Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Tool.Iresearch.1.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) gd.a.s####.com:80
- TCP(TLS/1.0) w####.e####.top:443
Запросы DNS:
- api.tv.s####.com
- d.1####.net
- hui.s####.com
- mb.hd.s####.####.cn
- mt####.go####.com
- v4.1####.com
- w####.e####.top
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/databases/fonePlayer.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/defaultImage.jpg
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/Reporter_Info.xml
- <Package Folder>/shared_prefs/SWITCH.xml
- <Package Folder>/shared_prefs/SWITCH.xml.bak
- <Package Folder>/shared_prefs/auto_update_dict.xml
- <Package Folder>/shared_prefs/fone_player_share_preference.xml
- <Package Folder>/shared_prefs/notificationService.xml
- <Package Folder>/shared_prefs/notificationService.xml.bak
- <Package Folder>/shared_prefs/sohu_player.xml
- <Package Folder>/shared_prefs/vbz.xml
- <SD-Card>/100tv/foneplayer.db
- <SD-Card>/Android/####/.nomedia
- <SD-Card>/Android/####/journal.tmp
- <SD-Card>/id_num.txt
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- cat /sys/class/net/wlan0/address
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- mount
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
