Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.502.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(GCM) <Google Host>
- TCP(HTTP/1.1) t####.qq.com:14000
- TCP(HTTP/1.1) z####.web.admi####.####.cn:80
- TCP(HTTP/1.1) www.p####.com:80
- TCP(HTTP/1.1) pi####.qq.com:80
- TCP(HTTP/1.1) t####.qq.com:80
- TCP t3.jz####.com:7703
- TCP t####.qq.com:80
- TCP x1.v####.com:7601
- TCP t1.jz####.com:7701
- TCP t####.qq.com:14000
- TCP x2.v####.com:7602
- TCP t2.jz####.com:7702
- TCP x3.v####.com:7602
- TCP x3.v####.com:7603
Запросы DNS:
- pi####.qq.com
- t####.qq.com
- t1.jz####.com
- t2.jz####.com
- t3.jz####.com
- www.p####.com
- x1.v####.com
- x2.v####.com
- x3.v####.com
- z####.web.admi####.####.cn
Запросы HTTP POST:
- pi####.qq.com/mstat/report/?index=####
- www.p####.com/apiv1/sdkstat/install
- www.p####.com/apiv1/sdkstat/launch
- z####.web.admi####.####.cn/cm/login.php
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/databases/a1.db-journal
- <Package Folder>/databases/bmobchat.db-journal
- <Package Folder>/databases/clothman.db-journal
- <Package Folder>/databases/k_d.db-journal
- <Package Folder>/databases/pri_tencent_analysis.db-journal
- <Package Folder>/databases/tencent_analysis.db
- <Package Folder>/databases/tencent_analysis.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/01507121038506.jar
- <Package Folder>/files/1507121038258a.jar
- <Package Folder>/files/libjiagu.so
- <Package Folder>/shared_prefs/.tpns.xml.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml.bak (deleted)
- <Package Folder>/shared_prefs/a1.xml
- <Package Folder>/shared_prefs/a1<IMEI>.xml
- <Package Folder>/shared_prefs/b1<IMEI>.xml
- <Package Folder>/shared_prefs/c1<IMEI>.xml
- <Package Folder>/shared_prefs/device_id.xml
- <Package Folder>/shared_prefs/pgyersdk.xml
- <Package Folder>/shared_prefs/xappInfo_pre.xml
- <Package Folder>/shared_prefs/xconf_pre.xml
- <Package Folder>/shared_prefs/xtrategy_pre.xml
- <SD-Card>/Tencent/####/.mid.txt
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- chmod 755 <Package Folder>/files/libjiagu.so
- sh <Package Folder>/lib/libtpnsWatchdog.so <Package>,2100188281; 55611 203.205.128.130 [{ idx :0, ts :%d, et :2000, si :0, ui : <IMEI> , ky : Axg%lu , mid : 1ea34dabbe4a887a4f358e7f0dad8890a413ad0b , ev :{ ov : 18 , sr : 800*552 , md : <System Property> , lg : en , sv : 2.42 , mf : unknown , apn : %s }}] 0 18
- sh <Package Folder>/lib/libtpnsWatchdog.so <Package>,2100188281;<Package>,2100188281; 55611 203.205.128.130 [{ idx :0, ts :%d, et :2000, si :0, ui : <IMEI> , ky : Axg%lu , mid : 1ea34dabbe4a887a4f358e7f0dad8890a413ad0b , ev :{ ov : 18 , sr : 800*552 , md : <System Property> , lg : en , sv : 2.42 , mf : unknown , apn : %s }}] 0 18
Загружает динамические библиотеки:
- BaiduMapSDK_v3_0_0
- MtaNativeCrash
- libjiagu
- tpnsSecurity
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
