Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.3307
- Android.DownLoader.611.origin
Загружает из Интернета следующие детектируемые угрозы:
- Android.DownLoader.611.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) api.ila####.com:80
- TCP(HTTP/1.1) an####.l####.com:8080
- TCP(HTTP/1.1) up####.ssp.api.####.cn:80
- TCP(HTTP/1.1) 2####.195.1.254:8090
- TCP(HTTP/1.1) qp.yunanfu####.com.####.com:80
- TCP(HTTP/1.1) sdk.c####.com:80
- TCP(HTTP/1.1) s####.e.qq.com:80
- TCP(HTTP/1.1) an####.g####.k####.com:9080
- TCP(HTTP/1.1) int.d####.s####.####.cn:80
- TCP(HTTP/1.1) gn.bule####.cn:6801
- TCP(HTTP/1.1) 2####.195.1.254:8080
- TCP(HTTP/1.1) dn.tc####.com:80
- TCP(HTTP/1.1) w####.pcon####.com.cn:80
- TCP(HTTP/1.1) rcv.ila####.com:80
- TCP(TLS/1.0) an####.l####.com:443
- TCP(TLS/1.0) app-ro####.leanc####.cn:443
- TCP(TLS/1.0) ads.on####.mobi:443
- TCP(TLS/1.0) dev.s####.l####.net:443
Запросы DNS:
- ad.ssp.api.####.cn
- ads.on####.mobi
- an####.g####.k####.com
- an####.l####.com
- api.ila####.com
- api.kt####.com
- app-ro####.leanc####.cn
- dn.tc####.com
- gn.bule####.cn
- int.d####.s####.####.cn
- k####.k####.com
- mlm7####.s####.l####.net
- pi####.qq.com
- qp.yunanfu####.com
- rcv.ila####.com
- s####.e.qq.com
- sdk.c####.com
- up####.ssp.api.####.cn
- w####.pcon####.com.cn
Запросы HTTP GET:
- an####.g####.k####.com:9080/ip/
- api.ila####.com/c/_i_?_=####
- api.ila####.com/e/i.html
- api.ila####.com/e/i.js
- api.ila####.com/update_ch/libcore.jar
- api.ila####.com/update_ch/version.json?ch=####&v=####
- dn.tc####.com/dnfile/shengjibao/kernel20180112A.jar
- qp.yunanfu####.com.####.com/kubo/dex/luomi10.191.dex
- qp.yunanfu####.com.####.com/kubo/hongbao/hb1/baoxiang_001.png
- qp.yunanfu####.com.####.com/kubo/hongbao/hb1/baoxiang_002.png
- qp.yunanfu####.com.####.com/kubo/hongbao/hb1/baoxiang_003.png
- qp.yunanfu####.com.####.com/kubo/hongbao/hb2/dianhua_001.png
- qp.yunanfu####.com.####.com/kubo/hongbao/hb2/dianhua_002.png
- qp.yunanfu####.com.####.com/kubo/hongbao/hb2/dianhua_003.png
- qp.yunanfu####.com.####.com/kubo/hongbao/hb3/duanxin_001.png
- qp.yunanfu####.com.####.com/kubo/hongbao/hb3/duanxin_002.png
- qp.yunanfu####.com.####.com/kubo/hongbao/hb3/duanxin_003.png
- qp.yunanfu####.com.####.com/kubo/hongbao/hb4/hongbao_001.png
- qp.yunanfu####.com.####.com/kubo/hongbao/hb4/hongbao_002.png
- qp.yunanfu####.com.####.com/kubo/hongbao/hb4/hongbao_003.png
- qp.yunanfu####.com.####.com/kubo/hongbao/hb5/yuanbao_001.png
- qp.yunanfu####.com.####.com/kubo/hongbao/hb5/yuanbao_002.png
- qp.yunanfu####.com.####.com/kubo/hongbao/hb5/yuanbao_003.png
- rcv.ila####.com/report2?t=####&h1=####&c=####&v=####&op1=####&op2=####&n...
