Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Spy.127.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- 1####.####.67
- 4####.####.96
- c####.####.com
- c####.####.org
- m####.####.com
- nsc####.####.com
- p####.####.com
- s####.####.net
Запросы HTTP GET:
- c####.####.com/interface/config?client=####&file=####&fmt=####&ver=####
- c####.####.org/strategy/dev_root2
- m####.####.com/cfg/appkey-684f15fa71301257
- nsc####.####.com/v.gif?pid=####&pj=####&c_version=####&t=####&c_device_t...
- p####.####.com/interface/materials?ap=####&client=####&uid=####&mac=####...
- p####.####.com/v5/config/log?cl=####&ve=####&mac=####&uc=####&fudid=####
- s####.####.net/ecom_mobile/servicehb?dev=####&ver=####&fudid=####&sid=##...
Запросы HTTP POST:
- 1####.####.67/log/interface.html
- 4####.####.96/cloud/security
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_1800b894-ce31-41be-af35-51583d018d72/34d91b14-2d5a-49fe-89db-3de18c8dc338.jar
- <Package Folder>/app_1800b894-ce31-41be-af35-51583d018d72/7c6d8922-7652-418f-885f-e76d97db5bc6
- <Package Folder>/app_86daf2d8-82b4-491d-bdfc-fd2bf8b866a3/Matrix
- <Package Folder>/app_86daf2d8-82b4-491d-bdfc-fd2bf8b866a3/ddexe
- <Package Folder>/app_86daf2d8-82b4-491d-bdfc-fd2bf8b866a3/debuggerd
- <Package Folder>/app_86daf2d8-82b4-491d-bdfc-fd2bf8b866a3/fileWork
- <Package Folder>/app_86daf2d8-82b4-491d-bdfc-fd2bf8b866a3/install-recovery.sh
- <Package Folder>/app_86daf2d8-82b4-491d-bdfc-fd2bf8b866a3/pidof
- <Package Folder>/app_86daf2d8-82b4-491d-bdfc-fd2bf8b866a3/su
- <Package Folder>/app_86daf2d8-82b4-491d-bdfc-fd2bf8b866a3/supolicy
- <Package Folder>/app_86daf2d8-82b4-491d-bdfc-fd2bf8b866a3/toolbox
- <Package Folder>/app_86daf2d8-82b4-491d-bdfc-fd2bf8b866a3/wsroot.sh
- <Package Folder>/app_subox/32edd79a240b5f1e461d069caab1ec3e
- <Package Folder>/app_subox_download/4d21ae56-7da4-4270-a585-ae0bddababbb
- <Package Folder>/app_subox_download/7b0a5e67-4413-473c-be78-368ad79fc237
- <Package Folder>/app_subox_download/f9a95aa5-e1e2-41c4-b036-d7e34f2cddae
- <Package Folder>/databases/_ire-journal
- <Package Folder>/databases/funshion.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/SUBOXLOG_
- <Package Folder>/shared_prefs/MATSharedPreferences.xml
- <Package Folder>/shared_prefs/cn.com.mma.mobile.tracking.other.xml
- <Package Folder>/shared_prefs/fudid.xml
- <Package Folder>/shared_prefs/funshion.xml
- <Package Folder>/shared_prefs/funshion.xml.bak
- <Package Folder>/shared_prefs/peerid_config.xml
- <Package Folder>/shared_prefs/preference_aggregate.xml
- <Package Folder>/shared_prefs/vbz.xml
- <SD-Card>/.fudid
- <SD-Card>/funshion/####/2f2103265db0e296bd9c04c7407ab532ca5ef3b7.cache
- <SD-Card>/funshion/####/bf0cb88edb4dfc65d6dbdde1d77b0ae3aaec1a2b.cache
- <SD-Card>/funshion/####/cache.rules.tmp
- <SD-Card>/funshion/####/config.ini.tmp
- <SD-Card>/funshion/####/funshion_aphone_2.6_afaf742a6cd4_20170804.log
- <SD-Card>/funshion/####/journal
- <SD-Card>/funshion/####/journal.tmp
- <SD-Card>/funshion/####/p2p_config.ini
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- chmod 777 Matrix ddexe debuggerd fileWork install-recovery.sh pidof su supolicy toolbox wsroot.sh
- sh
Загружает динамические библиотеки:
- fsp2p
- libjiagu
- loginclient
- lsv
- mresearch
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
