Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.243
- Android.Triada.248.origin
- Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 1####.199.251.172:80
- TCP(HTTP/1.1) loc.map.b####.com:80
Запросы DNS:
- c.appj####.com
- drm.cm####.com
- g####.g####.net
- l.ace####.com
- loc.map.b####.com
- pay.91m####.com
- sd####.cm####.com
- wap.cm####.com
Запросы HTTP POST:
- loc.map.b####.com/sdk.php
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/2077.dex
- <Package Folder>/app_tongyu/####/tongyu-pay-lib.apk
- <Package Folder>/code-3857356/7fxGzN0Mu9dLicOe
- <Package Folder>/databases/9VxG7GrUMql7a2mw3bdyGYJUP1QbADs0_E3W...PY26w=
- <Package Folder>/databases/9VxG7GrUMql7a2mw3bdyGYJUP1QbADs0_E3W...ournal
- <Package Folder>/databases/9VxG7GrUMql7a2mw3bdyGYJUP1QbADs0_Nw7...ournal
- <Package Folder>/databases/9VxG7GrUMql7a2mw3bdyGYJUP1QbADs0_Nw7...uc_g==
- <Package Folder>/databases/9VxG7GrUMql7a2mw3bdyGYJUP1QbADs0_srD...ournal
- <Package Folder>/databases/9VxG7GrUMql7a2mw3bdyGYJUP1QbADs0_szx...XoLg==
- <Package Folder>/databases/9VxG7GrUMql7a2mw3bdyGYJUP1QbADs0_szx...ournal
- <Package Folder>/databases/9VxG7GrUMql7a2mw3bdyGYJUP1QbADs0_vnr...ournal
- <Package Folder>/databases/9VxG7GrUMql7a2mw3bdyGYJUP1QbADs0_vnr...wITHVz
- <Package Folder>/databases/OPAYDB
- <Package Folder>/databases/OPAYDB-journal
- <Package Folder>/files/####/-T1TMlK47NmGLmwBzbGrPpzFMes=
- <Package Folder>/files/####/-T1TMlK47NmGLmwBzbGrPpzFMes=.new
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/####/8TWI1G3k3SwIGYn7l1Kaamd9SQjyGF2k.new
- <Package Folder>/files/####/AAJdr0M0uvrViWvRLTVwcw==
- <Package Folder>/files/####/BjZ9qJ7EsnJmnPeN_YtzZY34x8I=.new
- <Package Folder>/files/####/HSoRmeiRnYy-xmN8ibMzBA==.new
- <Package Folder>/files/####/QeBcYLcTy-idVG5uCB2mfKpgDGJ9z1xP.new
- <Package Folder>/files/####/T6CoRg35MrqntEpw4z9ansrpMl4=
- <Package Folder>/files/####/TAsPomhL2D9f3SXIs7T3vA==
- <Package Folder>/files/####/YFLQS2dyft66RmsUFqqaMKwddfCKipfW.new
- <Package Folder>/files/####/Zl5PBaUMiG5GKu5Up-z-FPp99Zk=.new
- <Package Folder>/files/####/ZraqD13Qrk3oaPirHyJ7BN6AifTdJ5gTTRa...4=.new
- <Package Folder>/files/####/_gGbXralBfFPnzinja3EOQ==.new
- <Package Folder>/files/####/_hNclsmnNqPvjKkDQV8IKw==.new
- <Package Folder>/files/####/bsm2LAciTNvDkENBsRfKBzpu0N33L7vweuoV5g==.new
- <Package Folder>/files/####/hfaaa_f.zip
- <Package Folder>/files/####/l_FyZIEsiewiw90ozXH6Psm38CmI1FIQ.new
- <Package Folder>/files/####/libmiguED.so
- <Package Folder>/files/####/o8XTbIDuRoRbhwesXDM2nFliJVnV9DU2.new
- <Package Folder>/files/####/pFAy9RjKGFzKeSOtS2UQLFfdDwVjQ9BqrrT...I=.new
- <Package Folder>/files/####/q-jYhumDLBErCRWk.zip
- <Package Folder>/files/####/q9SWRiu1B2yFyBY3xYomvh0rDaX1yMCWkNiCtg==.new
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/sdtQOpAu9v10MXLF
- <Package Folder>/files/####/t9ba7Ng5yBahTuHE2VtGTng9FUA=.new
- <Package Folder>/files/####/tLs9vLBIHMeGr-EtQbJ8d0cke3OP5EDb.new
- <Package Folder>/files/####/tYLIpJHk_R9SzdApI-ya8N-gjHc=.new
- <Package Folder>/files/####/u8FRBBwcK1wq3wkgDhonBwRKbWAohdsk.new
- <Package Folder>/files/####/v3tT8th9CKRsR1EHRokhOpf9UuWG-GIiF9LTgQ==.new
- <Package Folder>/files/####/wP_cRI1CrC6uX81mQIvnLMDMvh6MJZmgYHP...4=.new
- <Package Folder>/files/####/yMcyD8-lLTDhkUxJiqKr0DB-9yLo_b8dFDV...Q=.new
- <Package Folder>/files/####/zCjS2cnUqd4tCboRqsm9EvNlrvShk5H3.new
- <Package Folder>/files/ED.ini
- <Package Folder>/files/MiguPay.Sdk30.Lib_12003033_2ef7e474df934...02.cod
- <Package Folder>/files/MiguPay.Sdk30.Lib_12003033_2ef7e474df934...02.dat
- <Package Folder>/files/jZ3h
- <Package Folder>/files/jZ3h.jar
- <Package Folder>/files/libmgRun_04.22.09_01.so
- <Package Folder>/files/mgAS.dat
- <Package Folder>/files/mgSS.dat
- <Package Folder>/files/mgid.dat
- <Package Folder>/files/ors.jar
- <Package Folder>/files/ors.png
- <Package Folder>/files/rdata_comcpqnlfen.new
- <Package Folder>/files/save_data
- <Package Folder>/files/sdk_prefs
- <Package Folder>/shared_prefs/ad_show_time.xml
- <Package Folder>/shared_prefs/jg_app_update_settings_random.xml
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/Download/####/617116061156log.txt
- <SD-Card>/Download/####/617116061156userInfo.txt
- <SD-Card>/Download/####/ShareData.txt
- <SD-Card>/Download/####/app_info.txt
- <SD-Card>/Download/####/deviceId
- <SD-Card>/Download/####/migu.sdk.<Package>.migugame.txt
- <SD-Card>/Download/####/migu.sdk.<Package>.migulog.txt
- <SD-Card>/Download/####/miguLog_1513260148836
- <SD-Card>/Download/####/miguLog_1513260148837
- <SD-Card>/Download/####/sdk_prefs.txt
- <SD-Card>/cmgame/####/pushDB.txt
- <SD-Card>/cmgame/####/pushTime.txt
- <SD-Card>/cmgame/####/pushTotal.txt
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-3857356/7fxGzN0Mu9dLicOe -p <Package> -c com.cpqn.lfen.bfrfaq.a.a.d.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- cat /sys/class/net/wlan0/address
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- sh <Package Folder>/code-3857356/7fxGzN0Mu9dLicOe -p <Package> -c com.cpqn.lfen.bfrfaq.a.a.d.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- libjiagu
- libmiguED
- megjb
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Осуществляет доступ к информации об отправленых/принятых смс.
