Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Tool.SilentInstaller.1.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) v####.f.360.cn:80
- TCP(HTTP/1.1) m####.f.360.cn:80
- TCP(TLS/1.0) gm.mm####.com:443
- TCP(TLS/1.0) nbsdk-b####.al####.com:443
Запросы DNS:
- ag####.m.ta####.com
- c####.api.36####.com
- mc####.f.360.cn
- mi.g####.qq.com
- mo####.b####.com
- mobads-####.b####.com
- mv####.f.360.cn
- n####.lud####.com
- nbsdk-b####.al####.com
- ope####.l####.360.cn
- oth.up####.mdt.####.com
- s####.e.qq.com
- s.lud####.com
- sdk.me####.com
- sh####.me####.com
- sj####.lud####.com
- t####.me####.com
- tunion####.m.ta####.com
- wgo.mm####.com
- www.lud####.com
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_MyLibs/libMyCore3.so
- <Package Folder>/app_baidu_ad_sdk/__xadsdk__remote__final__builtin__.jar
- <Package Folder>/app_baidu_ad_sdk/__xadsdk__remote__final__running__.jar
- <Package Folder>/app_e_qq_com_plugin/gdt_plugin.jar
- <Package Folder>/app_e_qq_com_plugin/gdt_plugin.jar.sig
- <Package Folder>/app_e_qq_com_plugin/update_lc
- <Package Folder>/databases/GDTSDK.db
- <Package Folder>/databases/GDTSDK.db-journal
- <Package Folder>/databases/MessageStore.db-journal
- <Package Folder>/databases/MsgLogStore.db-journal
- <Package Folder>/databases/accs.db-journal
- <Package Folder>/databases/apk_dl_info.db
- <Package Folder>/databases/apk_dl_info.db-journal
- <Package Folder>/databases/message_accs_db
- <Package Folder>/databases/message_accs_db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/databases/webviewCookiesChromiumPrivate.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/####/DexUtils.locker
- <Package Folder>/files/####/finalcore.jar
- <Package Folder>/files/####/finalcore.jar.tmp
- <Package Folder>/files/####/libmobilesafe360_clear-jni-4.1.so.locker
- <Package Folder>/files/####/o_c_m_db1.locker
- <Package Folder>/files/####/o_c_p_l.locker
- <Package Folder>/files/DaemonServer
- <Package Folder>/files/agoo.pid
- <Package Folder>/files/beacontsa_cover_check.lock
- <Package Folder>/files/libmobilesafe360_clear-jni-4.1.so
- <Package Folder>/files/o_c_cus.dat
- <Package Folder>/files/o_c_cus.dat.timestamp
- <Package Folder>/files/o_c_m_db1.dat
- <Package Folder>/files/o_c_p_l.dat
- <Package Folder>/files/o_c_p_l.dat.timestamp
- <Package Folder>/files/o_c_speed_p_new
- <Package Folder>/files/o_c_spf.dat
- <Package Folder>/files/o_c_spf.dat.timestamp
- <Package Folder>/files/o_c_spu_ex.dat
- <Package Folder>/files/o_c_spu_ex.dat.temp
- <Package Folder>/files/o_c_spu_ex.dat.timestamp
- <Package Folder>/files/oclt_v2.jar.temp
- <Package Folder>/files/oclt_v2.jar.timestamp.temp
- <Package Folder>/files/timestamp
- <Package Folder>/raw/barrel.jpg
- <Package Folder>/raw/barrel.pvr
- <Package Folder>/raw/butcher.jpg
- <Package Folder>/raw/butcher.pvr
- <Package Folder>/raw/butcher_3d
- <Package Folder>/raw/car.jpg
- <Package Folder>/raw/car.pvr
- <Package Folder>/raw/env_3d
- <Package Folder>/raw/font.bmp
- <Package Folder>/raw/font.pvr
- <Package Folder>/raw/font_tr.bmp
- <Package Folder>/raw/font_tr.pvr
- <Package Folder>/raw/ground_01.jpg
- <Package Folder>/raw/ground_01.pvr
- <Package Folder>/raw/ground_02.jpg
- <Package Folder>/raw/ground_02.pvr
- <Package Folder>/raw/halo.bmp
- <Package Folder>/raw/halo.pvr
- <Package Folder>/raw/hammer.jpg
- <Package Folder>/raw/hammer.pvr
- <Package Folder>/raw/nnet.dat
- <Package Folder>/raw/plant.pvr
- <Package Folder>/raw/plant.tga
- <Package Folder>/raw/player.jpg
- <Package Folder>/raw/player.pvr
- <Package Folder>/raw/player_3d
- <Package Folder>/raw/sky.jpg
- <Package Folder>/raw/sky.pvr
- <Package Folder>/raw/star.bmp
- <Package Folder>/raw/sword.jpg
- <Package Folder>/raw/sword.pvr
- <Package Folder>/raw/trash.jpg
- <Package Folder>/raw/trash.pvr
