Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.263.origin
Загружает из Интернета следующие детектируемые угрозы:
- Android.Triada.263.origin
Сетевая активность:
Подключается к:
- 2####.####.129
- 2####.####.129:8080
- a####.####.cn
- a####.####.com
- a####.####.com:443
- acc####.####.cn
- b####.####.cn
- i####.####.cn
- usdp####.####.com
- w####.####.com
- y####.####.com
Запросы HTTP GET:
- a####.####.com/collina/sbb/get_config?bid=####
- b####.####.cn/tclient/splashupdate.html?platform=####&version=####&uuid=...
- i####.####.cn/2016/9/3/14145638.jpg
- usdp####.####.com/ngclient/TB17yiLJFXXXXaxXVXXcvNbFXXX_old.zip
- y####.####.com/m/um.htm?c=####
Запросы HTTP POST:
- 2####.####.129/httpdns/request
- 2####.####.129:8080/httpdns/request
- a####.####.cn/api/maga.system.connect?ver=####
- a####.####.com/amdc/mobileDispatch
- a####.####.com:443/amdc/mobileDispatch
- acc####.####.cn/account/client/config.getSecurityKey
- w####.####.com/api/update.do
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D %7B%22package%22%3A%22<Package>%22%2C%22appKey%22%3A%2223067643%22%2C%22utdid%22%3A%22WS5mZIwv7kMDAGdzx1GU3LZJ%22%2C%22sdkVersion%22%3A%22138%22%7D -I agoodm.m.taobao.com -O 80 -T -Z
- <dexopt>
- cat /proc/cpuinfo | grep Serial
- chmod 500 <Package Folder>/files/DaemonServer
- chmod 555 <Package Folder>/android_observer
- chmod 755 /data/data/cn.ninegame.gamemanager/.jiagu/libjiagu.so
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- ls -l /system/xbin/su
- ps
- sh
Использует специальную библиотеку для скрытия исполняемого байткода.
