Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.2083
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) pug220####.pubm####.com:80
- TCP(HTTP/1.1) googl####.g.doublec####.net:80
- TCP(HTTP/1.1) rub####.s####.com:80
- TCP(HTTP/1.1) app-adf####.jp:80
- TCP(HTTP/1.1) p####.dmp.xlis####.jp:80
- TCP(HTTP/1.1) bigmi####.com:80
- TCP(HTTP/1.1) www.go####.com:80
- TCP(HTTP/1.1) j####.o####.net:80
- TCP(HTTP/1.1) p####.rubicon####.com:80
- TCP(HTTP/1.1) d.s####.com:80
- TCP(HTTP/1.1) ssp-####.i-mo####.co.jp:80
- TCP(HTTP/1.1) imo####.s####.com:80
- TCP(HTTP/1.1) cm.g.doublec####.net:80
- TCP(HTTP/1.1) js.ad-####.com:80
- TCP(HTTP/1.1) s####.s####.mic####.jp:80
- TCP(HTTP/1.1) tg.s####.com:80
- TCP(HTTP/1.1) i.s####.com.####.net:80
- TCP(HTTP/1.1) www.go####.nl:80
- TCP(HTTP/1.1) ad.ad-####.com:80
- TCP(HTTP/1.1) y.one.impac####.jp:80
- TCP(TLS/1.0) s####.t####.tv:443
- TCP(TLS/1.0) imo####.s####.com:443
- TCP(TLS/1.0) cm.g.doublec####.net:443
- TCP(TLS/1.0) pp.d2-####.net:443
- TCP(TLS/1.0) in.treasur####.com:443
- UDP 1####.168.64.254:56110
Запросы DNS:
- a.appj####.com
- ad.ad-####.com
- api.a####.net
- app-adf####.jp
- bigmi####.com
- cm.g.doublec####.net
- d.s####.com
- gdn.s####.com
- googl####.g.doublec####.net
- i.s####.com
- im####.pubm####.com
- imo####.s####.com
- in.treasur####.com
- j####.o####.net
- js.ad-####.com
- p####.dmp.xlis####.jp
- p####.rubicon####.com
- pp.d2-####.net
- rub####.s####.com
- s####.s####.mic####.jp
- s####.t####.tv
- ssp-####.i-mo####.co.jp
- tg.s####.com
- www.go####.com
- www.go####.nl
- y.one.impac####.jp
Запросы HTTP GET:
- ad.ad-####.com/ad?app_id=MEDIA-cfb5784f&ad_spot_no=3&locale=en&ut=150806...
- cm.g.doublec####.net/pixel?google_nid=####&googl####
- cm.g.doublec####.net/pixel?google_nid=####&google_cm=####&google_tc=####
- d.s####.com/adsv/v1?posall=####&id=####&sdktype=####&sdkver=####&appname...
- googl####.g.doublec####.net/pagead/viewthroughconversion/1003105897/?val...
- i.s####.com.####.net/sdk/js/adg-script-base.js
- i.s####.com.####.net/sdk/js/prefs.js
- j####.o####.net/w/1.0/sd?cc=####&id=####&val=####
- j####.o####.net/w/1.0/sd?id=####&val=####
- js.ad-####.com/js/adstir.js?2013####
- pug220####.pubm####.com/AdServer/Pug?vcode=b####&piggybackCookie=####
- s####.s####.mic####.jp/hs?id=####&k=####
- www.go####.com/ads/user-lists/1003105897/?value=####&label=####&guid=###...
- www.go####.nl/ads/user-lists/1003105897/?value=####&label=####&guid=####...
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_ivhohy/<Package>.odex
- <Package Folder>/app_ivhohy/<Package>.zip
- <Package Folder>/app_jgls/.log.lock
- <Package Folder>/app_jgls/.log.ls
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/index
- <Package Folder>/cache/media.db
- <Package Folder>/cache/media.db-journal
- <Package Folder>/cache/tmp.db
- <Package Folder>/cache/tmp.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/databases/webviewCookiesChromiumPrivate.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml.bak
- <Package Folder>/shared_prefs/APPC_CPISDK_INF_X1_<Package>.xml
- <Package Folder>/shared_prefs/jg_app_update_settings_random.xml
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Отрисовывает собственные окна поверх других приложений.
