Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Xiny.84.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- 1####.####.109:8023
- 2####.####.108:443
- 7j####.####.com
- a####.####.com
- ad####.####.com
- ada####.####.com
- c-h####.####.com
- hotp####.####.com
- l####.####.com
- m####.####.com
- r####.####.com
- reso####.####.com
- s####.####.com
- tcms-op####.####.com
- u####.####.com
- w####.####.com
- y####.####.com
Запросы HTTP GET:
- 1####.####.109:8023/m/umeng:520c538a56240bdc4a0d118f/119/Al_K_tal0OqL7tm...
- 2####.####.108:443/imlogingw/tcp60login?devid=####&ver=####
- 7j####.####.com/tdata_WqQ090
- ad####.####.com/rest/gc2?ak=####&av=####&c=####&d=####&sv=####&t=####&is...
- hotp####.####.com/patch?version=####&patchver=####&platform=####&appId=#...
- reso####.####.com/gslb/gslb/getbucket.asp?ver=####&type=####&uuid=####&l...
- s####.####.com/config/hz-hzv3.conf
- tcms-op####.####.com/getapprule?appkey=####&appId=####
- u####.####.com/spdyip/?appkey=####&ttid=####&deviceId=####&imei=####&nt=...
Запросы HTTP POST:
- a####.####.com/app_logs
- ada####.####.com/rest/sur?ak=####&av=####&c=####&v=####&s=####&d=####&sv...
- c-h####.####.com/api.php?format=####&t=####
- l####.####.com/offline_loc
- m####.####.com/v2/register
- r####.####.com/frontend/config/right-slide-credit-config/load
- s####.####.com/api.php?format=####&t=####
- w####.####.com/api/update.do
- y####.####.com/saveWb.json
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_SGLib/libsgmainso-5.1.81.so
- <Package Folder>/app_SGLib/libsgsecuritybodyso-5.1.25.so
- <Package Folder>/app_SGLib/lock.lock
- <Package Folder>/databases/MsgLogStore.db-journal
- <Package Folder>/databases/UmengLocalNotificationStore.db-journal
- <Package Folder>/databases/area_map.db
- <Package Folder>/databases/ml-region-9.db.tmp
- <Package Folder>/databases/pushext.db-journal
- <Package Folder>/databases/pushsdk.db-journal
- <Package Folder>/databases/tmpd8.db-journal
- <Package Folder>/databases/ut.db
- <Package Folder>/databases/ut.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/####/firll.dat
- <Package Folder>/files/####/ofl.config
- <Package Folder>/files/####/ofl_location.db
- <Package Folder>/files/####/ofl_location.db-journal
- <Package Folder>/files/####/ofl_statistics.db
- <Package Folder>/files/####/ofl_statistics.db-journal
- <Package Folder>/files/####/sdkobj
- <Package Folder>/files/####/wxobj
- <Package Folder>/files/.cfg.hq
- <Package Folder>/files/.imprint
- <Package Folder>/files/.lscmf.lscmf
- <Package Folder>/files/.rscms.rscm
- <Package Folder>/files/0a231bd8575dcf72.txt
- <Package Folder>/files/1d77ea041509fe06.lock
- <Package Folder>/files/21c22f492aba3de8.lock
- <Package Folder>/files/8ef9c457b3bbb403.lock
- <Package Folder>/files/930a31b34bd52c08.lock
- <Package Folder>/files/<Package>;thirdparty
- <Package Folder>/files/DaemonServer
- <Package Folder>/files/SGMANAGER_DATA2
- <Package Folder>/files/agoo.pid
- <Package Folder>/files/ap.Lock
- <Package Folder>/files/gdaemon_20161017
- <Package Folder>/files/init.pid
- <Package Folder>/files/init_c.pid
- <Package Folder>/files/libcuid.so
- <Package Folder>/files/push.pid
- <Package Folder>/files/run.pid
- <Package Folder>/files/sp.lock