- <Package Folder>/raw/tyre.jpg
- <Package Folder>/raw/tyre.pvr
- <Package Folder>/shared_prefs/<Package>_<Package>_framework_pre...es.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/ACCS_SDK.xml
- <Package Folder>/shared_prefs/ACCS_SDK_CHANNEL.xml
- <Package Folder>/shared_prefs/ACCS_SDK_CHANNEL.xml.bak
- <Package Folder>/shared_prefs/Agoo_AppStore.xml
- <Package Folder>/shared_prefs/Alvin2.xml
- <Package Folder>/shared_prefs/ContextData.xml
- <Package Folder>/shared_prefs/__x_adsdk_agent_header__.xml
- <Package Folder>/shared_prefs/app.xml
- <Package Folder>/shared_prefs/beacontsa_cover.xml
- <Package Folder>/shared_prefs/c_s_f.xml
- <Package Folder>/shared_prefs/camera_file.xml
- <Package Folder>/shared_prefs/com.baidu.mobads.loader.xml
- <Package Folder>/shared_prefs/cooling_app_white_list.xml
- <Package Folder>/shared_prefs/imei.xml
- <Package Folder>/shared_prefs/multidex.version.xml
- <Package Folder>/shared_prefs/news_sdk_status.xml
- <Package Folder>/shared_prefs/p_w_l.xml
- <Package Folder>/shared_prefs/sdk_config.xml
- <Package Folder>/shared_prefs/shared_pref_clear_sdk.xml
- <Package Folder>/shared_prefs/stat_c_s.xml
- <Package Folder>/shared_prefs/tb_session.xml
- <Package Folder>/shared_prefs/umeng_message_state.xml
- <Package Folder>/shared_prefs/update_pref.xml
- <Package Folder>/virtual/####/0.xml
- <Package Folder>/virtual/####/userlist.xml
- <SD-Card>/.DataStorage/ContextData.xml
- <SD-Card>/.UTSystemConfig/####/Alvin2.xml
- <SD-Card>/.sfp/.sfp
- <SD-Card>/.testf
- <SD-Card>/360/####/logs_360_clear
- <SD-Card>/360/####/logs_360_clear.timestamp
- <SD-Card>/Android/####/.nomedia
- <SD-Card>/ludashi/####/ludashi-benchmark-2017-10-30-09-02-45.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- <Package Folder>/app_MyLibs/libMyCore3.so --dir=<Package Folder> --url=http://sjrank.ludashi.com/other/uninst.php?action=index&appver=130&mid=33203d4064e1a3381ebef76a11ebc828&channel=baidu --port=36442 --pname=benchmark:unin --daemon
- <Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:582988138f4a9d129500017c","utdid":"WfbqtSBTzb0DAGdzx1HXZr9Y","sdkVersion":"212"} -I agoodm.m.taobao.com -O 80 -T -Z
- <Package Folder>/lib/libldsdaemon_2.so <Package Folder>/daemon.pid <Package>/.daemon.DaemonReceiver 0 /storage/emulated/0/Android/data/<Package>/files/LudashiErase <Package Folder>/ http://sjrank.ludashi.com/other/uninst.php?action=index&appver=130&mid=33203d4064e1a3381ebef76a11ebc828&channel=baidu /murl?os=Android 4.3.1&chanel=baidu&source=new&vendor=<System Property>&mid=33203d4064e1a3381ebef76a11ebc828&type=uninstall_silent&modal=<System Property>&appver=130
- chmod 500 <Package Folder>/files/DaemonServer
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- chmod 755 <Package Folder>/app_MyLibs/libMyCore3.so
- getprop ro.miui.ui.version.code
- getprop ro.miui.ui.version.name
- getprop ro.product.cpu.abi
- sh
- sh -c <Package Folder>/lib/libldsdaemon_2.so <Package Folder>/daemon.pid <Package>/.daemon.DaemonReceiver 0 /storage/emulated/0/Android/data/<Package>/files/LudashiErase <Package Folder>/ http://sjrank.ludashi.com/other/uninst.php?action=index&appver=130&mid=33203d4064e1a3381ebef76a11ebc828&channel=baidu /murl?os=Android 4.3.1&chanel=baidu&source=new&vendor=<System Property>&mid=33203d4064e1a3381ebef76a11ebc828&type=uninstall_silent&modal=<System Property>&appver=130
Загружает динамические библиотеки:
- cpuinfo_x86
- daemonproxy
- erase_x86
- ldsBench_1
- libjiagu
- libmobilesafe360_clear-jni-4.1
- libupdate-jni-1.0.1.2002
- tnet-3.1
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к интерфейсу камеры.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Осуществляет доступ к информации о зарегистрированных на устройстве аккаунтах (Google, Facebook и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
