Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.2083
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(TLS/1.0) 1####.217.17.142:443
- TCP(TLS/1.0) api.face####.com:443
- TCP(TLS/1.0) d####.fl####.com:443
- TCP(TLS/1.0) rep####.crashly####.com:443
- TCP(TLS/1.0) sett####.crashly####.com:443
Запросы DNS:
- a.appj####.com
- d####.fl####.com
- g####.face####.com
- rep####.crashly####.com
- sett####.crashly####.com
- sto####.b####.mobi
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
- a.appj####.com/jiagu/check/upgrade
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_bz/<Package>.odex
- <Package Folder>/app_bz/<Package>.zip
- <Package Folder>/app_jgls/.log.lock
- <Package Folder>/app_jgls/.log.ls
- <Package Folder>/databases/coloredwithme.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/####/5A0D845C01B6-0001-082C-28743F571459...s_temp
- <Package Folder>/files/####/5A0D845C01B6-0001-082C-28743F571459.cls_temp
- <Package Folder>/files/####/5A0D845E01C0-0002-082C-28743F571459...s_temp
- <Package Folder>/files/####/5A0D845E01C0-0002-082C-28743F571459.cls_temp
- <Package Folder>/files/####/5A0D84830248-0001-0893-28743F571459...s_temp
- <Package Folder>/files/####/5A0D84830248-0001-0893-28743F571459.cls_temp
- <Package Folder>/files/####/5A0D84990088-0001-08FF-28743F571459...s_temp
- <Package Folder>/files/####/com.crashlytics.settings.json
- <Package Folder>/files/####/crash_marker
- <Package Folder>/files/####/initialization_marker
- <Package Folder>/files/####/session_analytics.tap
- <Package Folder>/files/####/session_analytics.tap.tmp
- <Package Folder>/files/.YFlurrySenderIndex.info.AnalyticsData_S...SQ_202
- <Package Folder>/files/.YFlurrySenderIndex.info.AnalyticsMain
- <Package Folder>/files/.yflurrydatasenderblock.168e7171-a769-4f...e88aa8
- <Package Folder>/files/.yflurrydatasenderblock.287d50cd-a0f0-49...59ec0e
- <Package Folder>/files/.yflurrydatasenderblock.6089bf5a-6ca5-44...8bc8ab
- <Package Folder>/files/.yflurrydatasenderblock.7e92d440-c226-48...11bd69
- <Package Folder>/files/.yflurrydatasenderblock.e758e949-e0bb-41...a66c87
- <Package Folder>/files/.yflurrydatasenderblock.fb69a9f5-246b-48...8d9a99
- <Package Folder>/files/.yflurryreport.-1f741ee7e3483a39
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/FLURRY_SHARED_PREFERENCES.xml
- <Package Folder>/shared_prefs/TwitterAdvertisingInfoPreferences.xml
- <Package Folder>/shared_prefs/com.crashlytics.prefs.xml
- <Package Folder>/shared_prefs/com.facebook.AccessTokenManager.S...es.xml
- <Package Folder>/shared_prefs/com.google.android.gcm.xml
- <Package Folder>/shared_prefs/decorations.prefs.xml
- <Package Folder>/shared_prefs/io.fabric.sdk.android;fabric;io.f...ng.xml
- <Package Folder>/shared_prefs/jg_app_update_settings_random.xml
- <Package Folder>/shared_prefs/mobi.bcam.editor.ui.main.MainActivity.xml
- <Package Folder>/shared_prefs/mobi.bcam.mobile.decorations.Deco...fs.xml
- <Package Folder>/shared_prefs/model.auth_prefs.xml
- <Package Folder>/shared_prefs/model.facebook_prefs.xml
- <Package Folder>/shared_prefs/qihoo_jiagu_crash_report.xml
- <SD-Card>/Android/####/.nomedia
- <SD-Card>/Android/####/img1578470445_200x200.jpg
- <SD-Card>/Android/####/img1578470446_200x200.jpg
- <SD-Card>/Android/####/img1578470447_200x200.jpg
- <SD-Card>/Android/####/img1578470448_200x200.jpg
- <SD-Card>/Android/####/img1578470449_200x200.jpg
- <SD-Card>/Android/####/img1578470450_200x200.jpg
- <SD-Card>/Android/####/img1578470472_200x200.jpg
- <SD-Card>/Android/####/img1578470473_200x200.jpg
- <SD-Card>/Android/####/img1578470474_200x200.jpg
- <SD-Card>/Android/####/img1578470475_200x200.jpg
- <SD-Card>/Android/####/img1578470476_200x200.jpg
- <SD-Card>/Android/####/img1578470477_200x200.jpg
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к интерфейсу камеры.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
