Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Xiny.20
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ipv6-wi####.appl####.com.####.net:80
- TCP(HTTP/1.1) a.sm####.cn:80
- TCP(HTTP/1.1) f.xingch####.com.####.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) down####.wild####.appl####.####.net:80
- TCP(HTTP/1.1) 2####.243.193.46:80
- TCP(TLS/1.0) sett####.crashly####.com:443
- TCP(TLS/1.0) ssl.google-####.com:443
Запросы DNS:
- a.appj####.com
- a.appl####.com
- a.sm####.cn
- api.p####.com
- as####.appl####.com
- d.appl####.com
- f.xingch####.com
- img.appl####.com
- r####.appl####.com
- rt.appl####.com
- sett####.crashly####.com
- ssl.google-####.com
- www.gofi####.com
Запросы HTTP GET:
- down####.wild####.appl####.####.net/1380229154.js
- down####.wild####.appl####.####.net/jquery-1.9.1.min.js
- down####.wild####.appl####.####.net/jquery.knob.js
- down####.wild####.appl####.####.net/ob13c7a6/35d2e4b8570d449ca1afea0bee3...
- down####.wild####.appl####.####.net/ob13c7a6/64b7d19626e142e8fbe05eb956b...
- down####.wild####.appl####.####.net/ob13c7a6/7000cc9f84e4ebff1e49cc0541e...
- down####.wild####.appl####.####.net/sound_off.png
- down####.wild####.appl####.####.net/sound_on.png
- f.xingch####.com.####.com/2011/giantt.jar
- ipv6-wi####.appl####.com.####.net/2.0/ad?v1=####&model=####&dx=####&dy=#...
- ipv6-wi####.appl####.com.####.net/2.0/ad?v1=####&model=####&etf=####&dx=...
- ipv6-wi####.appl####.com.####.net/nad?v1=####&model=####&dx=####&dy=####...
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
- a.sm####.cn/cw/cp.action?requestId=####&g=####
- a.sm####.cn/cw/interface!u2.action?protocol=####&version=####&cid=####
- ipv6-wi####.appl####.com.####.net/device?api_key=####
- ipv6-wi####.appl####.com.####.net/pix?event=####&ts=####&platform=####&m...
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_Parse/installationId
- <Package Folder>/app_jgls/.log.lock
- <Package Folder>/app_jgls/.log.ls
- <Package Folder>/cache/####/applicationId
- <Package Folder>/databases/ParseOfflineStore
- <Package Folder>/databases/ParseOfflineStore-journal
- <Package Folder>/databases/downloadswc
- <Package Folder>/databases/downloadswc-journal
- <Package Folder>/databases/google_analytics_v4.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/####/5A0D841C0286-0001-0818-731BCCC28A54...s_temp
- <Package Folder>/files/####/com.crashlytics.settings.json
- <Package Folder>/files/####/initialization_marker
- <Package Folder>/files/####/sa_ec7311e8-fbac-4a9e-a3d1-668fb07a...83.tap
- <Package Folder>/files/####/session_analytics.tap
- <Package Folder>/files/####/session_analytics.tap.tmp
- <Package Folder>/files/gaClientId
- <Package Folder>/shared_prefs/<Package>.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml.bak
- <Package Folder>/shared_prefs/TwitterAdvertisingInfoPreferences.xml
- <Package Folder>/shared_prefs/W_Key.xml
- <Package Folder>/shared_prefs/a.xml
- <Package Folder>/shared_prefs/com.applovin.sdk.1.xml
- <Package Folder>/shared_prefs/com.applovin.sdk.impl.postbackQue...in.xml
- <Package Folder>/shared_prefs/com.crashlytics.prefs.xml
- <Package Folder>/shared_prefs/com.crashlytics.sdk.android;answe...gs.xml
- <Package Folder>/shared_prefs/com.google.android.gms.analytics.prefs.xml
- <Package Folder>/shared_prefs/io.fabric.sdk.android;fabric;io.f...ng.xml
- <Package Folder>/shared_prefs/jg_app_update_settings_random.xml
- <Package Folder>/shared_prefs/st.xml
- <SD-Card>/Android/####/.nomedia
- <SD-Card>/Android/####/1380229154.js
- <SD-Card>/Android/####/35d2e4b8570d449ca1afea0bee3e6b97045519b7...ne.mp4
- <SD-Card>/Android/####/jquery-1.9.1.min.js
- <SD-Card>/Android/####/jquery.knob.js
- <SD-Card>/Android/####/ob13c7a6_64b7d19626e142e8fbe05eb956bba75...e.jpeg
- <SD-Card>/Android/####/ob13c7a6_7000cc9f84e4ebff1e49cc0541ef4c5...e.jpeg
- <SD-Card>/Android/####/sound_off.png
- <SD-Card>/Android/####/sound_on.png
- <SD-Card>/Download/####/4.5_giantt.jar.tmp
- <SD-Card>/dt/restime.dat
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Отрисовывает собственные окна поверх других приложений.
