Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Backdoor.420.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- 2####.####.40
- 2####.####.47
- 7j####.####.com
- c-h####.####.com
- i####.####.cn
- l####.####.com
- n####.####.com
- s####.####.com
- w####.####.cn
Запросы HTTP GET:
- 2####.####.40/?ws_domain=####&ws_ret_type=####
- 2####.####.47/?ws_domain=####&ws_ret_type=####
- 7j####.####.com/tdata_add848
- i####.####.cn/images/upload/upc/tx/auto5/1704/25/c12/44576162_1493086539...
- s####.####.com/api.htm?format=####&t=####
- s####.####.com/config/hz-hzv3.conf
- w####.####.cn/wap/20160224bjbd/img/icon1.png
Запросы HTTP POST:
- c-h####.####.com/api.php?format=####&t=####
- l####.####.com/sdk.php
- n####.####.com/navipush.json
- s####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/f_000001
- <Package Folder>/cache/####/f_000002
- <Package Folder>/cache/####/f_000003
- <Package Folder>/cache/####/f_000004
- <Package Folder>/cache/####/f_000005
- <Package Folder>/cache/####/index
- <Package Folder>/databases/HttpLogDB.db-journal
- <Package Folder>/databases/autoclub.db-journal
- <Package Folder>/databases/cdn.db-journal
- <Package Folder>/databases/city.db
- <Package Folder>/databases/mofang_data_analysis.db-journal
- <Package Folder>/databases/pushsdk.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/####/firll.dat
- <Package Folder>/files/####/ofl.config
- <Package Folder>/files/####/ofl_location.db
- <Package Folder>/files/####/ofl_location.db-journal
- <Package Folder>/files/####/ofl_statistics.db
- <Package Folder>/files/####/ofl_statistics.db-journal
- <Package Folder>/files/brand.config
- <Package Folder>/files/cartypelist.config
- <Package Folder>/files/city.config
- <Package Folder>/files/init.pid
- <Package Folder>/files/init_c1.pid
- <Package Folder>/files/keywords.config
- <Package Folder>/files/push.pid
- <Package Folder>/files/run.pid
- <Package Folder>/files/weibo_sdk_aid1
- <Package Folder>/shared_prefs/AppConfig.xml
- <Package Folder>/shared_prefs/COUNTLY_STORE.xml
- <Package Folder>/shared_prefs/PUSH_STATUS.xml
- <Package Folder>/shared_prefs/RongPush.xml
- <Package Folder>/shared_prefs/RongPush.xml.bak
- <Package Folder>/shared_prefs/Statistics.xml
- <Package Folder>/shared_prefs/Statistics.xml.bak
- <Package Folder>/shared_prefs/app_first_in.xml
- <Package Folder>/shared_prefs/city_first_in.xml
- <Package Folder>/shared_prefs/framwork.xml
- <Package Folder>/shared_prefs/getui_sp.xml
- <Package Folder>/shared_prefs/httpdns.xml
- <Package Folder>/shared_prefs/httpdns.xml.bak
- <Package Folder>/shared_prefs/mofang_data_analysis.xml
- <Package Folder>/shared_prefs/mofang_data_analysis.xml.bak
- <Package Folder>/shared_prefs/time.xml
- <SD-Card>/Android/####/03feb97e41e6764c3f3c486979569828.0.tmp
- <SD-Card>/Android/####/03feb97e41e6764c3f3c486979569828.1.tmp
- <SD-Card>/Android/####/0b77809763c2b06e75b6d9e939b91689.0.tmp
- <SD-Card>/Android/####/0b77809763c2b06e75b6d9e939b91689.1.tmp
- <SD-Card>/Android/####/0dad3c4d2a95cdf83e8ce682f6cd06ab.0.tmp
- <SD-Card>/Android/####/0dad3c4d2a95cdf83e8ce682f6cd06ab.1.tmp
- <SD-Card>/Android/####/119f17710434dfe03e55b691a52077c1.0.tmp
- <SD-Card>/Android/####/119f17710434dfe03e55b691a52077c1.1.tmp
- <SD-Card>/Android/####/1bfa951c14ee08badc01342c8cdc3d3e.0.tmp
- <SD-Card>/Android/####/1bfa951c14ee08badc01342c8cdc3d3e.1.tmp
- <SD-Card>/Android/####/21925e80c4d5bd11891eb926eb5fb038.0.tmp
- <SD-Card>/Android/####/21925e80c4d5bd11891eb926eb5fb038.1.tmp
- <SD-Card>/Android/####/2ce503613f422db4fbe5d9ecf2e43e9d.0.tmp
- <SD-Card>/Android/####/2ce503613f422db4fbe5d9ecf2e43e9d.1.tmp
- <SD-Card>/Android/####/7347f535692db542e5961840b4a9badb.0.tmp
- <SD-Card>/Android/####/7347f535692db542e5961840b4a9badb.1.tmp
- <SD-Card>/Android/####/949044be7f6f6b1d972ea5545e05be92.0.tmp
- <SD-Card>/Android/####/949044be7f6f6b1d972ea5545e05be92.1.tmp
- <SD-Card>/Android/####/a0234426fe40b44368c0aea78f04c520.0.tmp
- <SD-Card>/Android/####/a0234426fe40b44368c0aea78f04c520.1.tmp
- <SD-Card>/Android/####/a68f843d64679c7a2651f23710e2dc7c.0.tmp
- <SD-Card>/Android/####/a68f843d64679c7a2651f23710e2dc7c.1.tmp
- <SD-Card>/Android/####/bbd71a8e4c229e649ce2d9fd28b4a583.0.tmp
- <SD-Card>/Android/####/bbd71a8e4c229e649ce2d9fd28b4a583.1.tmp
- <SD-Card>/Android/####/db1250b89d780fd9b91606b35ebc7f1c.0.tmp
- <SD-Card>/Android/####/db1250b89d780fd9b91606b35ebc7f1c.1.tmp
- <SD-Card>/Android/####/db205947521fee80a7968878a8e67f2d.0.tmp
- <SD-Card>/Android/####/db205947521fee80a7968878a8e67f2d.1.tmp
- <SD-Card>/Android/####/e5083ccf82518145d906a05473d9b725.0.tmp
- <SD-Card>/Android/####/e5083ccf82518145d906a05473d9b725.1.tmp
- <SD-Card>/Android/####/eb1bab7955cfd03f8abde9d337453100.0.tmp
- <SD-Card>/Android/####/eb1bab7955cfd03f8abde9d337453100.1.tmp
- <SD-Card>/Android/####/ef194c0222de96043580c673373e95c9.0.tmp
- <SD-Card>/Android/####/ef194c0222de96043580c673373e95c9.1.tmp
- <SD-Card>/Android/####/journal.tmp
- <SD-Card>/baidu/####/conlts.dat
- <SD-Card>/baidu/####/ller.dat
- <SD-Card>/baidu/####/ls.db
- <SD-Card>/baidu/####/ls.db-journal
- <SD-Card>/baidu/####/yoh.dat
- <SD-Card>/baidu/####/yol.dat
- <SD-Card>/baidu/####/yom.dat
- <SD-Card>/baidu/.cuid
- <SD-Card>/libs/<Package>.bin
- <SD-Card>/libs/<Package>.db
- <SD-Card>/libs/app.db
- <SD-Card>/libs/com.igexin.sdk.deviceId.db
- <SD-Card>/test.0
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- RongIMLib
- getuiext2
- libjiagu
- locSDK6a
- weibosdkcore
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
