Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Qumi.1.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) api.devel####.xi####.com:80
- TCP(HTTP/1.1) qidian####.com:80
- TCP(TLS/1.0) krplus####.b0.a####.com:443
- TCP(TLS/1.0) res####.a####.com:443
Запросы DNS:
- 7x####.c####.z0.####.com
- a.appj####.com
- amap####.cn-hang####.oss####.####.com
- and####.b####.qq.com
- api.devel####.xi####.com
- cfg.q####.com
- cut.q####.com
- log.u####.com
- mt####.go####.com
- op.j####.cn
- pic.36k####.com
- qidian####.com
- res####.a####.com
- s11.c####.com
- st####.duo####.com
Запросы HTTP GET:
- qidian####.com/api/article/201704280954
- qidian####.com/api/getchatting?p=####&limit=####
- qidian####.com/api/getindustry?p=####&limit=####
- qidian####.com/api/getmaxviews?p=####&limit=####
- qidian####.com/api/getrecent?p=####&limit=####
- qidian####.com/api/getstartup?p=####&limit=####
- qidian####.com/api/gettopinformation?p=####&limit=####
- qidian####.com/static/css/bootstrap.min.css
- qidian####.com/static/css/style.css
- qidian####.com/static/css/tomorrow-night-eighties.css
- qidian####.com/static/images/qidianshuo.png
- qidian####.com/static/javascript/lib.min.js
- qidian####.com/static/javascript/pretty.print.js
Запросы HTTP POST:
- and####.b####.qq.com/rqd/async?aid=####
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_crashrecord/1004
- <Package Folder>/cache/####/0a7ffe14ac73538cafdc2538dbb52cc4.0.tmp
- <Package Folder>/cache/####/0a7ffe14ac73538cafdc2538dbb52cc4.1.tmp
- <Package Folder>/cache/####/189f64aaafbf00a8a366f88e326f40e2.0.tmp
- <Package Folder>/cache/####/189f64aaafbf00a8a366f88e326f40e2.1.tmp
- <Package Folder>/cache/####/2f31b2a4e13f00a4c9d9f8551ba489d8.0.tmp
- <Package Folder>/cache/####/2f31b2a4e13f00a4c9d9f8551ba489d8.1.tmp
- <Package Folder>/cache/####/4478c7738385279aee7469e3fc2bb866.0.tmp
- <Package Folder>/cache/####/4478c7738385279aee7469e3fc2bb866.1.tmp
- <Package Folder>/cache/####/b08784d733a21eee93024d866ae7bb04.0.tmp
- <Package Folder>/cache/####/b08784d733a21eee93024d866ae7bb04.1.tmp
- <Package Folder>/cache/####/b6d0d44910995b0a0abd02ca2b9ae477.0.tmp
- <Package Folder>/cache/####/b6d0d44910995b0a0abd02ca2b9ae477.1.tmp
- <Package Folder>/cache/####/bca6ee009d8480425283e5941bce89c7.0.tmp
- <Package Folder>/cache/####/bca6ee009d8480425283e5941bce89c7.1.tmp
- <Package Folder>/cache/####/bd2d6b669eb56d8006f20ae9b3604032.0.tmp
- <Package Folder>/cache/####/bd2d6b669eb56d8006f20ae9b3604032.1.tmp
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/f_000001
- <Package Folder>/cache/####/f_000002
- <Package Folder>/cache/####/f_000003
- <Package Folder>/cache/####/f_000004
- <Package Folder>/cache/####/f_000005
- <Package Folder>/cache/####/f_000006
- <Package Folder>/cache/####/f_000007
- <Package Folder>/cache/####/fa77096efb29ca6bc0cb5ba263390e00.0.tmp
- <Package Folder>/cache/####/fa77096efb29ca6bc0cb5ba263390e00.1.tmp
- <Package Folder>/cache/####/index
- <Package Folder>/cache/####/journal.tmp
- <Package Folder>/databases/####/cc.db
- <Package Folder>/databases/####/cc.db-journal
- <Package Folder>/databases/bugly_db_-journal
- <Package Folder>/databases/hmdb
- <Package Folder>/databases/hmdb-journal
- <Package Folder>/databases/logdb.db
- <Package Folder>/databases/logdb.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/####/journal
- <Package Folder>/files/####/journal.tmp
- <Package Folder>/files/####/tempfile
- <Package Folder>/files/local_crash_lock
- <Package Folder>/files/mobclick_agent_cached_<Package>5
- <Package Folder>/files/native_record_lock
- <Package Folder>/files/security_info
- <Package Folder>/shared_prefs/com.google.android.gms.measurement.prefs.xml
- <Package Folder>/shared_prefs/crashrecord.xml
- <Package Folder>/shared_prefs/jg_app_update_settings_random.xml
- <Package Folder>/shared_prefs/map.xml
- <Package Folder>/shared_prefs/multidex.version.xml
- <Package Folder>/shared_prefs/pref.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/umeng_socialize.xml
- <SD-Card>/amap/####/alsn.db
- <SD-Card>/amap/####/alsn.db-journal
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop
- /system/bin/sh -c type su
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- getprop
Загружает динамические библиотеки:
- Bugly
- libjiagu
- sdk_patcher_jni
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Отрисовывает собственные окна поверх других приложений.
