Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.MulDrop.1026
Загружает из Интернета следующие детектируемые угрозы:
- Android.MulDrop.1026
Сетевая активность:
Подключается к:
- 1####.####.81:8088
- a####.####.com
- c####.####.com
- g####.####.com
- i####.####.com:8088
Запросы HTTP GET:
- 1####.####.81:8088/v1/event/js?imei=####&imsi=####&android_id=####&scwh=...
- c####.####.com/1607/res_g.bin
- g####.####.com/5K1IcD3801kUm2zgoZyCKT6zgBYnreHg-_/3244b761-5c56-490f-83b...
Запросы HTTP POST:
- a####.####.com/ad-service/ad/mark
- a####.####.com/app_logs
- i####.####.com:8088/a/e
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_pyhw/classes.jar
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/f_000001
- <Package Folder>/cache/####/index
- <Package Folder>/cache/.engine.apk
- <Package Folder>/cache/.key.apk
- <Package Folder>/cache/libloader.so
- <Package Folder>/cache/temp.jar
- <Package Folder>/databases/dbxhkmo-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/####/gx
- <Package Folder>/files/.imprint
- <Package Folder>/files/0000
- <Package Folder>/files/0001
- <Package Folder>/files/0002
- <Package Folder>/files/0003
- <Package Folder>/files/0004
- <Package Folder>/files/sxhj
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/plib/libcrypt.so
- <Package Folder>/shared_prefs/android_pre.xml
- <Package Folder>/shared_prefs/init_count.xml
- <Package Folder>/shared_prefs/jg_app_update_settings_random.xml
- <Package Folder>/shared_prefs/shell_pre.xml
- <Package Folder>/shared_prefs/tdg_share.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml.bak
- <SD-Card>/sys_nicholas.txt
Другие:
Запускает следующие shell-скрипты:
- <dexopt>
- cat /proc/version
- cat /sys/class/net/wlan0/address
- chmod 755 /data/data/net.kairosoft.android.onsen_ja/.jiagu/libjiagu.so
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- chmod 777 /data/data/net.kairosoft.android.onsen_ja/files/gxTmp
- chmod 777 /data/data/net.kairosoft.android.onsen_ja/files/gxTmp/gx
- chmod 777 <Package Folder>/files/gxTmp
- chmod 777 <Package Folder>/files/gxTmp/gx
- spc -v
Использует специальную библиотеку для скрытия исполняемого байткода.
