Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Xiny.20
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) a.sm####.cn:80
- TCP(HTTP/1.1) 2####.243.193.31:80
- TCP(HTTP/1.1) b.sm####.cn:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) d.xiongj####.com.####.com:80
- UDP(NTP) 2.and####.p####.####.org:123
- TCP(TLS/1.0) www.googlea####.com:443
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) lh3.googleu####.com:443
- TCP(TLS/1.0) pag####.googlea####.com:443
- TCP(TLS/1.0) googl####.g.doublec####.net:443
- TCP(TLS/1.0) tpc.googles####.com:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
- TCP(TLS/1.0) pag####.googles####.com:443
- TCP(TLS/1.0) lh5.googleu####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) ssl.google-####.com:443
- TCP(TLS/1.0) l####.chartb####.com:443
- TCP(TLS/1.0) v3.chartb####.com:443
- TCP(TLS/1.0) f####.google####.com:443
- TCP(TLS/1.0) app.appsf####.com:443
- TCP(TLS/1.0) d####.fl####.com:443
- TCP(TLS/1.0) a3.chartb####.com:443
Запросы DNS:
- 2.and####.p####.####.org
- a####.u####.com
- a.appj####.com
- a.sm####.cn
- a3.chartb####.com
- and####.cli####.go####.com
- app.appsf####.com
- b.sm####.cn
- d####.fl####.com
- d.xiongj####.com.cn
- f####.google####.com
- f####.gst####.com
- googl####.g.doublec####.net
- l####.chartb####.com
- lh3.googleu####.com
- lh5.googleu####.com
- mt####.go####.com
- pag####.googlea####.com
- pag####.googles####.com
- ssl.google-####.com
- tpc.googles####.com
- v3.chartb####.com
- www.googlea####.com
- www.gst####.com
Запросы HTTP GET:
- d.xiongj####.com.####.com/jfile/giantt.jar
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_jgls/.log.lock
- <Package Folder>/app_jgls/.log.ls
- <Package Folder>/app_sslcache/a3.chartboost.com.443
- <Package Folder>/cache/####/cb_previous_session_info
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/f_000001
- <Package Folder>/cache/####/f_000002
- <Package Folder>/cache/####/f_000003
- <Package Folder>/cache/####/index
- <Package Folder>/cache/ApplicationCache.db-journal
- <Package Folder>/cache/ApplicationCache.db-journal (deleted)
- <Package Folder>/cache/ads1080419470.jar
- <Package Folder>/databases/####/https_googleads.g.doubleclick.n...leted)
- <Package Folder>/databases/####/https_googleads.g.doubleclick.n...ournal
- <Package Folder>/databases/downloadswc
- <Package Folder>/databases/downloadswc-journal
- <Package Folder>/databases/google_analytics_v4.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/.FlurrySenderIndex.info.AnalyticsData_FT...XB_171
- <Package Folder>/files/.FlurrySenderIndex.info.AnalyticsMain
- <Package Folder>/files/.flurryagent.-43712830
- <Package Folder>/files/.flurrydatasenderblock.0230c550-52ff-44c...30bfb9
- <Package Folder>/files/.flurrydatasenderblock.4f3b9265-0b65-47a...1635da
- <Package Folder>/files/.flurrydatasenderblock.91a42e17-12d0-48b...b64912
- <Package Folder>/files/.imprint
- <Package Folder>/files/gaClientId
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml.bak
- <Package Folder>/shared_prefs/W_Key.xml
- <Package Folder>/shared_prefs/a.xml
- <Package Folder>/shared_prefs/admob.xml
- <Package Folder>/shared_prefs/cbPrefs.xml
- <Package Folder>/shared_prefs/cbPrefs.xml.bak
- <Package Folder>/shared_prefs/jg_app_update_settings_random.xml
- <Package Folder>/shared_prefs/mobclick_agent_online_setting_<Package>.xml
- <Package Folder>/shared_prefs/st.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml.bak
- <SD-Card>/Download/####/4.5_giantt.jar.tmp
- <SD-Card>/__chartboost/####/.nomedia
- <SD-Card>/__chartboost/####/1638cbdd16e9a429209c8de80a7ff387482aaf01.png
- <SD-Card>/__chartboost/####/17ad099e2715091e3857121752aab16c83c40ea9.png
- <SD-Card>/__chartboost/####/595e2cf0f6cd456dbf4acc17_320-1504153070.mp4
- <SD-Card>/__chartboost/####/5992a51404b0167be7611730_320-1502782740.mp4
- <SD-Card>/__chartboost/####/5992ab9404b0167bda6d35d1_320-1502784404.mp4
- <SD-Card>/__chartboost/####/5d04d314fece9340d818a7fe52dfd57e37734a75.png
- <SD-Card>/__chartboost/####/668939730e4bfbf738a071e0767265257160aaf5.png
- <SD-Card>/__chartboost/####/7e265867124e773e7ee5144c9e05b36f20fe43bc.png
- <SD-Card>/__chartboost/####/7ebfab498238a9d6b04d07121f8c27c2ade676e5.png
- <SD-Card>/__chartboost/####/8650bb696b779f6f422a9f2d1928a829ddc55dbc.png
- <SD-Card>/__chartboost/####/abcce95ff069a1f8a3692d2b27d0766357cfda31.png
- <SD-Card>/__chartboost/####/b1afafcd4401c70fc4721521d28fb5132d611340.png
- <SD-Card>/__chartboost/####/c500ad431d9a36bdc7aff602ce0f502d3d22a63b.png
- <SD-Card>/__chartboost/####/ccd97937423817443ecfd9c7da50b58bc2902b02.png
- <SD-Card>/__chartboost/####/d8777704ca39818104e18d3612c297fabc079503.png
- <SD-Card>/__chartboost/####/e1564180e73179017a146c9daab70b762f468886.png
- <SD-Card>/dt/restime.dat
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- bot
- libjiagu
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Отрисовывает собственные окна поверх других приложений.
