Техническая информация
Вредоносные функции:
Отправляет СМС-сообщения:
- 13840272844: <SMS Content>
Загружает на исполнение код следующих детектируемых угроз:
- Android.Spy.165.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) www.m####.com.####.com:80
- TCP(HTTP/1.1) q####.com.edg####.net:80
- TCP(HTTP/1.1) qiy####.com.edg####.net:80
- TCP(HTTP/1.1) i####.com.edg####.net:80
- TCP(TLS/1.0) st.bz.m####.####.com:443
- TCP(TLS/1.0) css.m####.com.####.com:443
- TCP(TLS/1.0) m.m####.com.####.com:443
- TCP(TLS/1.0) hm.b####.com:443
- TCP(TLS/1.0) 2####.h####.i####.tv:443
- TCP(TLS/1.0) img.m####.com.####.com:443
- TCP(TLS/1.0) js.m####.com.####.com:443
- TCP(TLS/1.0) www.m####.com.####.com:443
Запросы DNS:
- 2####.h####.com
- 3####.h####.com
- c.appj####.com
- css.m####.com
- g####.api.m####.com
- h####.m####.com
- hm.b####.com
- img.m####.com
- js.m####.com
- m.bz.m####.com
- m.i####.com
- m.m####.com
- m.qiy####.com
- mobi####.bz.m####.com
- pcwe####.log.m####.com
- rc.m####.com
- secu####.i####.com
- st####.i####.com
- st####.q####.com
- st.bz.m####.com
- w####.le.com
- www.i####.com
- www.m####.com
- www.qiy####.com
Запросы HTTP GET:
- i####.com.edg####.net/
- i####.com.edg####.net/css/20171027/h5-aura.css
- i####.com.edg####.net/ext/common/auraIcon/iconfont.ttf
- q####.com.edg####.net/js/html5/js/lib/lib.2.0.5.min.js?sea1.2.####
- q####.com.edg####.net/js/html5/js/lib/qoe.min.js?v=####
- qiy####.com.edg####.net/common/fix/h5-aura/channel-icon-20171106.png
- qiy####.com.edg####.net/common/fix/h5-aura/foot.png
- qiy####.com.edg####.net/common/fix/h5-aura/imgLogo-b.png
- qiy####.com.edg####.net/common/fix/h5-aura/imgLogo-s.png
- qiy####.com.edg####.net/common/fix/h5-aura/iqiyi-logo.png
- qiy####.com.edg####.net/common/fix/h5-aura/menu-more-icon.png
- qiy####.com.edg####.net/common/fix/h5-aura/nav-linebg.png
- qiy####.com.edg####.net/common/fix/h5-aura/picicon-bg-20171011.png
- qiy####.com.edg####.net/common/fix/headicons/female06-130.png
- qiy####.com.edg####.net/common/lego/20170915/35d844f8af07412e9980d56cb78...
- qiy####.com.edg####.net/common/lego/20170915/3e2d8d029f104eea9261ef9dca7...
- qiy####.com.edg####.net/common/lego/20170915/5909cbd78fd44f6fa3d9b78dc9e...
- qiy####.com.edg####.net/common/lego/20170915/7df91c03d5db4113848f7ca1b9d...
- qiy####.com.edg####.net/common/lego/20170915/bc4532a1bfd64f3c929b6f92002...
- qiy####.com.edg####.net/common/lego/20170921/3ba9004a0a1e43939cf4631a5f0...
- qiy####.com.edg####.net/common/lego/20171024/32c9787fc2db494ab7a4b059446...
- qiy####.com.edg####.net/common/lego/20171102/1857bc6bbaad494d95d97e16ac4...
- qiy####.com.edg####.net/common/lego/20171105/1ab1722a55f94902a6fc881b178...
- qiy####.com.edg####.net/common/lego/20171105/8196c138b4614b6db653518147a...
- qiy####.com.edg####.net/common/lego/20171106/2a6b514d7d024f8998612a9eca2...
- qiy####.com.edg####.net/common/lego/20171106/43de9c614615402abe043dffb3a...
- qiy####.com.edg####.net/common/lego/20171106/60b5420f7c0f418f951ed682a89...
- qiy####.com.edg####.net/common/lego/20171106/9f91d671a8c649a5a57a9ccfe36...
- qiy####.com.edg####.net/common/lego/20171106/c430e42ed32045e58b24e5717a9...
- qiy####.com.edg####.net/common/lego/20171106/cbd428a0f3ac41098864efd0622...
- qiy####.com.edg####.net/common/lego/20171107/8beac2b8960b422492f6e0351dc...
- qiy####.com.edg####.net/image/20171107/3e/1e/v_113872087_m_601_m1_284_16...
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_cache/ApplicationCache.db-journal
- <Package Folder>/app_database/####/https_m.mgtv.com_0.localstorage-journal
- <Package Folder>/cache/####/WebpageIcons.db-journal
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/f_000001
- <Package Folder>/cache/####/f_000002
- <Package Folder>/cache/####/f_000003
- <Package Folder>/cache/####/f_000004
- <Package Folder>/cache/####/f_000005
- <Package Folder>/cache/####/f_000006
- <Package Folder>/cache/####/f_000007
- <Package Folder>/cache/####/f_000008
- <Package Folder>/cache/####/f_000009
- <Package Folder>/cache/####/f_00000a
- <Package Folder>/cache/####/f_00000b
- <Package Folder>/cache/####/f_00000c
- <Package Folder>/cache/####/f_00000d
- <Package Folder>/cache/####/f_00000e
- <Package Folder>/cache/####/f_00000f
- <Package Folder>/cache/####/f_000010
- <Package Folder>/cache/####/f_000011
- <Package Folder>/cache/####/f_000012
- <Package Folder>/cache/####/f_000013
- <Package Folder>/cache/####/f_000014
- <Package Folder>/cache/####/f_000015
- <Package Folder>/cache/####/f_000016
- <Package Folder>/cache/####/f_000017
- <Package Folder>/cache/####/f_000018
- <Package Folder>/cache/####/index
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/shared_prefs/ad_show_time.xml
- <Package Folder>/shared_prefs/jg_app_update_settings_random.xml
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- su
Загружает динамические библиотеки:
- libjiagu
Использует повышенные привилегии.
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
