Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.187.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) t####.qq.com:14000
- TCP(HTTP/1.1) l####.tbs.qq.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) pi####.qq.com:80
- TCP(HTTP/1.1) 1####.254.116.117:80
- TCP(TLS/1.0) x####.tc.qq.com:443
- TCP(TLS/1.0) d####.c####.l####.####.com:443
- TCP(TLS/1.0) st####.an####.org:443
- TCP(TLS/1.0) hm.b####.com:443
- TCP(TLS/1.0) pin####.qq.com:443
- TCP(TLS/1.0) t####.c####.q####.####.com:443
- TCP(TLS/1.0) s####.tc.qq.com:443
- TCP(TLS/1.0) cdn-web####.jiao####.com:443
- TCP(TLS/1.0) se####.jiao####.com:443
- TCP t####.qq.com:80
Запросы DNS:
- and####.b####.qq.com
- cdn-web####.jiao####.com
- cdn-web####.jiao####.com
- hm.b####.com
- img.jiao####.com
- l####.tbs.qq.com
- pi####.qq.com
- pi####.qq.com
- pin####.qq.com
- s.b####.g####.com
- se####.jiao####.com
- st####.an####.org
- t####.qq.com
- www.jiao####.com
Запросы HTTP POST:
- and####.b####.qq.com/rqd/async?aid=####
- l####.tbs.qq.com/ajax?c=####&k=####
- l####.tbs.qq.com/ajax?c=####&v=####&k=####
- pi####.qq.com/mstat/report/?index=####
- t####.qq.com:14000/203.205.146.122:14000/
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_appcache/ApplicationCache.db-journal
- <Package Folder>/app_config/config
- <Package Folder>/app_crashrecord/1002
- <Package Folder>/app_crashrecord/1004
- <Package Folder>/app_databases/####/https_www.jiaoyihu.com_0.lo...ournal
- <Package Folder>/app_dex/patch.apk
- <Package Folder>/app_tbs/####/core_info
- <Package Folder>/app_tbs/####/debug.conf
- <Package Folder>/app_tbs/####/tbscoreinstall.txt
- <Package Folder>/app_tbs/####/tbslock.txt
- <Package Folder>/app_tmpPatch/968e6c7c-5e51-4db0-a5dc-8955aa275878.zip
- <Package Folder>/app_tmpPatch/tmpPatch.apk
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/f_000001
- <Package Folder>/cache/####/f_000002
- <Package Folder>/cache/####/f_000003
- <Package Folder>/cache/####/f_000004
- <Package Folder>/cache/####/f_000005
- <Package Folder>/cache/####/f_000006
- <Package Folder>/cache/####/f_000007
- <Package Folder>/cache/####/f_000008
- <Package Folder>/cache/####/f_000009
- <Package Folder>/cache/####/f_00000a
- <Package Folder>/cache/####/f_00000b
- <Package Folder>/cache/####/f_00000c
- <Package Folder>/cache/####/f_00000d
- <Package Folder>/cache/####/f_00000e
- <Package Folder>/cache/####/f_00000f
- <Package Folder>/cache/####/f_000010
- <Package Folder>/cache/####/f_000011
- <Package Folder>/cache/####/f_000012
- <Package Folder>/cache/####/f_000013
- <Package Folder>/cache/####/f_000014
- <Package Folder>/cache/####/index
- <Package Folder>/databases/bugly_db_-journal
- <Package Folder>/databases/pri_tencent_analysis.db_<Package>-journal
- <Package Folder>/databases/tencent_analysis.db_<Package>-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/databases/xg_message.db
- <Package Folder>/databases/xg_message.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/local_crash_lock
- <Package Folder>/files/security_info
- <Package Folder>/shared_prefs/.tpns.service.xml.xml
- <Package Folder>/shared_prefs/.tpns.settings.xml.xml
- <Package Folder>/shared_prefs/<Package>.BETA_VALUES.xml
- <Package Folder>/shared_prefs/<Package>.mid.world.ro.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml (deleted)
- <Package Folder>/shared_prefs/<Package>_preferences.xml.bak (deleted)
- <Package Folder>/shared_prefs/BUGLY_COMMON_VALUES.xml
- <Package Folder>/shared_prefs/appconfig.xml
- <Package Folder>/shared_prefs/appconfig.xml.bak
- <Package Folder>/shared_prefs/crashrecord.xml
- <Package Folder>/shared_prefs/device_id.xml
- <Package Folder>/shared_prefs/disk_entries_list_image_cache_653125739.xml
- <Package Folder>/shared_prefs/multidex.version.xml
- <Package Folder>/shared_prefs/tbs_download_config.xml
- <Package Folder>/shared_prefs/tbs_download_stat.xml
- <Package Folder>/shared_prefs/tpush.shareprefs.xml
- <Package Folder>/tinker/####/changed_classes.dex.jar
- <Package Folder>/tinker/####/patch-0e16d149.apk
- <Package Folder>/tinker/####/test.dex.jar
- <Package Folder>/tinker/info.lock
- <Package Folder>/tinker/patch.info
- <Package Folder>/tinker_temp/patch.retry
- <Package Folder>/tinker_temp/temp.apk
- <SD-Card>/.jyh/sid
- <SD-Card>/Android/####/.nomedia
- <SD-Card>/Android/####/journal
- <SD-Card>/Android/####/journal.tmp
- <SD-Card>/Android/####/tbslog.txt
- <SD-Card>/jiaoyihu/.nomedia
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- /system/bin/sh -c getprop
- /system/bin/sh -c type su
- <Package Folder>/lib/libxguardian.so <Package>,2100262951;<Package>,2100262951; 55204 203.205.128.130 [{ idx :0, ts :%d, et :2000, si :0, ui : <IMEI> , ky : Axg%lu , mid : 1399f324222eef374aff80ea8a79a706359d74f8 , ev :{ ov : 18 , sr : 600*752 , md : <System Property> , lg : en , sv : 3.1 , mf : unknown , apn : %s }}] 0 18
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- getprop
- getprop ro.product.cpu.abi
Загружает динамические библиотеки:
- Bugly
- MtaNativeCrash_v2
- libjiagu
- tpnsSecurity
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CFB8-NoPadding
- AES-GCM-NoPadding
- DESede-ECB-PKCS5Padding
- RSA-ECB-NoPadding
- RSA-ECB-PKCS1PADDING
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CFB8-NoPadding
- AES-GCM-NoPadding
- DES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
