Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.3307
- Android.DownLoader.611.origin
Загружает из Интернета следующие детектируемые угрозы:
- Android.DownLoader.611.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) api.ila####.com:80
- TCP(HTTP/1.1) w####.pcon####.com.cn:80
- TCP(HTTP/1.1) int.d####.s####.####.cn:80
- TCP(HTTP/1.1) gn.bule####.cn:6801
- TCP(HTTP/1.1) dn.tc####.com:80
- TCP(HTTP/1.1) rcv.ila####.com:80
Запросы DNS:
- api.ila####.com
- dn.tc####.com
- gn.bule####.cn
- int.d####.s####.####.cn
- rcv.ila####.com
- w####.pcon####.com.cn
Запросы HTTP GET:
- api.ila####.com/c/_i_?_=####
- api.ila####.com/e/i.html
- api.ila####.com/e/i.js
- api.ila####.com/update_ch/libcore.jar
- api.ila####.com/update_ch/version.json?ch=####&v=####
- dn.tc####.com/dnfile/shengjibao/kernel20180112A.jar
- rcv.ila####.com/report2?t=####&h1=####&c=####&v=####&op1=####&op2=####&n...
Запросы HTTP POST:
- gn.bule####.cn:6801/bvmain.aspx
- int.d####.s####.####.cn/iplookup/iplookup.php?format=####
- w####.pcon####.com.cn/ip.jsp
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.cache_mmb/mmbclasses.dex
- <Package Folder>/.cache_mmb/mmbclasses.dex (deleted)
- <Package Folder>/.cache_mmb/mmbclasses.dve
- <Package Folder>/.cache_mmb/mmbclasses.jar
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_cache/ApplicationCache.db-journal
- <Package Folder>/app_kernel/videokernel.apk
- <Package Folder>/app_kernel/videokernel.dex (deleted)
- <Package Folder>/app_res_out/VideoRes.apk
- <Package Folder>/app_temp/idfa92a798-f7c8-4794-a364-c85be4eaf28a.tmp
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/f_000001
- <Package Folder>/cache/####/http_api.ilabtap.com_0.localstorage-journal
- <Package Folder>/cache/####/index
- <Package Folder>/databases/lmvideo_db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/libcore.tmp.jar
- <Package Folder>/shared_prefs/config.xml
- <Package Folder>/shared_prefs/file_download.xml
- <Package Folder>/shared_prefs/jg_so_upgrade_setting.xml
- <Package Folder>/shared_prefs/xconfig.xml
- <SD-Card>/Android/####/.nomedia
- <SD-Card>/play/####/kernel.dat
- <SD-Card>/sdtmp/id13dcccc08-b1d8-457c-a238-df8dee9ed5b9.tmp
- <SD-Card>/sdtmp/id16cd00727-20e5-47f1-8c49-da2e0563fa33.tmp
- <SD-Card>/sdtmp/id17ca97a6b-cc1a-498f-b915-b6ae26276908.tmp
- <SD-Card>/sdtmp/id17d3b70b9-0d1e-475a-8234-416a95ca12bc.tmp
- <SD-Card>/sdtmp/id1aa2c1abb-3649-4c7e-9716-5a325c4a3d36.tmp
- <SD-Card>/sdtmp/id1aa2e4317-17b7-4f68-92e4-653551e6aa1b.tmp
- <SD-Card>/sdtmp/id1ca4b1ef1-d14e-4faa-8d95-5893a8c7b50b.tmp
- <SD-Card>/sdtmp/id21ce88f7c-823c-453e-bb98-76833a2115b5.tmp
- <SD-Card>/sdtmp/id227ea5b22-eb9e-44da-9b0f-334cdbc189dd.tmp
- <SD-Card>/sdtmp/id24f4bd053-6539-4fa4-90d2-dfc08edb44a1.tmp
- <SD-Card>/sdtmp/id27460fbe9-e7b4-4642-9a70-93959c4b6d24.tmp
- <SD-Card>/sdtmp/id2ed5efb0a-e456-4480-821c-fd10751c33ed.tmp
- <SD-Card>/sdtmp/id2f480cb17-f161-4ace-8a69-d302046ae58f.tmp
- <SD-Card>/sdtmp/id2fbbc23c1-3324-44d3-89da-34a2a36df887.tmp
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- cat /sys/class/net/wlan0/address
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- netstat -apn
Загружает динамические библиотеки:
- DexHelper_mmb
- libjiagu
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
