Техническая информация
Вредоносные функции:
Отправляет СМС-сообщения:
- 10698000036592: 14a83064-36bc-410e-a02b-0b1526d2e588-1496212882243,点击发送直接注册
Сетевая активность:
Подключается к:
- h####.####.com
- i####.####.com
- p####.####.com
- p####.####.com:8099
- pass####.####.com
- sd####.####.com
- unio####.####.com
- useract####.####.com
- wap####.####.com
Запросы HTTP GET:
- i####.####.com/cimages/img/19433/19433.png
- wap####.####.com/static/appsapi/conf/config.txt?tpl=####&app_version=###...
Запросы HTTP POST:
- h####.####.com/app.gif
- p####.####.com/api2?method=####
- p####.####.com:8099/api2?method=####
- pass####.####.com/v2/sapi/smsgetlogin
- sd####.####.com/call.ashx
- unio####.####.com/unionsdk/cs
- useract####.####.com/call.ashx
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/databases/dabcdef_db
- <Package Folder>/databases/dabcdef_db-journal
- <Package Folder>/databases/dk_user.db
- <Package Folder>/databases/dk_user.db-journal
- <Package Folder>/files/.jiagu.ls
- <Package Folder>/files/bdp_activity_config
- <Package Folder>/files/bdp_basic
- <Package Folder>/files/bdp_channel
- <Package Folder>/files/bdp_error
- <Package Folder>/files/bdp_pay
- <Package Folder>/files/libjiagu.so
- <Package Folder>/files/teNQH2UyHrq2LeVaBPquKMvF__local_stat_cache.json
- <Package Folder>/files/wappass.baidu.com-passport-login.html
- <Package Folder>/shared_prefs/<Package>.push_sync.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/__Baidu_Stat_SDK_SendRem.xml
- <Package Folder>/shared_prefs/bdp_pref.xml
- <Package Folder>/shared_prefs/bids.xml
- <Package Folder>/shared_prefs/bindcache.xml
- <Package Folder>/shared_prefs/channelid.xml
- <Package Folder>/shared_prefs/com_dk_shared_preferences.xml
- <Package Folder>/shared_prefs/com_dk_shared_preferences.xml.bak
- <Package Folder>/shared_prefs/policy_shared.xml
- <Package Folder>/shared_prefs/sapi_system.xml
- <Package Folder>/shared_prefs/sapi_system.xml.bak
- <SD-Card>/.BD_SAPI_CACHE/####/login.html
- <SD-Card>/baidu/.cuid
- <SD-Card>/duoku/####/18911.jpg
- <SD-Card>/duoku/####/19433.png
- <SD-Card>/duoku/####/adinfo.txt
- <SD-Card>/duoku/####/logoinfo_h5.txt
- <SD-Card>/live_sdk/####/yaya_dynamic_livesdk_1.6.9_201510101634.jar
- <SD-Card>/wrzjh/####/log.txt
- <SD-Card>/yaya_live_sdk/####/phone_uuid.tmp
Другие:
Запускает следующие shell-скрипты:
- <dexopt>
Использует специальную библиотеку для скрытия исполняемого байткода.
