Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Spy.127.origin
Загружает из Интернета следующие детектируемые угрозы:
- Android.Spy.127.origin
Сетевая активность:
Подключается к:
- a####.####.com
- img####.####.com
- so####.com
Запросы HTTP GET:
- img####.####.com/video/6361_20170413121607_2u7n.jpg
- so####.com/factory/mobile_erge.php?pkg=####&v=####
Запросы HTTP POST:
- a####.####.com/ad-service/ad/mark
- a####.####.com/app_logs
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/app_dex/baidusdkv2.jar
- <Package Folder>/app_plugin/PlayerUIApk.apk
- <Package Folder>/cache/####/1149573080
- <Package Folder>/cache/####/226889498
- <Package Folder>/cache/####/98404
- <Package Folder>/databases/bebehttp.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/libjiagu.so
- <Package Folder>/files/mobclick_agent_cached_<Package>
- <Package Folder>/shared_prefs/<Package>.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/analytics_agent_header_.xml
- <Package Folder>/shared_prefs/jg_app_update_settings_random.xml
- <Package Folder>/shared_prefs/mobclick_agent_header_<Package>.xml
- <Package Folder>/shared_prefs/mobclick_agent_state_<Package>.xml
- <Package Folder>/shared_prefs/mobclick_agent_state_<Package>.xml.bak
- <Package Folder>/shared_prefs/platform.xml
- <Package Folder>/shared_prefs/qihoo_jiagu_crash_report.xml
- <SD-Card>/bebe/####/-1110857368.tmp
- <SD-Card>/bebe/####/-1119150555.tmp
- <SD-Card>/bebe/####/-1125787067.tmp
- <SD-Card>/bebe/####/-1257499550
- <SD-Card>/bebe/####/-1257499550.tmp
- <SD-Card>/bebe/####/-1313812723.tmp
- <SD-Card>/bebe/####/-1427022782
- <SD-Card>/bebe/####/-1427022782.tmp
- <SD-Card>/bebe/####/-1728433284.tmp
- <SD-Card>/bebe/####/-1837935801.tmp
- <SD-Card>/bebe/####/-1942988515.tmp
- <SD-Card>/bebe/####/-1943262584.tmp
- <SD-Card>/bebe/####/-2131918503.tmp
- <SD-Card>/bebe/####/-497870277.tmp
- <SD-Card>/bebe/####/-760477422.tmp
- <SD-Card>/bebe/####/1007634524.tmp
- <SD-Card>/bebe/####/1039970946.tmp
- <SD-Card>/bebe/####/1300594917.tmp
- <SD-Card>/bebe/####/1637813126.tmp
- <SD-Card>/bebe/####/2043804117.tmp
- <SD-Card>/bebe/####/291035829.tmp
- <SD-Card>/bebe/####/329573426.tmp
- <SD-Card>/bebe/####/582726151.tmp
- <SD-Card>/bebe/####/789421193.tmp
- <SD-Card>/bebe/####/872473457.tmp
- <SD-Card>/bebe/####/909692010.tmp
Другие:
Запускает следующие shell-скрипты:
- <dexopt>
- chmod 755 /data/data/com.android.happybaby/files/libjiagu.so
- chmod 755 <Package Folder>/files/libjiagu.so
- mount
Использует специальную библиотеку для скрытия исполняемого байткода.
