Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Dowgin.14.origin
Предлагает установить сторонние приложения.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ip.ta####.com:80
- TCP(HTTP/1.1) googl####.g.doublec####.net:80
- TCP(HTTP/1.1) cd.md.c####.####.net:80
- TCP(HTTP/1.1) ci.hi.c####.####.cn:80
- TCP(HTTP/1.1) ma####.d####.net:80
- TCP(TLS/1.0) ssl.gst####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) googl####.g.doublec####.net:443
Запросы DNS:
- a####.a####.ad.####.net
- cd.md.c####.cn
- ci.hi.c####.####.cn
- googl####.g.doublec####.net
- ip.ta####.com
- ma####.d####.net
- ssl.gst####.com
- www.go####.com
- www.gst####.com
Запросы HTTP GET:
- cd.md.c####.####.net/
- cd.md.c####.####.net/offer/20190403/201904031138116.apk
- cd.md.c####.####.net/offer/20190403/201904031138952.png
- cd.md.c####.####.net/offer/20190403/201904031407486.png
- cd.md.c####.####.net/offer/20190522/201905221647632.jpg
- cd.md.c####.####.net/offer/20190529/2019052991547.jpg
- googl####.g.doublec####.net/mads/static/mad/sdk/native/sdk-core-v40-load...
- googl####.g.doublec####.net/mads/static/mad/sdk/native/sdk-core-v40.html
- ip.ta####.com/service/getIpInfo.php?ip=####
Запросы HTTP POST:
- ci.hi.c####.####.cn/F/zUE/p/h2e
- ci.hi.c####.####.cn/GCK/e/g03
- ci.hi.c####.####.cn/IM/Yf/k62
- ci.hi.c####.####.cn/O/o/Q/vec
- ci.hi.c####.####.cn/R/zc1
- ci.hi.c####.####.cn/a/mJ/l36
- ci.hi.c####.####.cn/i/xc1
- ci.hi.c####.####.cn/iMh/P/j62
- ci.hi.c####.####.cn/q/An/lw/nec
- ma####.d####.net/magpie/opencounter/Open.do
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.init.tmp
- /data/data/####/1310778z.jar
- /data/data/####/37e19b502.xml
- /data/data/####/6bb7e3.xml
- /data/data/####/74e39da.xml
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/MOBILE_REPORT_LIBRARY_INSTALLATION
- /data/data/####/a4276.xml
- /data/data/####/ads652269963.jar
- /data/data/####/com.android.app.cache.bak
- /data/data/####/com.sdkfoad.gongxhuzf.xiehguia.xml
- /data/data/####/d8918.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/http_googleads.g.doubleclick.net_0.localstorage-journal
- /data/data/####/index
- /data/data/####/sp_hotpatch.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.nomedia
- /data/media/####/241b20d
- /data/media/####/418d3be
- /data/media/####/8fbec85d084f84a32336fbbd8852c38e.tmp
- /data/media/####/950f1ca
- /data/media/####/PatchLog_1321.txt
- /data/media/####/e79c306
- /data/media/####/mfz.d
Другие:
Запускает следующие shell-скрипты:
- chmod 777 /storage/emulated/0/download/974ef//8fbec85d084f84a32336fbbd8852c38e.tmp
- dumpsys meminfo 2311
Использует следующие алгоритмы для шифрования данных:
- DES
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Получает информацию о привязанных к устройству аккаунтах (Google, Facebook и т. д.).
Отрисовывает собственные окна поверх других приложений.
