Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Xiny.240.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) a.peiz####.cn:5284
- TCP(HTTP/1.1) v####.a####.eeric####.com:80
- TCP(HTTP/1.1) b.yunj####.cn:5284
- TCP(HTTP/1.1) v####.api.eeric####.com:80
- TCP(HTTP/1.1) pa.yunj####.cn:8002
- TCP(HTTP/1.1) p1.i####.cc:80
- TCP(HTTP/1.1) a####.peiz####.cn.####.com:5285
- TCP(HTTP/1.1) www.ka####.com:8080
Запросы DNS:
- a####.peiz####.cn
- a####.u####.com
- a.peiz####.cn
- b.yunj####.cn
- p1.i####.cc
- pa.yunj####.cn
- v####.a####.eeric####.com
- v####.api.eeric####.com
- www.ka####.com
Запросы HTTP GET:
- a####.peiz####.cn.####.com:5285/AppDownLoad/apk/downloadAPK?appId=####
- v####.a####.eeric####.com/fileupload/e00ac1690539a0b6.jar
Запросы HTTP POST:
- a####.u####.com/app_logs
- a.peiz####.cn:5284/android.frontserver/pcsvc
- b.yunj####.cn:5284/android.frontserver/pcsvc
- p1.i####.cc/index.php/MC/HB
- pa.yunj####.cn:8002/pps
- v####.api.eeric####.com/api/payment/mobileInit.html
- v####.api.eeric####.com/api/payment/updateinit_v2
- www.ka####.com:8080/game/paycontrol
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_buntutu/F85C58A2196623557E8A00D8A4680702
- <Package Folder>/app_buntutu/kb_idle.ini
- <Package Folder>/app_buntutu/{1D21A616-1F3CB0E0}.P1
- <Package Folder>/app_buntutu/{1D21A616-1F3CB0E0}.P3
- <Package Folder>/app_buntutu/{6109AB2B-769CFABF}_{1D21A616-1F3CB0E0}.P2
- <Package Folder>/app_libs/native_1510833279637.so
- <Package Folder>/app_wyzf_plg/5.3.0.jar
- <Package Folder>/app_wyzf_plg/pay_plg.dex
- <Package Folder>/app_wyzf_plg/pay_plg.dex (deleted)
- <Package Folder>/app_wyzf_plg/pay_plg.jar
- <Package Folder>/databases/347781996620052-journal
- <Package Folder>/databases/cc.db
- <Package Folder>/databases/cc.db-journal
- <Package Folder>/databases/msg_com.yf.y.f.init.plugin.dao.DBOpe...ournal
- <Package Folder>/databases/msg_com.yf.y.f.init.plugin.dao.DBOpenHelper.db
- <Package Folder>/databases/sms_db
- <Package Folder>/databases/sms_db-journal
- <Package Folder>/databases/ua.db
- <Package Folder>/databases/ua.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/####/b.d
- <Package Folder>/files/####/cb.d
- <Package Folder>/files/####/cbn.d
- <Package Folder>/files/####/cbn_d.d
- <Package Folder>/files/####/cbs.d
- <Package Folder>/files/####/d_h_d.d
- <Package Folder>/files/####/exchangeIdentity.json
- <Package Folder>/files/####/lt.d
- <Package Folder>/files/####/pcn.d
- <Package Folder>/files/####/pcs.d
- <Package Folder>/files/####/pgb.d
- <Package Folder>/files/####/wx.d
- <Package Folder>/files/####/zfb.d
- <Package Folder>/files/.imprint
- <Package Folder>/files/exid.dat
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/files/yf.apk
- <Package Folder>/shared_prefs/<Package>.xml
- <Package Folder>/shared_prefs/Alvin2.xml
- <Package Folder>/shared_prefs/ContextData.xml
- <Package Folder>/shared_prefs/buntutu_data_s.xml
- <Package Folder>/shared_prefs/cached.pref.xml
- <Package Folder>/shared_prefs/com_android_command_buntutu_v.xml
- <Package Folder>/shared_prefs/game_n.xml
- <Package Folder>/shared_prefs/jg_so_upgrade_setting.xml
- <Package Folder>/shared_prefs/mm_nw_app.xml
- <Package Folder>/shared_prefs/sp_name_configcom.yf.y.f.init.plu...il.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/w2v5e0q0n29606p9x9g1n8v7x7r4n3.xml
- <Package Folder>/shared_prefs/wyzf_configcom.yf.y.f.init.util.e.xml
- <SD-Card>/.DataStorage/ContextData.xml
- <SD-Card>/.UTSystemConfig/####/Alvin2.xml
- <SD-Card>/Download/pConifg.ini
- <SD-Card>/buntutu/####/0C3E1782C1F853AF.jar.i
- <SD-Card>/buntutu/####/0C3E1782C1F853AFwh.jar
- <SD-Card>/buntutu/####/AEE69129416B4F5D.jar
- <SD-Card>/buntutu/####/AEE69129416B4F5Dwh.jar
- <SD-Card>/buntutu/1B3A2967E5FD862EFD957606C65C8122
- <SD-Card>/buntutu/2887A00B589C85A5FF5607D7EB45E7C8
- <SD-Card>/buntutu/30592A6B8B0C769E3F7FDE6E1A033DF5
- <SD-Card>/buntutu/D99494BB10D048C393648C204AF8AA38
- <SD-Card>/buntutu/buntutu.jar.tmp.i
- <SD-Card>/buntutu/buntutu.jaru
- <SD-Card>/buntutu/kb_idle.ini
- <SD-Card>/buntutu/kb_sn.ini
- <SD-Card>/buntutu/{BE2355DB-D785E335}.PC1
- <SD-Card>/pay/<Package>_<IMSI>_20171116_pay.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- cat /sys/block/mmcblk0/device/cid
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
- native_1510833279637
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
