Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.2083
- Android.DownLoader.546.origin
Загружает из Интернета следующие детектируемые угрозы:
- Android.DownLoader.2083
- Android.DownLoader.546.origin
Сетевая активность:
Подключается к:
- a####.####.com
- b####.####.com
- b####.com
- bobo-pu####.####.net
- c####.####.com
- l####.####.com
- st####.####.com
Запросы HTTP GET:
- b####.####.com/special/boboandroidversion/
- b####.com/special/boboandroidversion/
- bobo-pu####.####.net/bobo_1498185759805_66094902.jpg
- c####.####.com/qqconnectopen/openapi/policy_conf?sdkv=####&appid=####&st...
- l####.####.com/loginserver/distribute.do?data=####
- st####.####.com/dns/publicIps?domain=####
Запросы HTTP POST:
- a####.####.com/ad-service/ad/mark
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_jgls/.log.lock
- <Package Folder>/app_jgls/.log.ls
- <Package Folder>/app_tv/<Package>.odex
- <Package Folder>/app_tv/<Package>.zip
- <Package Folder>/databases/####/cc.db
- <Package Folder>/databases/####/cc.db-journal
- <Package Folder>/databases/chat.db-journal
- <Package Folder>/databases/common.db
- <Package Folder>/databases/common.db-journal
- <Package Folder>/databases/db_public-journal
- <Package Folder>/databases/location.db
- <Package Folder>/databases/location_zh_hant.db
- <Package Folder>/databases/mobidroid.sqlite-journal
- <Package Folder>/databases/tencent_analysis.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/com.tencent.open.config.json.1102364892
- <Package Folder>/files/mobclick_agent_cached_<Package>86
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml.bak
- <Package Folder>/shared_prefs/NELoginConfig.xml
- <Package Folder>/shared_prefs/NELoginConfig.xml.bak
- <Package Folder>/shared_prefs/NetEasePushService.xml
- <Package Folder>/shared_prefs/jg_app_update_settings_random.xml
- <Package Folder>/shared_prefs/multidex.version.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml.bak
- <Package Folder>/shared_prefs/vshow.xml
- <Package Folder>/shared_prefs/vshow.xml (deleted)
- <Package Folder>/shared_prefs/vshow.xml.bak
- <SD-Card>/Android/####/.nomedia
- <SD-Card>/Android/####/33jjh4b7mabv21uemddgbqtek0.tmp
- <SD-Card>/Android/####/journal
- <SD-Card>/Android/####/journal.tmp
- <SD-Card>/Tencent/####/.mid.txt
- <SD-Card>/netease_pushservice/bG9jYWxfaXAuZGF0
- <SD-Card>/netease_pushservice/cmVnaXN0ZXJfZG9tYWluLmRhdA==
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- <dexopt>
- chmod 755 /data/data/com.netease.tgbnvshow.android/.jiagu/libjiagu.so
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Использует специальную библиотеку для скрытия исполняемого байткода.
