Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Xiny.20
Загружает из Интернета следующие детектируемые угрозы:
- Android.Xiny.20
Сетевая активность:
Подключается к:
- a####.####.com
- a####.####.mobi
- d####.####.cn
- e####.####.cn
- l####.####.com
- m####.####.com
- m####.####.com:8757
- net####.####.mobi
Запросы HTTP GET:
- d####.####.cn/jarFile/SDKAutoUpdate/lvs.jar
- m####.####.com/sdk.html
Запросы HTTP POST:
- a####.####.com/ad-service/ad/mark
- a####.####.mobi/api/check_update
- e####.####.cn/cw/interface!u2.action?protocol=####&version=####&cid=####
- l####.####.com/sdk.php
- m####.####.com:8757/sdk.html
- net####.####.mobi/view/portal/api.php
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_bin/daemon
- <Package Folder>/app_jgls/.log.lock
- <Package Folder>/app_jgls/.log.ls
- <Package Folder>/databases/YYS.db
- <Package Folder>/databases/YYS.db-journal
- <Package Folder>/databases/battery_stat.db-journal
- <Package Folder>/databases/downloadswc
- <Package Folder>/databases/downloadswc-journal
- <Package Folder>/databases/traffic.db-journal
- <Package Folder>/databases/tray.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/####/firll.dat
- <Package Folder>/files/####/ofl_location.db
- <Package Folder>/files/####/ofl_location.db-journal
- <Package Folder>/files/####/ofl_statistics.db
- <Package Folder>/files/####/ofl_statistics.db-journal
- <Package Folder>/files/.YFlurrySenderIndex.info.AnalyticsData_RW37DB3K72T3HZDMJYPJ_205
- <Package Folder>/files/.YFlurrySenderIndex.info.AnalyticsMain
- <Package Folder>/files/.yflurrydatasenderblock.4683718c-f450-41d2-ac05-993e3d06f79b
- <Package Folder>/files/.yflurrydatasenderblock.4ce1518f-f421-4c61-bcb3-e07cc27e8a7e
- <Package Folder>/files/.yflurrydatasenderblock.53567afe-e862-4d41-a0fe-835e1a5aa388
- <Package Folder>/files/.yflurryreport.4f19cfa4eb4cdae2
- <Package Folder>/files/AppEventsLogger.persistedsessioninfo
- <Package Folder>/files/libcuid.so
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml.bak
- <Package Folder>/shared_prefs/ADMANAGER.xml
- <Package Folder>/shared_prefs/ADMANAGER.xml.bak
- <Package Folder>/shared_prefs/ADPRIORITY.xml
- <Package Folder>/shared_prefs/ADPRIORITY.xml.bak
- <Package Folder>/shared_prefs/FLURRY_SHARED_PREFERENCES.xml
- <Package Folder>/shared_prefs/W_Key.xml
- <Package Folder>/shared_prefs/a.xml
- <Package Folder>/shared_prefs/a.xml.bak
- <Package Folder>/shared_prefs/android_rate_pref_file.xml
- <Package Folder>/shared_prefs/com.facebook.sdk.appEventPreferences.xml
- <Package Folder>/shared_prefs/com.facebook.sdk.attributionTracking.xml
- <Package Folder>/shared_prefs/com.powerwifi_pref.xml
- <Package Folder>/shared_prefs/com.powerwifi_pref.xml.bak
- <Package Folder>/shared_prefs/jg_app_update_settings_random.xml
- <Package Folder>/shared_prefs/remote_service_config.xml
- <Package Folder>/shared_prefs/st.xml
- <SD-Card>/Download/####/4.6_lvs.jar.tmp
- <SD-Card>/backups/####/.cuid
- <SD-Card>/backups/####/.cuid2
- <SD-Card>/baidu/####/ller.dat
- <SD-Card>/baidu/####/ls.db
- <SD-Card>/baidu/####/ls.db-journal
- <SD-Card>/baidu/####/yoh.dat
- <SD-Card>/baidu/####/yol.dat
- <SD-Card>/baidu/####/yom.dat
- <SD-Card>/dt/restime.dat
- <SD-Card>/test.0
Другие:
Запускает следующие shell-скрипты:
- <dexopt>
- chmod 700 /data/data/com.fastappn.xm/app_bin/daemon
- chmod 700 <Package Folder>/app_bin/daemon
- chmod 755 /data/data/com.fastappn.xm/.jiagu/libjiagu.so
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- top -d 1 -n 1 -s cpu -m 1
Использует специальную библиотеку для скрытия исполняемого байткода.
