Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Egame.1.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) log.s####.g.####.cn:80
- TCP(HTTP/1.1) log.pay.9####.cn:8080
- TCP(HTTP/1.1) q####.s####.g.####.cn:8080
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) cf.gdata####.net:80
- TCP(HTTP/1.1) cfg.s####.g.####.cn:80
- TCP(HTTP/1.1) b####.s####.g.####.cn:80
- UDP(NTP) 0.a####.p####.####.org:123
Запросы DNS:
- 0.a####.p####.####.org
- a.appj####.com
- b####.s####.g.####.cn
- cf.gdata####.net
- cfg.s####.g.####.cn
- hijoyg####.cn
- log.pay.9####.cn
- log.s####.g.####.cn
- payce####.uc.cn
- q####.s####.g.####.cn
- rd.gdata####.net
- ser####.j####.360.cn
- up####.s####.g.####.cn
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
- a.appj####.com/jiagu/check/upgrade
- b####.s####.g.####.cn/client/base.channel.check?ver=####&df=####&cver=##...
- b####.s####.g.####.cn/client/base.config.check?ver=####&df=####&cver=###...
- cf.gdata####.net/config/update
- cf.gdata####.net/dc/sync_adr
- cfg.s####.g.####.cn/client/update.module.check?ver=####&df=####&cver=###...
- cfg.s####.g.####.cn/sg/client/res.pkginfo.get?ver=####&df=####&cver=####...
- log.pay.9####.cn:8080/psdk/logv2.htm
- log.s####.g.####.cn/sglog/client/sg.log.collect?ver=####&df=####&cver=##...
- q####.s####.g.####.cn:8080/sg/client/board.recommend.topic?ver=####&df=#...
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/cache/####/pm
- <Package Folder>/cache/####/sdkplugin_floater.dex
- <Package Folder>/cache/####/sdkplugin_init.dex
- <Package Folder>/cache/####/sdkplugin_lib.dex
- <Package Folder>/cache/####/sdkplugin_log.dex
- <Package Folder>/cache/####/sdkplugin_msg.dex
- <Package Folder>/cache/####/sdkplugin_root.dex
- <Package Folder>/cache/####/sdkplugin_update.dex
- <Package Folder>/cache/####/sdkplugin_utils.dex
- <Package Folder>/cache/####/shellstat
- <Package Folder>/databases/__hq_recorder_
- <Package Folder>/databases/__hq_recorder_-journal
- <Package Folder>/databases/dataeye_database_B08F3ED5C17DF0A0DBD...89E.db
- <Package Folder>/databases/dataeye_database_B08F3ED5C17DF0A0DBD...ournal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/####/entry.xml
- <Package Folder>/files/####/payment.cer
- <Package Folder>/files/####/ugpsdk-core.jar
- <Package Folder>/files/####/ugpsdk-lib.jar
- <Package Folder>/files/####/ugpsdk-upgrade.jar
- <Package Folder>/files/.jiagu.lock
- <Package Folder>/files/libjiagu.so
- <Package Folder>/shared_prefs/__hq_game_sp__.xml
- <Package Folder>/shared_prefs/cn.uc.gamesdk.pref.xml
- <Package Folder>/shared_prefs/cn.uc.paysdk.pref.xml
- <Package Folder>/shared_prefs/dc.B08F3ED5C17DF0A0DBD5ABBF917778...es.xml
- <Package Folder>/shared_prefs/jg_app_update_settings_random.xml
- <Package Folder>/ucgamesdk/####/display_mode.config
- <Package Folder>/ucgamesdk/####/floater.config
- <Package Folder>/ucgamesdk/####/floater.config.tmp
- <Package Folder>/ucgamesdk/####/floater.config.updated.tmp
- <Package Folder>/ucgamesdk/####/floater_db
- <Package Folder>/ucgamesdk/####/floater_db-journal
- <Package Folder>/ucgamesdk/####/msg.apk
- <Package Folder>/ucgamesdk/####/pm
- <Package Folder>/ucgamesdk/####/sdkplugin_floater.apk
- <Package Folder>/ucgamesdk/####/sdkplugin_init.apk
- <Package Folder>/ucgamesdk/####/sdkplugin_lib.apk
- <Package Folder>/ucgamesdk/####/sdkplugin_log.apk
- <Package Folder>/ucgamesdk/####/sdkplugin_msg.apk
- <Package Folder>/ucgamesdk/####/sdkplugin_root.apk
- <Package Folder>/ucgamesdk/####/sdkplugin_update.apk
- <Package Folder>/ucgamesdk/####/sdkplugin_utils.apk
- <Package Folder>/ucgamesdk/####/uc_systemConfig.json
- <SD-Card>/.SystemService/####/uid
- <SD-Card>/Android/####/stat_20171206_log
- <SD-Card>/ucgamesdk/####/config
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh
- ls -l /sbin/su
- ls -l /system/bin/su
- ls -l /system/sbin/su
- ls -l /system/xbin/su
- ls -l /vendor/bin/su
Загружает динамические библиотеки:
- cocos2dcpp
- hqbase
- libjiagu
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации о запущенных приложениях.
Осуществляет доступ к информации о зарегистрированных на устройстве аккаунтах (Google, Facebook и тд.).
Отрисовывает собственные окна поверх других приложений.
