applovin.sdk.1.xml
- /data/data/####/com.applovin.sdk.1.xml.bak (deleted)
- /data/data/####/com.applovin.sdk.impl.postbackQueue.domain.xml
- /data/data/####/com.backflipstudios.android.engine.BFSEngineApp...FS.xml
- /data/data/####/com.backflipstudios.bf_notification.Notificatio...ournal
- /data/data/####/com.backflipstudios.bf_notification.NotificationManager
- /data/data/####/com.bfs.ninjump.jar
- /data/data/####/com.bfs.ninjump_preferences.xml
- /data/data/####/com.bfs.ninjumpz.jar
- /data/data/####/com.facebook.internal.preferences.APP_SETTINGS.xml
- /data/data/####/com.facebook.sdk.appEventPreferences.xml
- /data/data/####/com.facebook.sdk.attributionTracking.xml
- /data/data/####/com.localytics.android.9ca4a422acc7bf72c250ad85...ournal
- /data/data/####/com.playgame.unbtya.jar
- /data/data/####/data.tmp
- /data/data/####/data.xml
- /data/data/####/doubleclick_nonrepeatable_conversion.xml
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/google_conversion.xml
- /data/data/####/google_conversion_tracking.db-journal
- /data/data/####/initPrefs.xml
- /data/data/####/istalledappcache.tmp
- /data/data/####/libhack.so
- /data/data/####/libsubstrate.so
- /data/data/####/solist.txt
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/media/####/.nomedia
- /data/media/####/1380229154.js
- /data/media/####/1381250003_28x28.png
- /data/media/####/13ba5aa30953c79b6358637cfbd483887f2d0b08_v23_phone.mp4
- /data/media/####/853a64d972ced9dfe167650600e9c71bd6b7e085_v23_phone.mp4
- /data/media/####/8bfa04bcd42c95e138790cb9880cfe44352d7eba_v23_phone.mp4
- /data/media/####/9993631aba89f6835b40184ed1daaded919f1933_v23_phone.mp4
- /data/media/####/closeOptOut.png
- /data/media/####/jquery-1.9.1.min.js
- /data/media/####/jquery-2.1.1.min.js
- /data/media/####/jquery.knob.js
- /data/media/####/o8adb692_509246575b8b61c744d51b458b868f24c1efb...11.gif
- /data/media/####/playable_CashInc_CTAUpdate_p_01_Trump.js
- /data/media/####/playable_LuckyDay_V2_p_02_A.js
- /data/media/####/playable_RollingSky_V2_p_03.js
- /data/media/####/playable_c2_pathfind_02.min.js
- /data/media/####/playable_playable_close.png
- /data/media/####/playable_playable_fallback.png
- /data/media/####/playable_playable_loader.gif
- /data/media/####/sound_off.png
- /data/media/####/sound_on.png
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
Загружает динамические библиотеки:
- fmodex
- game
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES
Осуществляет доступ к приватному интерфейсу ITelephony.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
