Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Tool.SilentInstaller.3.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) p.s.3####.cn:80
- TCP(HTTP/1.1) s####.s.360.cn:80
- TCP(HTTP/1.1) s3.sh####.360.cn:80
- TCP(HTTP/1.1) s.3####.cn:80
- TCP(HTTP/1.1) c.appj####.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) api.sh####.360.cn:80
- TCP(TLS/1.0) api.sh####.360.cn:443
Запросы DNS:
- a.appj####.com
- api.sh####.360.cn
- c.appj####.com
- p.s.3####.cn
- s####.s.360.cn
- s.3####.cn
- s3.sh####.360.cn
Запросы HTTP GET:
- api.sh####.360.cn/c/rf.html?req=M/8####
- api.sh####.360.cn/c/rf.html?req=kua####
- api.sh####.360.cn/roms/root/getroot?keyword=####&appver=####&mid=####&pk...
- api.sh####.360.cn/roms/root/getroote?keyword=####&appver=####&mid=####&p...
Запросы HTTP POST:
- a.appj####.com/jiagu/check/upgrade
- c.appj####.com/ad/splash/stats.html
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_bin/daemon
- <Package Folder>/databases/bm.db-journal
- <Package Folder>/databases/jgad.db
- <Package Folder>/databases/jgad.db-journal
- <Package Folder>/databases/su.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/####/.log.1
- <Package Folder>/files/####/.swp
- <Package Folder>/files/####/1477046276114.dat
- <Package Folder>/files/####/1501849338066.dex
- <Package Folder>/files/####/CERT.RSA
- <Package Folder>/files/####/CERT.SF
- <Package Folder>/files/####/MANIFEST.MF
- <Package Folder>/files/####/Y29tLnFpaG9vLnBlcm1tZ3I=.tick.lock
- <Package Folder>/files/####/apollo.cert
- <Package Folder>/files/####/conf
- <Package Folder>/files/####/core.dex
- <Package Folder>/files/####/emucheck
- <Package Folder>/files/####/global.jar
- <Package Folder>/files/####/u-t.dat
- <Package Folder>/files/1753292798c039519bd7ba3205926639.dat
- <Package Folder>/files/1753292798c039519bd7ba3205926639.dat.zip
- <Package Folder>/files/6db10560d1ed2d0ab77de75ed6b20fa7.dat
- <Package Folder>/files/6db10560d1ed2d0ab77de75ed6b20fa7.dat.zip
- <Package Folder>/files/libuninstall.so
- <Package Folder>/files/only_you.oly
- <Package Folder>/files/tmp_114_1501849340168
- <Package Folder>/files/tmp_114_1501849340365
- <Package Folder>/files/tmp_131_1501849337756
- <Package Folder>/files/tmp_131_1501849338440
- <Package Folder>/files/uninstall
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/GlobalFlag.xml
- <Package Folder>/shared_prefs/QH_DeviceSDK.xml
- <Package Folder>/shared_prefs/QH_SDK_M2.xml
- <Package Folder>/shared_prefs/QH_SDK_UserData.xml
- <Package Folder>/shared_prefs/QH_SDK_UserData.xml.bak
- <Package Folder>/shared_prefs/QH_SDK_UserDatae7b24b112a44fdd9ee...0e.xml
- <Package Folder>/shared_prefs/QH_SDK_sessionID.xml
- <Package Folder>/shared_prefs/ad_show_time.xml
- <Package Folder>/shared_prefs/jg_app_update_settings_random.xml
- <Package Folder>/shared_prefs/permmgr.xml
- <SD-Card>/.applogs/.7fe71a5f3ad3c189b912c0e811ca6ce2
- <SD-Card>/.applogs/.log.2
- <SD-Card>/360/####/Y29tLnFpaG9vLnBlcm1tZ3I=
- <SD-Card>/360/####/Y29tLnFpaG9vLnBlcm1tZ3I= (deleted)
- <SD-Card>/360/####/e7b24b112a44fdd9ee93bdf998c6ca0e
- <SD-Card>/360/####/mR0
- <SD-Card>/360/####/mR0 (deleted)
- <SD-Card>/360/.deviceId
Другие:
Запускает следующие shell-скрипты:
- cat /proc/version
- cat /sys/class/android_usb/android0/idProduct
- cat /sys/class/android_usb/android0/idVendor
- chmod 700 <Package Folder>/app_bin/daemon
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- chmod 755 <Package Folder>/files
- chmod 755 <Package Folder>/files/libuninstall.so
- chmod 755 <Package Folder>/files/permmgr
- chmod 755 <Package Folder>/files/permmgr/emucheck
- getenforce
- getprop
- ls -l /system/bin/app_process
- sh <Package Folder>/files/permmgr/emucheck checkemulator
- su -v
Загружает динамические библиотеки:
- ac
- libjiagu
- libuninstall
- libvxproto
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES-CBC-PKCS5Padding
- RSA
- RSA-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
