Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.543.origin
Сетевая активность:
Подключается к:
- c####.####.com
- s####.####.com
- e####.####.top
- c####.####.cn
- a####.####.com
Запросы HTTP GET:
- c####.####.cn/sfile/201705/02/all/cp_V2.7.6.txt
- s####.####.com/app/umeng?pid=####&dp=####&af=####&sk=####&cn=####&cv=####
- c####.####.com/index.php?service=####&pub=####&offer_id=####&uc_trans_1=...
Запросы HTTP POST:
- e####.####.top/jzbdt/aw/l
- e####.####.top/jzbdt/bnnqu/cxgw
- e####.####.top/jzbdt/i/c/grv
- e####.####.top/jzbdt/gltb/yr/hyoy
- a####.####.com/jiagu/check/upgrade
- a####.####.com/ad-service/ad/mark
- e####.####.top/jzbdt/mxzl/qt
- e####.####.top/jzbdt/jmnw/c/fqqwu
- e####.####.top/jzbdt/g/flpcl/l
- e####.####.top/sdf/qjkcm
- e####.####.top/jzbdt/csmp/axqi/f
- a####.####.com/jiagu/t/infos
- e####.####.top/jzbdt/smqz/nxrh
- e####.####.top/jzbdt/kevsx/dqtq
- e####.####.top/jzbdt/gssas/u/xmafq
- e####.####.top/jzbdt/i/s/wqjnq
- s####.####.com/pkl16.html
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/files/.jiagu.lock
- /data/data/####/files/kx.jar
- /data/data/####/files/.jglogs/.log3
- /data/data/####/cache/webviewCacheChromium/data_3
- /data/data/####/files/data/appnext/videos/video-112813-15_o_1477295884.mp4.tmp
- /data/data/####/files/db.jar
- /data/data/####/shared_prefs/jg_core_setting.xml.bak
- /data/data/####/.jiagu/libjiagu.so
- /data/data/####/cache/webviewCacheChromium/data_1
- /data/data/####/cache/webviewCacheChromium/data_0
- /data/data/####/databases/webviewCookiesChromium.db-journal
- /data/data/####/files/mu.jar
- /data/data/####/shared_prefs/kr.xml
- /data/data/####/shared_prefs/kr.xml.bak
- /data/data/####/shared_prefs/jg_app_update_settings_random.xml
- /data/data/####/shared_prefs/sfe.xml
- /sdcard/Android/data/####/files/Download/V2.7.6.txt
- /data/data/####/files/.jglogs/.jg.ri
- /data/data/####/shared_prefs/dsi.xml
- /data/data/####/databases/t_u.db-journal
- /data/data/####/cache/webviewCacheChromium/data_2
- /data/data/####/app_jgls/.log.lock
- /data/data/####/databases/webview.db-journal
- /data/data/####/shared_prefs/wv.xml.bak
- /data/data/####/shared_prefs/sfe.xml.bak
- /data/data/####/files/.jglogs/.jg.ac
- /data/data/####/app_jgls/.log.ls
- /data/data/####/shared_prefs/wv.xml
- /data/data/####/shared_prefs/jg_core_setting.xml
- /data/data/####/cache/webviewCacheChromium/index
Присваивает атрибут 'исполняемый' для следующих файлов:
- /data/data/####/.jiagu/libjiagu.so
Другие:
Запускает следующие shell-скрипты:
- /system/bin/dexopt --dex 27 56 40 215416 /data/data/####/files/kx.jar 1251568852 -965164759 45 /system/framework/core.jar /system/framework/core-junit.jar /system/framework/bouncycastle.jar /system/framework/ext.jar /system/framework/fr
- /system/bin/dexopt --dex 27 51 40 215416 /data/data/####/files/db.jar 1251568852 -965164759 45 /system/framework/core.jar /system/framework/core-junit.jar /system/framework/bouncycastle.jar /system/framework/ext.jar /system/framework/fr
- chmod 755 /data/data/####/.jiagu/libjiagu.so
- /system/bin/dexopt --dex 27 46 40 215416 /data/data/####/files/mu.jar 1251568852 -965164759 45 /system/framework/core.jar /system/framework/core-junit.jar /system/framework/bouncycastle.jar /system/framework/ext.jar /system/framework/fr
Использует специальную библиотеку для скрытия исполняемого байткода.
Может автоматически отправлять СМС-сообщения.
