Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Loki.10.origin
- Android.Loki.15.origin
Загружает из Интернета следующие детектируемые угрозы:
- Android.Loki.10.origin
- Android.Loki.15.origin
Сетевая активность:
Подключается к:
- a####.####.com
- a####.####.org
- ad####.####.net
- c####.####.com
- j####.####.com:8888
- kua####.com
- p####.####.com
- t####.####.com
Запросы HTTP GET:
- a####.####.com/click?_type=####&action=####&sdk_redir=####&campid=####&s...
- a####.####.org/op?platform=####&os_version=####&package_name=####&app_ve...
- ad####.####.net/index.php?m=####&p=####&app_id=####&offer_id=####&aff_su...
- j####.####.com:8888/rule?p=####
- kua####.com/mt/v29403a464r2y20344s2z274u2/?subid1=####&subid3=####&subid...
- p####.####.com/v1/ad/click?subsite_id=####&transaction_id=####&id=####&o...
- t####.####.com/c/KTsnPYeg_owlP9PRQ0iH3b2XPpjiIU8lF74UD84DU3U/CF?placemen...
Запросы HTTP POST:
- c####.####.com/ad/splash/stats.html
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_indicators/indicator_d
- <Package Folder>/app_indicators/indicator_p
- <Package Folder>/cache/1470286953684.jar
- <Package Folder>/cache/1470286953684.tmp
- <Package Folder>/databases/arrkii.asa.sdk.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/ISDZcyNXkTzQhwxvstub.jar
- <Package Folder>/files/SPyxcMpdtadgNhVSdynamicloader.jar
- <Package Folder>/files/ahMZjZIyWHhwDbejdaemon.so
- <Package Folder>/files/feRrQMsTOymdlgJdsa.jar
- <Package Folder>/files/librzKXgueSDvKSXJOpbootstrap.so
- <Package Folder>/shared_prefs/MyPrefs.xml
- <Package Folder>/shared_prefs/ad_show_time.xml
- <Package Folder>/shared_prefs/ak.salvia.sdk.xml
- <Package Folder>/shared_prefs/ak.salvia.sdk.xml.bak
- <Package Folder>/shared_prefs/com.arrkii.module.offerprobe.xml
- <Package Folder>/shared_prefs/dayupdate.xml
- <Package Folder>/shared_prefs/jg_app_update_settings_random.xml
- <SD-Card>/.salvia/<Package>
- <SD-Card>/.salvia/tick
Другие:
Запускает следующие shell-скрипты:
- <dexopt>
- chmod 755 /data/data/com.tiny.Bodyscanner/.jiagu/libjiagu.so
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Использует специальную библиотеку для скрытия исполняемого байткода.
