Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.502.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- a####.####.com
- apico####.####.com
- i####.####.com
- imgc####.####.com
- k####.####.com
- mo####.####.com
- p####.####.cn
- r####.####.com
- st####.####.com
- v####.####.com
Запросы HTTP GET:
- imgc####.####.com/gdt/cdn/api/static/image/sdk_bg.png
- k####.####.com/f/3z6z.jpg
- mo####.####.com/ads/pa/__pasys_remote_banner.php?v=####&tp=####&os=####&...
- p####.####.cn/gdt/0/DAAKyOoAKAABkAAdBZfyPoC5xzFRIm.jpg/0?ck=####
- st####.####.com/template/gdt/touch_listen.js
- v####.####.com/gdt_stats.fcg?count=####&viewid0=####
Запросы HTTP POST:
- a####.####.com/ad-service/ad/mark
- a####.####.com/app_logs
- apico####.####.com/adwo/a
- i####.####.com/showad.asm
- r####.####.com/adweb3
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/app_aucyb/classes.jar
- <Package Folder>/app_data/game_config.txt
- <Package Folder>/app_data/imai_click_events
- <Package Folder>/app_database/ApplicationCache.db-journal (deleted)
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/f_000001
- <Package Folder>/cache/####/index
- <Package Folder>/cache/inmobi.cache
- <Package Folder>/cache/inmobi.cache.data.events.number
- <Package Folder>/cache/inmobi.cache.data.events.timestamp
- <Package Folder>/cache/libadwo.png
- <Package Folder>/databases/a1.db-journal
- <Package Folder>/databases/dbwdv-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/.imprint
- <Package Folder>/files/1501143502936a.jar
- <Package Folder>/files/__pasys_remote_banner.jar
- <Package Folder>/files/__pasys_remote_banner.tmp.jar
- <Package Folder>/files/libjiagu.so
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/shared_prefs/ADWO_SHARED_DATA.xml
- <Package Folder>/shared_prefs/ADWO_SHARED_DATA.xml.bak
- <Package Folder>/shared_prefs/ADWO_STATISTIC.xml
- <Package Folder>/shared_prefs/a1.xml
- <Package Folder>/shared_prefs/a1<IMEI>.xml
- <Package Folder>/shared_prefs/a1<IMEI>.xml.bak
- <Package Folder>/shared_prefs/b1<IMEI>.xml
- <Package Folder>/shared_prefs/c1<IMEI>.xml
- <Package Folder>/shared_prefs/c1<IMEI>.xml.bak
- <Package Folder>/shared_prefs/com.androidemu.gba.EmulatorActivity2.xml
- <Package Folder>/shared_prefs/d1<IMEI>.xml
- <Package Folder>/shared_prefs/f1<IMEI>.xml
- <Package Folder>/shared_prefs/inmobisdkaid.xml
- <Package Folder>/shared_prefs/jg_app_update_settings_random.xml
- <Package Folder>/shared_prefs/mobclick_agent_online_setting_<Package>.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <SD-Card>/Download/####/3z6z.jpg.data
- <SD-Card>/lsh/gba_bios.bin
- <SD-Card>/lsh/khbs.zip
Другие:
Запускает следующие shell-скрипты:
- chmod 755 /data/data/com.androidemu.gbakdyghbs/files/libjiagu.so
- chmod 755 <Package Folder>/files/libjiagu.so
Загружает динамические библиотеки:
- gba2
- libadwo
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- DES-ECB-PKCS5Padding
- RSA-ECB-nopadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
