Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Backdoor.564.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) l####.tbs.qq.com:80
- TCP(HTTP/1.1) apilo####.a####.com:80
- TCP(HTTP/1.1) t####.talking####.net:80
- TCP(HTTP/1.1) res####.a####.com:80
- TCP(TLS/1.0) nbsdk-b####.al####.com:443
Запросы DNS:
- ad####.m.ta####.com
- ada####.m.ta####.com
- ap####.un####.cn
- api####.a####.com
- api.tui####.b####.com
- e####.un####.cn
- l####.tbs.qq.com
- m####.un####.cn
- nbsdk-b####.al####.com
- res####.a####.com
- t####.talking####.net
- y####.al####.com
Запросы HTTP POST:
- apilo####.a####.com/v3/log/init
- l####.tbs.qq.com/ajax?c=####&k=####
- res####.a####.com/v3/config/resource?
- t####.talking####.net/g/d
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_SGLib/libsgmainso-5.1.96.so.tmp
- <Package Folder>/app_SGLib/libsgsecuritybodyso-5.1.25.so.tmp
- <Package Folder>/app_SGLib/lock.lock
- <Package Folder>/app_tbs/####/core_info
- <Package Folder>/app_tbs/####/tbscoreinstall.txt
- <Package Folder>/app_tbs/####/tbslock.txt
- <Package Folder>/database/pushinfo.db
- <Package Folder>/database/pushinfo.db-journal
- <Package Folder>/databases/pushstat_5.7.0.db
- <Package Folder>/databases/pushstat_5.7.0.db-journal
- <Package Folder>/databases/ut.db
- <Package Folder>/databases/ut.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/0a231bd8575dcf72.txt
- <Package Folder>/files/21c22f492aba3de8.lock
- <Package Folder>/files/8ef9c457b3bbb403.lock
- <Package Folder>/files/930a31b34bd52c08.lock
- <Package Folder>/files/Q0VSVC5SU0EK.txt82f
- <Package Folder>/files/SGMANAGER_DATA2.tmp
- <Package Folder>/files/TDtcagent.db
- <Package Folder>/files/TDtcagent.db-journal
- <Package Folder>/files/ap.Lock
- <Package Folder>/files/libcuid.so
- <Package Folder>/files/lotuseed.apps
- <Package Folder>/files/lotuseed.lock
- <Package Folder>/files/lotuseed.s
- <Package Folder>/files/lotuseed.task
- <Package Folder>/files/sp.lock
- <Package Folder>/files/timestamp
- <Package Folder>/shared_prefs/<Package>.push_sync.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/AlibcLinkPartner.xml
- <Package Folder>/shared_prefs/Alvin2.xml
- <Package Folder>/shared_prefs/ContextData.xml
- <Package Folder>/shared_prefs/UTCommon.xml
- <Package Folder>/shared_prefs/aliTradeConfigSP.xml
- <Package Folder>/shared_prefs/auth_sdk_device.xml
- <Package Folder>/shared_prefs/com.baidu.pushservice.BIND_CACHE.xml
- <Package Folder>/shared_prefs/last_known_location.xml
- <Package Folder>/shared_prefs/lotuseed_global.xml
- <Package Folder>/shared_prefs/lotuseed_main.xml
- <Package Folder>/shared_prefs/notification_builder_storage.xml
- <Package Folder>/shared_prefs/pst.xml
- <Package Folder>/shared_prefs/pushclient.xml
- <Package Folder>/shared_prefs/screen.xml
- <Package Folder>/shared_prefs/tbs_download_config.xml
- <Package Folder>/shared_prefs/tbs_download_stat.xml
- <SD-Card>/.DataStorage/ContextData.xml
- <SD-Card>/.UTSystemConfig/####/Alvin2.xml
- <SD-Card>/.com.taobao.dp/6c709c11d2d46a7b
- <SD-Card>/.com.taobao.dp/dd7893586a493dc3
- <SD-Card>/.system/lotuseed.devid
- <SD-Card>/.tid638107681
- <SD-Card>/Android/####/.nomedia
- <SD-Card>/Android/####/journal.tmp
- <SD-Card>/backups/####/.cuid
- <SD-Card>/backups/####/.cuid2
- <SD-Card>/baidu/####/msg20171101.log
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- getprop ro.product.cpu.abi
- ps
Загружает динамические библиотеки:
- bdpush_V2_7
- libjiagu
- sgmainso-5.1
- sgsecuritybodyso-5.1
- ut_c_api
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
