Техническая информация
Вредоносные функции:
Отправляет СМС-сообщения:
- 106584211: 5fd3bec6c0a86a405231443357651157M302000A免费登录短信，请勿修改
Сетевая активность:
Подключается к:
- 1####.####.67
- 1####.####.197:8080
- 7x####.####.com
- obf0c####.####.com
- w####.####.com
- 5####.####.56
- 1####.####.195
- boo####.####.cn
- g####.####.top
- a####.####.com
Запросы HTTP GET:
- boo####.####.cn/pubres/book/3x9/39x1/391x4/391495482/391495482.jpg
- w####.####.com/sso/p/logindata.jsp?e_l=9&purl=/r/p/myspacedata.jsp?aaa_f...
- 5####.####.56/checker
- 5####.####.56/core
- boo####.####.cn/pubres/book/4x0/40x7/407x2/407221400/407221400.jpg
- w####.####.com/r/411299503/411299505.htm?cm=####&vt=####&aaa_flag=####
- boo####.####.cn/pubres/book/4x5/45x1/451x9/451944440/451944440.jpg
- w####.####.com/r/?vt=####&cm=####&aaa_flag=####
- boo####.####.cn/pubres/picture/show_img/free17_boy.gif
- boo####.####.cn/pubres/book/4x0/40x5/405x7/405780212/405780212.jpg
- 1####.####.197:8080/pubres/downloadzipv1/3x7/37x0/370x9/370947638/4-3709...
- boo####.####.cn/pubres/book/4x4/44x9/449x2/449226783/449226783.jpg
- obf0c####.####.com/visenvt9_9_20160808104730.zip
- boo####.####.cn/pubres/picture/show_img/free17_new.gif
- 7x####.####.com/zip/payjar_-1_20170515152355.zip
- boo####.####.cn/pubres/picture/show_img/free17_week.gif
- boo####.####.cn/pubres/picture/show_img/free17_girl.gif
- w####.####.com/r/p/myspacedata.jsp?vt=####&aaa_flag=####
Запросы HTTP POST:
- g####.####.top/sdf/cf
- 1####.####.67/log/interface.html
- 1####.####.195/asg/portal.do?aaa_flag=####
- 1####.####.195/asg/portal.do
- a####.####.com/app_logs
- 1####.####.67/strategy/interface.html
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/shared_prefs/sfe.xml
- <Package Folder>/app_jgls/.log.ls
- <Package Folder>/shared_prefs/ishugui.shareInfo.xml.bak
- <Package Folder>/shared_prefs/mobclick_agent_online_setting_<Package>.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml.bak
- <Package Folder>/files/.jglogs/.jg.ic
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/app_plugin_download/4a6af877-fcdc-460e-98db-d497fa61a963
- <Package Folder>/app_anonymous_files/anonymous_core.so
- <Package Folder>/app_plugin_download/16b07d6c-b3a8-4e1b-80d5-b314018a284d
- <Package Folder>/databases/ishugui.db-journal
- <Package Folder>/app_jgls/.log.lock
- <Package Folder>/shared_prefs/wv.xml.bak
- <Package Folder>/shared_prefs/wv.xml
- <Package Folder>/files/.imprint
- <Package Folder>/shared_prefs/sfe.xml.bak
- <Package Folder>/databases/pushsdk.db-journal
- <Package Folder>/app_994c0286-e43a-4f6a-86d4-fef26fbd06ff/checker.jar
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/shared_prefs/ishugui.shareInfo.xml
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- chmod 755 /data/data/####/.jiagu/libjiagu.so
- <dexopt>
Использует специальную библиотеку для скрытия исполняемого байткода.
Может автоматически отправлять СМС-сообщения.
