Adware.Dowgin.6500

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Dowgin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) cg.m####.com:80
TCP(HTTP/1.1) e####.com:80
TCP(HTTP/1.1) w####.pcon####.com.cn:80

Запросы DNS:

api.appgen####.com
api.is.d####.####.cn
cg.0####.com
cg.m####.com
e####.com
int.d####.s####.####.cn
w####.pcon####.com.cn

Запросы HTTP GET:

e####.com/promo/snowboard-android/appicon.png
e####.com/promo/snowboard-android/appoffer.txt

Запросы HTTP POST:

cg.m####.com/pop/gc
cg.m####.com/pop/gd
cg.m####.com/pop/up
w####.pcon####.com.cn/ip.jsp?qq-pf-to=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.lock
/data/data/####/.md5
/data/data/####/.sec_version
/data/data/####/_i_shares.xml
/data/data/####/ad012064-140a-46fd-9d63-cd5030c28771
/data/data/####/c
/data/data/####/c.dex
/data/data/####/c.jar
/data/data/####/cSnowProco.dex (deleted)
/data/data/####/cSnowProco.jar
/data/data/####/classes.dex
/data/data/####/classes.jar
/data/data/####/com.ezonecn.SnowPro
/data/data/####/com.ezonecn.SnowPro.art
/data/data/####/com.ezonecn.SnowPro.xml
/data/data/####/com.ezonecn.SnowPro_preferences.xml
/data/data/####/container.apk
/data/data/####/container.dex
/data/data/####/container.pre_global_config
/data/data/####/daemon
/data/data/####/de9fed9b-d3dd-4781-8711-5f55139c38be
/data/data/####/device_id.xml.xml
/data/data/####/dls
/data/data/####/dls-journal
/data/data/####/eca.db
/data/data/####/eca.db-journal
/data/data/####/eck.xml
/data/data/####/libcpu
/data/data/####/libsecexe.x86.so
/data/data/####/libsecmain.x86.so
/data/data/####/libsecpreload.x86.so
/data/data/####/t
/data/media/####/egnaro_etceles_egap_d
/data/media/####/egnaro_gbntb_d
/data/media/####/ehcac_ntb_mottob
/data/media/####/elcric_cs_d
/data/media/####/enil_efas
/data/media/####/enil_efas_d
/data/media/####/enil_jt_d
/data/media/####/erahs_ntb_mottob
/data/media/####/eulb_gbntb_d
/data/media/####/gb_datuctrohs_d
/data/media/####/gb_gmi
/data/media/####/gb_gmi_d
/data/media/####/gb_mottob
/data/media/####/gb_pot
/data/media/####/gb_pot_d
/data/media/####/gb_sdrowda
/data/media/####/gb_tluafed_d
/data/media/####/kcab_pop
/data/media/####/kcab_pop_d
/data/media/####/lecnac_ntb_mottob_d
/data/media/####/llatsni_ntb
/data/media/####/llatsni_ntb_d
/data/media/####/llatsni_ntb_mottob
/data/media/####/lomron_egap_d
/data/media/####/na_csppa_d
/data/media/####/neerg_gbntb_d
/data/media/####/noci_efas
/data/media/####/noci_efas_d
/data/media/####/ntb_erom_pc_d
/data/media/####/ntb_meti
/data/media/####/ntb_mottob_pop
/data/media/####/ntb_mottob_pop_d
/data/media/####/ntb_rehto_pc_d
/data/media/####/ntbesolc_pot_x
/data/media/####/ntbesolc_potd_d
/data/media/####/nwod_worra
/data/media/####/nwod_worra_d
/data/media/####/pot_ntbseolc_d
/data/media/####/pu_worra
/data/media/####/pu_worra_d
/data/media/####/rats_m
/data/media/####/tnetnocppa
/data/media/####/wolley_gbntb_d

Другие:

Запускает следующие shell-скрипты:

<Package> <Package> -1835037512 0 /data/app/<Package>-1.apk 46 <Package> 55 56
<Package> <Package> -1836561224 0 /data/app/<Package>-1.apk 41 <Package> 48 50
chmod 755 <Package Folder>/.cache/<Package>
chmod 755 <Package Folder>/.cache/<Package>.art
chmod 775 <Package Folder>/app_bangcleplugin/libcpu
chmod 777 <Package Folder>/daemon
getprop ro.product.cpu.abi
sh
sh -c <Package Folder>/app_bangcleplugin/libcpu /storage/emulated/0/.732c2ff4-8242-3b10-81d6-23262f019c28 18 1 <Package>
sh -c chmod 775 <Package Folder>/app_bangcleplugin/libcpu

Загружает динамические библиотеки: