Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Tool.SilentInstaller.1.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(TLS/1.0) 1####.217.17.142:443
- TCP(TLS/1.0) gm.mm####.com:443
- TCP(TLS/1.0) nbsdk-b####.al####.com:443
Запросы DNS:
- ag####.m.ta####.com
- amdc####.m.ta####.com
- i.sn####.com
- mi.g####.qq.com
- mo####.b####.com
- mobads-####.b####.com
- nbsdk-b####.al####.com
- ope####.l####.360.cn
- oth.up####.mdt.####.com
- s####.e.qq.com
- s.lud####.com
- sdk.me####.com
- sh####.me####.com
- sj####.lud####.com
- t####.me####.com
- tunion####.m.ta####.com
- umen####.m.ta####.com
- umengj####.m.ta####.com
- wgo.mm####.com
- www.lud####.com
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_MyLibs/libMyCore3.so
- <Package Folder>/app_baidu_ad_sdk/__xadsdk__remote__final__builtin__.jar
- <Package Folder>/app_baidu_ad_sdk/__xadsdk__remote__final__running__.jar
- <Package Folder>/app_e_qq_com_plugin/gdt_plugin.jar
- <Package Folder>/app_e_qq_com_plugin/gdt_plugin.jar.sig
- <Package Folder>/app_e_qq_com_plugin/update_lc
- <Package Folder>/daemon.pid
- <Package Folder>/databases/GDTSDK.db
- <Package Folder>/databases/GDTSDK.db-journal
- <Package Folder>/databases/MessageStore.db
- <Package Folder>/databases/MessageStore.db-journal
- <Package Folder>/databases/MsgLogStore.db
- <Package Folder>/databases/MsgLogStore.db-journal
- <Package Folder>/databases/accs.db
- <Package Folder>/databases/accs.db-journal
- <Package Folder>/databases/apk_dl_info.db
- <Package Folder>/databases/apk_dl_info.db-journal
- <Package Folder>/databases/message_accs_db
- <Package Folder>/databases/message_accs_db-journal
- <Package Folder>/databases/ttopensdk.db-journal
- <Package Folder>/databases/webview.db
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/databases/webviewCookiesChromiumPrivate.db
- <Package Folder>/databases/webviewCookiesChromiumPrivate.db-jou...leted)
- <Package Folder>/databases/webviewCookiesChromiumPrivate.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/####/finalcore.dex
- <Package Folder>/files/####/finalcore.jar
- <Package Folder>/files/####/finalcore.jar.tmp
- <Package Folder>/files/DaemonServer
- <Package Folder>/files/agoo.pid
- <Package Folder>/files/beacontsa_cover_check.lock
- <Package Folder>/files/timestamp
- <Package Folder>/raw/barrel.jpg
- <Package Folder>/raw/barrel.pvr
- <Package Folder>/raw/butcher.jpg
- <Package Folder>/raw/butcher.pvr
- <Package Folder>/raw/butcher_3d
- <Package Folder>/raw/car.jpg
- <Package Folder>/raw/car.pvr
- <Package Folder>/raw/env_3d
- <Package Folder>/raw/font.bmp
- <Package Folder>/raw/font.pvr
- <Package Folder>/raw/font_tr.bmp
- <Package Folder>/raw/font_tr.pvr
- <Package Folder>/raw/ground_01.jpg
- <Package Folder>/raw/ground_01.pvr
- <Package Folder>/raw/ground_02.jpg
- <Package Folder>/raw/ground_02.pvr
- <Package Folder>/raw/halo.bmp
- <Package Folder>/raw/halo.pvr
- <Package Folder>/raw/hammer.jpg
- <Package Folder>/raw/hammer.pvr
- <Package Folder>/raw/nnet.dat
- <Package Folder>/raw/plant.pvr
- <Package Folder>/raw/plant.tga
- <Package Folder>/raw/player.jpg
- <Package Folder>/raw/player.pvr
- <Package Folder>/raw/player_3d
- <Package Folder>/raw/sky.jpg
- <Package Folder>/raw/sky.pvr
- <Package Folder>/raw/star.bmp
- <Package Folder>/raw/sword.jpg
- <Package Folder>/raw/sword.pvr
- <Package Folder>/raw/trash.jpg
- <Package Folder>/raw/trash.pvr
- <Package Folder>/raw/tyre.jpg
- <Package Folder>/raw/tyre.pvr
- <Package Folder>/shared_prefs/<Package>_<Package>_framework_pre...es.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/ACCS_SDK.xml
- <Package Folder>/shared_prefs/ACCS_SDK_CHANNEL.xml
- <Package Folder>/shared_prefs/Agoo_AppStore.xml
- <Package Folder>/shared_prefs/Alvin2.xml
- <Package Folder>/shared_prefs/ContextData.xml
- <Package Folder>/shared_prefs/__x_adsdk_agent_header__.xml
- <Package Folder>/shared_prefs/app.xml
- <Package Folder>/shared_prefs/beacontsa_cover.xml
- <Package Folder>/shared_prefs/camera_file.xml
- <Package Folder>/shared_prefs/com.baidu.mobads.loader.xml
- <Package Folder>/shared_prefs/imei.xml
- <Package Folder>/shared_prefs/multidex.version.xml
- <Package Folder>/shared_prefs/new_device_rcmd.xml
- <Package Folder>/shared_prefs/news_sdk_status.xml
- <Package Folder>/shared_prefs/p_w_l.xml
- <Package Folder>/shared_prefs/sdk_config.xml
- <Package Folder>/shared_prefs/shared_pref_clear_sdk.xml
- <Package Folder>/shared_prefs/tb_session.xml
- <Package Folder>/shared_prefs/ttopenadsdk.xml
- <Package Folder>/shared_prefs/umeng_message_state.xml
- <Package Folder>/virtual/####/0.xml
- <Package Folder>/virtual/####/userlist.xml
- <SD-Card>/.DataStorage/ContextData.xml
- <SD-Card>/.UTSystemConfig/####/Alvin2.xml
- <SD-Card>/.sfp/.sfp
- <SD-Card>/.testf
- <SD-Card>/Android/####/.nomedia
- <SD-Card>/ludashi/####/ludashi-benchmark-2017-10-16-08-42-15.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- <Package Folder>/app_MyLibs/libMyCore3.so --dir=<Package Folder> --url=http://sjrank.ludashi.com/other/uninst.php?action=index&appver=133&mid=33203d4064e1a3381ebef76a11ebc828&channel=360 --port=36442 --pname=benchmark:unin --daemon
- <Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:582988138f4a9d129500017c","utdid":"WeRw59gpdaMDAGdzx1EV/8cA","sdkVersion":"221"} -I agoodm.m.taobao.com -O 80 -T -Z
- <Package Folder>/lib/libldsdaemon_2.so <Package Folder>/daemon.pid <Package>/.daemon.DaemonReceiver 0 /storage/emulated/0/Android/data/<Package>/files/LudashiErase <Package Folder>/ http://sjrank.ludashi.com/other/uninst.php?action=index&appver=133&mid=33203d4064e1a3381ebef76a11ebc828&channel=360 /murl?os=Android 4.3.1&chanel=360&source=new&vendor=<System Property>&mid=33203d4064e1a3381ebef76a11ebc828&type=uninstall_silent&modal=<System Property>&appver=133
- chmod 500 <Package Folder>/files/DaemonServer
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- chmod 755 <Package Folder>/app_MyLibs/libMyCore3.so
- getprop ro.build.version.emui
- getprop ro.miui.ui.version.code
- getprop ro.miui.ui.version.name
- getprop ro.product.cpu.abi
- sh
- sh -c <Package Folder>/lib/libldsdaemon_2.so <Package Folder>/daemon.pid <Package>/.daemon.DaemonReceiver 0 /storage/emulated/0/Android/data/<Package>/files/LudashiErase <Package Folder>/ http://sjrank.ludashi.com/other/uninst.php?action=index&appver=133&mid=33203d4064e1a3381ebef76a11ebc828&channel=360 /murl?os=Android 4.3.1&chanel=360&source=new&vendor=<System Property>&mid=33203d4064e1a3381ebef76a11ebc828&type=uninstall_silent&modal=<System Property>&appver=133
- sh <Package Folder>/app_MyLibs/libMyCore3.so --dir=<Package Folder> --url=http://sjrank.ludashi.com/other/uninst.php?action=index&appver=133&mid=33203d4064e1a3381ebef76a11ebc828&channel=360 --port=36442 --pname=benchmark:unin --daemon
Загружает динамические библиотеки:
- cpuinfo_x86
- daemonproxy
- erase_x86
- ldsBench_1
- libjiagu
- tnet-3.1
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к интерфейсу камеры.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о зарегистрированных на устройстве аккаунтах (Google, Facebook и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