- <Package Folder>/files/tdata_gcr824
- <Package Folder>/files/tdata_gcr824.jar
- <Package Folder>/files/timestamp
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/AGOO_CONNECT.xml
- <Package Folder>/shared_prefs/AGOO_HOST.xml
- <Package Folder>/shared_prefs/Alvin2.xml
- <Package Folder>/shared_prefs/AppStore.xml
- <Package Folder>/shared_prefs/AppStore.xml.bak
- <Package Folder>/shared_prefs/ContextData.xml
- <Package Folder>/shared_prefs/PhoneUtil.xml
- <Package Folder>/shared_prefs/UTCommon.xml
- <Package Folder>/shared_prefs/aliTradeConfigSP.xml
- <Package Folder>/shared_prefs/huaqian.preferences.xml
- <Package Folder>/shared_prefs/imei.xml
- <Package Folder>/shared_prefs/mipush.xml
- <Package Folder>/shared_prefs/mipush.xml.bak
- <Package Folder>/shared_prefs/mipush_account.xml
- <Package Folder>/shared_prefs/mipush_extra.xml
- <Package Folder>/shared_prefs/mobclick_agent_online_setting_<Package>.xml
- <Package Folder>/shared_prefs/multidex.version.xml
- <Package Folder>/shared_prefs/onesdk_device.xml
- <Package Folder>/shared_prefs/openudid_prefs.xml
- <Package Folder>/shared_prefs/pref_registered_pkg_names.xml
- <Package Folder>/shared_prefs/tcms_setting_sp.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml.bak
- <Package Folder>/shared_prefs/umeng_message_state.xml
- <Package Folder>/shared_prefs/ywAccount.xml
- <Package Folder>/shared_prefs/ywAccount.xml.bak
- <SD-Card>/.DataStorage/ContextData.xml
- <SD-Card>/.UTSystemConfig/####/Alvin2.xml
- <SD-Card>/.com.taobao.dp/6c709c11d2d46a7b
- <SD-Card>/.com.taobao.dp/dd7893586a493dc3
- <SD-Card>/.com.taobao.dp/hid.dat
- <SD-Card>/ALIPUSH_CACHE/####/2_20170804_r
- <SD-Card>/backups/####/.cuid
- <SD-Card>/backups/####/.cuid2
- <SD-Card>/baidu/####/conlts.dat
- <SD-Card>/baidu/####/ller.dat
- <SD-Card>/baidu/####/ls.db
- <SD-Card>/baidu/####/ls.db-journal
- <SD-Card>/libs/<Package>.db
- <SD-Card>/libs/app.db
- <SD-Card>/libs/com.getui.sdk.deviceId.db
- <SD-Card>/libs/com.igexin.sdk.deviceId.db
- <SD-Card>/system/####/tdata_gcr824
- <SD-Card>/test.0
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -a <Package>.intent.action.COCKROACH --es cockroach cockroach-PPreotect --es pack <Package> --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 9527 -U tb_android_daemon_1.1.0 -L http://100.69.168.33/agoo/report -D %7B%22package%22%3A%22<Package>%22%2C%22appKey%22%3A%22umeng%3A520c538a56240bdc4a0d118f%22%2C%22utdid%22%3A%22WYRnbGkqrQsDAGdzx1E7Bzl1%22%2C%22sdkVersion%22%3A%2220151015%22%7D -I 100.69.168.33 -O 80 -T -Z
- <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24108 300 0
- chmod 500 <Package Folder>/files/DaemonServer
- chmod 700 <Package Folder>/files/gdaemon_20161017
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- getprop ro.product.cpu.abi
- sh
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24108 300 0
Загружает динамические библиотеки:
- getuiext2
- inet.1.9
- libjiagu
- locSDK6a
- sgmainso-5.1
- sgsecuritybodyso-5.1
- tnet-2.1.20
- ut_c_api
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
- RSA-NONE-PKCS1Padding
- desede-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-NoPadding
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