- up####.ssp.api.####.cn/api/soupdate
- up####.ssp.api.####.cn/api/userinfo?i=####&e=####&j=eyJ1a####
Запросы HTTP POST:
- 2####.195.1.254:8080/adveranaly/hbdt/getHbInfo
- 2####.195.1.254:8090/adveranaly/drdevicekeep/keepAnalyse
- an####.l####.com:8080/adveranaly/hbdt/getHbInfo
- gn.bule####.cn:6801/bvmain.aspx
- int.d####.s####.####.cn/iplookup/iplookup.php?format=####
- s####.e.qq.com/activate
- sdk.c####.com/versiontapi.php?v=####&type=####
- up####.ssp.api.####.cn/api/cloudupdate
- w####.pcon####.com.cn/ip.jsp
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_ay_storage/####/update.jar
- <Package Folder>/app_cache/ApplicationCache.db-journal
- <Package Folder>/app_cache/ApplicationCache.db-journal (deleted)
- <Package Folder>/app_e_qq_com_plugin/gdt_plugin.jar
- <Package Folder>/app_e_qq_com_plugin/gdt_plugin.jar.sig
- <Package Folder>/app_e_qq_com_plugin/update_lc
- <Package Folder>/app_kernel/videokernel.apk
- <Package Folder>/app_kernel/videokernel.dex (deleted)
- <Package Folder>/app_res_out/VideoRes.apk
- <Package Folder>/app_tbs/####/core_info
- <Package Folder>/app_tbs/####/tbscoreinstall.txt
- <Package Folder>/app_tbs/####/tbslock.txt
- <Package Folder>/app_temp/idf54a7e24-a641-472c-9bc5-b1a7640df55f.tmp
- <Package Folder>/cache/####/ApplicationCache.db-journal
- <Package Folder>/cache/####/OnewaySdkStorage-ow-pri.json
- <Package Folder>/cache/####/OnewaySdkStorage-ow-pub.json
- <Package Folder>/cache/####/a38f352b264db2f56624eca7d83e86ca
- <Package Folder>/cache/####/avoscloud-analysis
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/df712ffc33d4646c0a1f39e72d542777
- <Package Folder>/cache/####/ec070989ed903447b86986b1eb8f0259
- <Package Folder>/cache/####/f_000001
- <Package Folder>/cache/####/http_api.ilabtap.com_0.localstorage-journal
- <Package Folder>/cache/####/index
- <Package Folder>/cache/luomi239.dex
- <Package Folder>/cache/luomi_dex_ok_ok.dex
- <Package Folder>/databases/DownloadTaskStore.db-journal
- <Package Folder>/databases/appdownload.db
- <Package Folder>/databases/appdownload.db-journal
- <Package Folder>/databases/lmvideo_db-journal
- <Package Folder>/databases/pri_wxop_tencent_analysis.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/databases/wxop_tencent_analysis.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/7cccae741c88336476f1bec2d1ad9c3b
- <Package Folder>/files/libcore.jar.tm
- <Package Folder>/files/libcore.tmp.jar
- <Package Folder>/files/luomi_dex_ok_ok.dex (deleted)
- <Package Folder>/shared_prefs/.mta-wxop.xml
- <Package Folder>/shared_prefs/AVOSCloud-SDK.xml
- <Package Folder>/shared_prefs/AV_CLOUD_API_VERSION_KEY_ZONE.xml
- <Package Folder>/shared_prefs/BuglySdkInfos.xml
- <Package Folder>/shared_prefs/com.afk.client.ads.xml
- <Package Folder>/shared_prefs/com.avos.avoscloud.RequestStatist...ta.xml
- <Package Folder>/shared_prefs/com.avos.avoscloud.analysis.xml
- <Package Folder>/shared_prefs/com.avos.avoscloud.approuter.mLM7...sz.xml
- <Package Folder>/shared_prefs/config.xml
- <Package Folder>/shared_prefs/dianrui_cache.xml
- <Package Folder>/shared_prefs/file_download.xml
- <Package Folder>/shared_prefs/ktplay.xml
- <Package Folder>/shared_prefs/luomi_cache.xml
- <Package Folder>/shared_prefs/qihoo_jiagu_crash_report.xml
- <Package Folder>/shared_prefs/share_data.xml
- <Package Folder>/shared_prefs/xconfig.xml
- <SD-Card>/.hblmad/baoxiang_001.png
- <SD-Card>/.hblmad/baoxiang_002.png
- <SD-Card>/.hblmad/baoxiang_003.png
- <SD-Card>/.hblmad/dianhua_001.png
- <SD-Card>/.hblmad/dianhua_002.png
- <SD-Card>/.hblmad/dianhua_003.png
- <SD-Card>/.hblmad/duanxin_001.png
- <SD-Card>/.hblmad/duanxin_002.png
- <SD-Card>/.hblmad/duanxin_003.png
- <SD-Card>/.hblmad/hongbao_001.png
- <SD-Card>/.hblmad/hongbao_002.png
- <SD-Card>/.hblmad/hongbao_003.png
- <SD-Card>/.hblmad/yuanbao_001.png
- <SD-Card>/.hblmad/yuanbao_002.png
- <SD-Card>/.hblmad/yuanbao_003.png
- <SD-Card>/Android/####/.nomedia
- <SD-Card>/ktplay/d
- <SD-Card>/play/####/kernel.dat
- <SD-Card>/sdtmp/id1204e83f4-4e30-4f66-be19-752ac92880cf.tmp
- <SD-Card>/sdtmp/id1aa947b4a-5cd0-4d52-8f1d-ccb6b0115f13.tmp
- <SD-Card>/sdtmp/id1cc3576a8-4da9-449f-8efc-16a49d7355aa.tmp
- <SD-Card>/sdtmp/id1d90140cf-275c-4ec6-b013-1b4603cc7a54.tmp
- <SD-Card>/sdtmp/id1dc200f7f-a7dc-4933-965e-b429f9849408.tmp
- <SD-Card>/sdtmp/id1ec6d5fe5-46ed-42fa-9b70-1437a300e377.tmp
- <SD-Card>/sdtmp/id212f53287-349a-4972-9805-c7a913602dde.tmp
- <SD-Card>/sdtmp/id250c115ea-f7b9-4330-91af-5eaaa2b98307.tmp
- <SD-Card>/sdtmp/id25ca1fd04-e8c6-4ed8-ad54-ef99ffba0955.tmp
- <SD-Card>/sdtmp/id28e49e098-348e-49f0-a756-921c413b2015.tmp
- <SD-Card>/sdtmp/id2b4e36e30-a0eb-404e-9385-8f00ff662444.tmp
- <SD-Card>/sdtmp/id2f9a1a1c9-f4aa-4c19-aaf3-ef3d57183218.tmp
- <SD-Card>/tbs/####/tbslog.txt
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- cat /sys/class/net/wlan0/address
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- dumpsys meminfo 2079
- dumpsys meminfo 2352
- getprop ro.build.display.id
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.product.cpu.abi
Загружает динамические библиотеки:
- KTAccountmanager
- KTChat
- KTFriendship
- KTLeaderboard
- KTPlay
- KTTagging
- cocos2dcpp
- libjiagu
- mobclickcpp
Использует следующие алгоритмы для шифрования данных:
- AES-ECB-PKCS5Padding
- AES-ECB-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
