Adware.Dowgin.7044

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Dowgin.15.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) a####.m.ta####.com:80
UDP(NTP) p####.ntp.org:123
TCP ipv6-as####.m.ta####.com:80

Запросы DNS:

a####.m.ta####.com
a####.tv.m####.cn
ad.mo####.cn
ag####.m.ta####.com
dla.cdn.mo####.cn
l####.mo####.cn
log.mo####.cn
p####.ntp.org
si.hi.shpan####.cn
t####.mo####.cn
tv.api.3g.####.com
u1.mo####.cn

Запросы HTTP POST:

a####.m.ta####.com/rest/gc?dd=####&nsgs=####&ak=####&av=####&c=####&v=##...
a####.m.ta####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=####&...

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/0435869z.jar
/data/data/####/0441890z.jar
/data/data/####/1596720437578
/data/data/####/1596720437706
/data/data/####/1596720438046
/data/data/####/ACCS_SDK_CHANNEL.xml
/data/data/####/Alvin2.xml
/data/data/####/ContextData.xml
/data/data/####/DaemonServer
/data/data/####/DataPlugin.jar
/data/data/####/EpisodeItem.ExportJson
/data/data/####/Flip3DImageView.ExportJson
/data/data/####/InfoBtn.ExportJson
/data/data/####/InfoBtnWithSubTitle.ExportJson
/data/data/####/InnerLiveLoading.ExportJson
/data/data/####/InnerLiveLoading0.plist
/data/data/####/InnerLiveLoading0.png
/data/data/####/LocalRecordVideoList.ExportJson
/data/data/####/LogoAnimation.ExportJson
/data/data/####/LogoAnimation0.plist
/data/data/####/LogoAnimation0.png
/data/data/####/MoliTVP2PPlayer.jar
/data/data/####/MoliTVUI.zip
/data/data/####/MoliTVUI0.plist
/data/data/####/MoliTVUI0.png
/data/data/####/MoliTVUI1.plist
/data/data/####/MoliTVUI1.png
/data/data/####/MoliTVUI2.plist
/data/data/####/MoliTVUI2.png
/data/data/####/MoliTVUI3.plist
/data/data/####/MoliTVUI3.png
/data/data/####/RelatedVideoItem.ExportJson
/data/data/####/SearchKeyword.ExportJson
/data/data/####/SearchRelatedAlbumItem.ExportJson
/data/data/####/SearchRelatedVideoItem.ExportJson
/data/data/####/SearchScene.ExportJson
/data/data/####/StarInfoScene.ExportJson
/data/data/####/StarNameBtn.ExportJson
/data/data/####/TopicContentList.ExportJson
/data/data/####/TopicFlipItem.ExportJson
/data/data/####/TopicFlipList.ExportJson
/data/data/####/TopicListItem.ExportJson
/data/data/####/UIPlugin.jar
/data/data/####/UIPluginRes.zip
/data/data/####/UTCommon.xml
/data/data/####/UTMCConf228630108.xml
/data/data/####/UserVideoList.ExportJson
/data/data/####/VideoAttribute.ExportJson
/data/data/####/VodPlayListItem.ExportJson
/data/data/####/WebVideoFilter.ExportJson
/data/data/####/WebVideoFilterList.ExportJson
/data/data/####/WebVideoInfo.ExportJson
/data/data/####/WebVideoItem.ExportJson
/data/data/####/WebVideoList.ExportJson
/data/data/####/a5c1f.xml
/data/data/####/accs.db-journal
/data/data/####/agoo.pid
/data/data/####/analytics_agent_header_.xml
/data/data/####/app.xml
/data/data/####/bg.jpg
/data/data/####/bg_prompt.png
/data/data/####/bg_videolist.png
/data/data/####/default_index_res.zip
/data/data/####/eawtf_general_config.xml
/data/data/####/eawtf_it.cache
/data/data/####/fenleidianying_20163211554.jpg
/data/data/####/fenleifenzhong_20163171840.jpg
/data/data/####/fenleijianshen_20163171937.jpg
/data/data/####/fenleitudianshiju_201603211355.jpg
/data/data/####/fenleiyinyue_20163171939.jpg
/data/data/####/fenleizongyi_20163211414.jpg
/data/data/####/filescrash.log
/data/data/####/loading.png
/data/data/####/localrecordvideolist.json
/data/data/####/main.db
/data/data/####/main.db-journal
/data/data/####/mreliplayer.db
/data/data/####/mreliplayer.db-journal
/data/data/####/search.json
/data/data/####/shared_molitv.xml
/data/data/####/starinfo.json
/data/data/####/start.jpg
/data/data/####/stat_1596720436727
/data/data/####/stat_1596720436898
/data/data/####/tab_default.png
/data/data/####/tab_focused.png
/data/data/####/topiccontentlist.json
/data/data/####/topiclist.json
/data/data/####/tv.danmaku.ijk.media.demo_preferences.xml
/data/data/####/usertrack.db
/data/data/####/usertrack.db-journal
/data/data/####/uservideolist.json
/data/data/####/ut_setting.xml
/data/data/####/vodplaylist.json
/data/data/####/vr_EpisodeItem.ExportJson
/data/data/####/vr_InfoBtn.ExportJson
/data/data/####/vr_InfoBtnWithSubTitle.ExportJson
/data/data/####/vr_PlayerUI.ExportJson
/data/data/####/vr_RelatedVideoItem.ExportJson
/data/data/####/vr_VideoAttribute.ExportJson
/data/data/####/vr_VodPlayListItem.ExportJson
/data/data/####/vr_WebVideoInfo.ExportJson
/data/data/####/vr_WebVideoItem.ExportJson
/data/data/####/vr_WebVideoList.ExportJson
/data/data/####/vr_exit.png
/data/data/####/vr_focus.png
/data/data/####/vr_player.json
/data/data/####/vr_tvparser.json
/data/data/####/vr_vodplaylist.json
/data/data/####/vr_webvideoinfo.json
/data/data/####/vr_webvideolist.json
/data/data/####/webvideo.db
/data/data/####/webvideo.db-journal
/data/data/####/webvideoinfo.json
/data/data/####/webvideolist.json
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/youku_player2.1.0.200.xml
/data/media/####/Alvin2.xml
/data/media/####/ContextData.xml
/data/media/####/service_20200806.log

Другие:

Запускает следующие shell-скрипты:

/system/bin/cat /proc/cpuinfo
<Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"","utdid":"XywFMwstb18DAGdzx1ELKGP+","sdkVersion":"212"} -I agoodm.m.taobao.com -O 80 -T -Z
chmod 500 <Package Folder>/files/DaemonServer
sh

Загружает динамические библиотеки: