Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Dowgin.15.origin
- Adware.Plague.1.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) api.vu####.com.####.net:80
- TCP(HTTP/1.1) 6####.com:80
- TCP(HTTP/1.1) ads.m####.com:80
- TCP(HTTP/1.1) www.tinyp####.net:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) diguoLo####.ap-nort####.elb.####.com:80
- TCP(HTTP/1.1) ci.hi.c####.####.cn:80
- TCP(TLS/1.0) googl####.g.doublec####.net:443
- TCP(TLS/1.0) a2.chartb####.com:443
- TCP(TLS/1.0) d####.fl####.com:443
- TCP(TLS/1.0) cdn.vu####.com.####.net:443
- TCP(TLS/1.0) a3.chartb####.com:443
- TCP(TLS/1.0) l####.chartb####.com:443
- TCP(TLS/1.0) t2.chartb####.com:443
- TCP(TLS/1.0) ssl.google-####.com:443
- TCP(TLS/1.0) v5.chartb####.com:443
Запросы DNS:
- 6####.com
- a.appj####.com
- a2.chartb####.com
- a3.chartb####.com
- ads.m####.com
- api.vu####.com
- cd####.vu####.com
- ci.hi.c####.####.cn
- d####.fl####.com
- diguoLo####.ap-nort####.elb.####.com
- googl####.g.doublec####.net
- l####.chartb####.com
- ssl.google-####.com
- t2.chartb####.com
- u.zntia####.com
- u1.zntia####.com
- u2.zntia####.com
- v2.chartb####.com
- v5.chartb####.com
- www.tinyp####.net
Запросы HTTP GET:
- 6####.com/GameManage3/appRewardConf.shtml?appId=####&appVersion=####&mac...
- ads.m####.com/m/ad?v=####&id=####&nv=####&dn=####&bundle=####&z=####&o=#...
- diguoLo####.ap-nort####.elb.####.com/GameManage/mobile.shtml?appId=####&...
- www.tinyp####.net/GameManage/mobile.shtml?appId=####&appVersion=####&dev...
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
- a.appj####.com/jiagu/check/upgrade
- api.vu####.com.####.net/api/v4/config
- api.vu####.com.####.net/api/v4/new?app_id=####&isu=####
- api.vu####.com.####.net/api/v4/requestAd
- api.vu####.com.####.net/api/v4/sessionStart
- ci.hi.c####.####.cn/A/g/y/xc1
- ci.hi.c####.####.cn/N/f/B/zc1
- ci.hi.c####.####.cn/ymn/ODO/g03
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.YFlurrySenderIndex.info.AnalyticsData_SS79B7R2...D7_216
- /data/data/####/.YFlurrySenderIndex.info.AnalyticsMain
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/.yflurrydatasenderblock.006ed1a0-d48a-4374-9d08...07fc00
- /data/data/####/.yflurrydatasenderblock.518998aa-3f33-4477-840f...7e23bd
- /data/data/####/.yflurrydatasenderblock.6c1175f7-d5e8-4c19-a38e...0e53c1
- /data/data/####/.yflurrydatasenderblock.6e1c391d-c3e7-40b5-93ee...7b0372
- /data/data/####/.yflurrydatasenderblock.707736f5-9314-42e0-ac27...bd4941
- /data/data/####/.yflurrydatasenderblock.70928f0e-3b8c-457d-9192...254fd5
- /data/data/####/.yflurrydatasenderblock.71ec0d04-f9b1-4bf0-97e0...96984b
- /data/data/####/.yflurrydatasenderblock.7523f137-be79-4a16-820a...3be5a3
- /data/data/####/.yflurrydatasenderblock.7a675b6a-11da-4cb8-a6fc...15789e
- /data/data/####/.yflurrydatasenderblock.83e1a3c0-ec78-417f-a7f1...bfabbb
- /data/data/####/.yflurrydatasenderblock.84cdafc2-6d18-49fa-8dfd...c4a515
- /data/data/####/.yflurrydatasenderblock.886ad7f3-72cb-4264-a01c...16654c
- /data/data/####/.yflurrydatasenderblock.92f4b549-9dd3-4605-aeba...380fee
- /data/data/####/.yflurrydatasenderblock.ac977f61-e09e-43a6-8d52...4ca5d6
- /data/data/####/.yflurrydatasenderblock.b56aa13d-5bd8-4ae5-9065...126e3a
- /data/data/####/.yflurrydatasenderblock.ba0b68c7-41bb-4df0-942a...490264
- /data/data/####/.yflurrydatasenderblock.bf0db211-acdb-4c07-8059...73a9a3
- /data/data/####/.yflurrydatasenderblock.bf363f5d-16ee-4caa-afab...3c498b
- /data/data/####/.yflurrydatasenderblock.ccdb21c6-31b3-422e-861f...3c9507
- /data/data/####/.yflurrydatasenderblock.d0961544-ce5e-41fe-a4f8...833e9b
- /data/data/####/.yflurrydatasenderblock.d4b02787-112f-498e-9651...606d75
- /data/data/####/.yflurrydatasenderblock.db164870-0884-4bf9-b239...09a4e2
- /data/data/####/.yflurrydatasenderblock.e9a2f2d4-6812-45c5-9765...73ba2a
- /data/data/####/.yflurrydatasenderblock.f905bcc0-99b7-4c75-b3cf...f82879
- /data/data/####/.yflurryreport.-76f2aecc84b41a50
- /data/data/####/1460683162801.dex
- /data/data/####/1460683162801.jar
- /data/data/####/1460683162801.tmp
- /data/data/####/9794569z.jar
- /data/data/####/9804567z.jar
- /data/data/####/9808966z.jar
- /data/data/####/9815469z.jar
- /data/data/####/9819808z.jar
- /data/data/####/9825576z.jar
- /data/data/####/9830439z.jar
- /data/data/####/9837519z.jar
- /data/data/####/9843489z.jar
- /data/data/####/9851749z.jar
- /data/data/####/9856679z.jar
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/ApplicationCache.db-journal (deleted)
- /data/data/####/FLURRY_SHARED_PREFERENCES.xml
- /data/data/####/SHARED_PRENFERENCE_LOCAL_ADDRESS.xml
- /data/data/####/VUNGLE_PUB_APP_INFO.xml
- /data/data/####/app_crmeclasses.jar
- /data/data/####/biend
- /data/data/####/c03b5.xml
- /data/data/####/cbPrefs.xml
- /data/data/####/cb_previous_session_info
- /data/data/####/com.google.android.gms.analytics.prefs.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/dbsltr-journal
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/gaClientId
- /data/data/####/google_analytics_v4.db-journal
- /data/data/####/https_googleads.g.doubleclick.net_0.localstorage-journal
- /data/data/####/index
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/libjiagu.so
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/vungle-journal
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.adId
- /data/media/####/.nomedia
- /data/media/####/54e15b050d602516310ff84d.114
- /data/media/####/54e15b050d602516310ff84d.114.png
- /data/media/####/5bbdbafe6b890e09b7932c5b_320-1539160830.mp4
- /data/media/####/5bbdbb546b890e09b4114d12_320-1539160916.mp4
- /data/media/####/5d8474f16ff6580cb664f1fd_320-1568961777.mp4
- /data/media/####/5d8478c66ff6580cb8c4b33e_320-1568962759.mp4
- /data/media/####/768x1024
- /data/media/####/768x1024.png
- /data/media/####/7b6ab14eff780bcfde41faefde55e1d233c2b3ce
- /data/media/####/7b6ab14eff780bcfde41faefde55e1d233c2b3ce.jpeg
- /data/media/####/7e265867124e773e7ee5144c9e05b36f20fe43bc.png
- /data/media/####/abcce95ff069a1f8a3692d2b27d0766357cfda31.png
- /data/media/####/ad.html
- /data/media/####/config.js
- /data/media/####/d8777704ca39818104e18d3612c297fabc079503.png
- /data/media/####/dff29d74b87fafbfdb65d237202eee26a153f83c.png
- /data/media/####/e1eda105580a637ea2aebd40d0c46c447c373385.png
- /data/media/####/game.js
- /data/media/####/index.html
- /data/media/####/localVideo.mp4
- /data/media/####/postRoll.zip
- /data/media/####/static-etna-809384501
- /data/media/####/style.css
- /data/media/####/vungle-hide-ui.css
- /data/media/####/vungle-map-clicks.js
- /data/media/####/webview-30x30
- /data/media/####/webview-30x30.png
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- game
- libjiagu
- njt
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES
- DES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
