Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.2083
- Android.DownLoader.546.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) f.tiantan####.com:80
- TCP(HTTP/1.1) f.tiantan####.com:3800
- TCP(TLS/1.0) d####.fl####.com:443
- TCP(TLS/1.0) analy####.q####.y####.com:443
Запросы DNS:
- analy####.q####.y####.com
- d####.fl####.com
- f.tiantan####.com
- pad.tiantan####.com
- pc.tiantan####.com
Запросы HTTP GET:
- f.tiantan####.com/Uploads/vod/2015-12-31/568412c20e927.jpg
- f.tiantan####.com/Uploads/vod/2015-12-31/568414ef3fd5a.jpg
- f.tiantan####.com/Uploads/vod/2015-12-31/5684780c3debf.jpg
- f.tiantan####.com/Uploads/vod/2015-12-31/56847d3f71dc1.jpg
- f.tiantan####.com/Uploads/vod/2015-12-31/5684f1a39d1b0.jpg
- f.tiantan####.com/Uploads/vod/2015-12-31/5684f266e1be7.jpg
- f.tiantan####.com/Uploads/vod/2015-12-31/5684f835ab1ba.jpg
- f.tiantan####.com/Uploads/vod/2015-12-31/5684f83b60674.jpg
- f.tiantan####.com/Uploads/vod/2016-04-08/570709d036ddd.jpg
- f.tiantan####.com/Uploads/vod/2016-06-12/575c43c8982cd.jpg
- f.tiantan####.com/Uploads/vod/2017-04-03/58e197edd8e39.jpg
- f.tiantan####.com/Uploads/vod/2017-04-13/58ef194759e82.jpg
- f.tiantan####.com/Uploads/vod/2017-04-15/58f0f5d1268ac.jpg
- f.tiantan####.com/Uploads/vod/2017-05-03/5909cf41c53fc.jpg
- f.tiantan####.com/Uploads/vod/2017-05-06/590d94d08ad89.jpg
- f.tiantan####.com/Uploads/vod/2017-05-21/592119ac86429.jpg
- f.tiantan####.com/Uploads/vod/2017-06-09/59398b90e73f6.jpg
- f.tiantan####.com/Uploads/vod/2017-06-11/593d47cca9981.jpg
- f.tiantan####.com/Uploads/vod/2017-06-13/593f50406b0c3.jpg
- f.tiantan####.com/Uploads/vod/2017-06-13/593f5046e458a.jpg
- f.tiantan####.com/Uploads/vod/2017-09-15/59baae9d0c5fe.jpg
- f.tiantan####.com/Uploads/vod/2017-11-01/59f9828cbdefd.jpg
- f.tiantan####.com/Uploads/vod/2017-11-16/5a0d96f706e3b.jpg
- f.tiantan####.com/Uploads/vod/2018-01-05/5a4f9e25c4141.jpg
- f.tiantan####.com/Uploads/vod/2018-01-20/5a6327a4dba6c.jpg
- f.tiantan####.com/Uploads/vod/2018-01-21/5a642961275cc.jpg
- f.tiantan####.com/Uploads/vod/2018-02-10/5a7dcd312d3d6.jpg
- f.tiantan####.com/Uploads/vod/2018-02-15/5a85abee667dc.jpg
- f.tiantan####.com:3800/
- f.tiantan####.com:3800//index.php?s=####
- f.tiantan####.com:3800/?s=####
- f.tiantan####.com:3800/css/app.css
- f.tiantan####.com:3800/css/default_skin.css
- f.tiantan####.com:3800/images/icon_back.png
- f.tiantan####.com:3800/images/icon_history.png
- f.tiantan####.com:3800/images/icon_refresh.png
- f.tiantan####.com:3800/images/icon_sao.png
- f.tiantan####.com:3800/images/icon_search.png
- f.tiantan####.com:3800/images/logo.png
- f.tiantan####.com:3800/images/none.jpg
- f.tiantan####.com:3800/images/star.png
- f.tiantan####.com:3800/index.php?s=####
- f.tiantan####.com:3800/js/app.js
- f.tiantan####.com:3800/js/piclazyload.js
- f.tiantan####.com:3800/js/zepto.js
- f.tiantan####.com:3800/null
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_jgls/.log.lock
- <Package Folder>/app_jgls/.log.ls
- <Package Folder>/app_kptsj/<Package>.odex
- <Package Folder>/app_kptsj/<Package>.zip
- <Package Folder>/cache/####/data_0
- <Package Folder>/cache/####/data_1
- <Package Folder>/cache/####/data_2
- <Package Folder>/cache/####/data_3
- <Package Folder>/cache/####/f_000001
- <Package Folder>/cache/####/index
- <Package Folder>/databases/db_public-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal (deleted)
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/.YFlurrySenderIndex.info.AnalyticsData_R...96_202
- <Package Folder>/files/.YFlurrySenderIndex.info.AnalyticsMain
- <Package Folder>/files/.yflurrydatasenderblock.906edfa7-b2f8-47...171fda
- <Package Folder>/shared_prefs/List.xml
- <Package Folder>/shared_prefs/cn.jpush.serverconfig.xml
- <Package Folder>/shared_prefs/share_date.xml
- <SD-Card>/yunduo/####/xiguaData.cfg-journal
Другие:
Запускает следующие shell-скрипты:
- cat /proc/mounts
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- jpush181
- libjiagu
- p2p
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Отрисовывает собственные окна поверх других приложений.
