Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.HiddenAds.4.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) sd####.cm####.com:80
- TCP(HTTP/1.1) api.jiu####.com:80
- TCP(HTTP/1.1) g####.g####.net:8080
- TCP(HTTP/1.1) cop.ultra####.cn:80
- TCP(HTTP/1.1) wap.cm####.com:7758
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) cf.gdata####.net:80
- TCP(HTTP/1.1) drm.cm####.com:80
- TCP(HTTP/1.1) 2####.111.8.140:8080
- TCP(HTTP/1.1) cdn.disp####.spcd####.com:80
- TCP(HTTP/1.1) p####.vqs.com:80
Запросы DNS:
- 1####.i####.com
- a.appj####.com
- api.jiu####.com
- cf.gdata####.net
- cop.ultra####.cn
- drm.cm####.com
- g####.g####.net
- p####.vqs.com
- rd.gdata####.net
- sd####.cm####.com
- wap.cm####.com
Запросы HTTP GET:
- cdn.disp####.spcd####.com/ic.asp
- cop.ultra####.cn/getdata?gameid=####&qudao=####&uid=####&ver=####&os=###...
- drm.cm####.com/egsb/startup/queryConfiguration?channelId=####&contentId=...
- p####.vqs.com/2016/0519/lALOIoHVKGBg_96_96.png
- p####.vqs.com/2016/0519/lALOIoHVSGBg_96_96.png
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
- api.jiu####.com/index.php?m=####&c=####&a=####
- cf.gdata####.net/config/update
- cf.gdata####.net/dc/sync_adr
- g####.g####.net:8080/migusdk/tl/tcttl
- g####.g####.net:8080/migusdk/verification/checkSdkUpdate
- sd####.cm####.com/behaviorLogging/eventLogging/accept?
- wap.cm####.com:7758/normandie/QueryConfigPolicy
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_jgls/.log.lock
- <Package Folder>/app_jgls/.log.ls
- <Package Folder>/cache/temp.dex (deleted)
- <Package Folder>/databases/dataeye_database_BC831B3D76E15454B8E...0CC.db
- <Package Folder>/databases/dataeye_database_BC831B3D76E15454B8E...ournal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/####/libmiguED.so
- <Package Folder>/files/ED.ini
- <Package Folder>/files/MiguPay.Sdk30.Lib_12003003_db5cfe073edef...02.cod
- <Package Folder>/files/MiguPay.Sdk30.Lib_12003003_db5cfe073edef...02.dat
- <Package Folder>/files/libmgRun_04.22.05_01.so
- <Package Folder>/files/mgAS.dat
- <Package Folder>/files/mgSS.dat
- <Package Folder>/files/mgid.dat
- <Package Folder>/files/sdk_prefs
- <Package Folder>/isAnd.txt
- <Package Folder>/shared_prefs/dc.BC831B3D76E15454B8E8A78F341DD0...es.xml
- <Package Folder>/shared_prefs/jg_app_update_settings_random.xml
- <Package Folder>/shared_prefs/qihoo_jiagu_crash_report.xml
- <Package Folder>/shared_prefs/vqs_shared_data.xml
- <Package Folder>/temp.dex
- <SD-Card>/.SystemService/####/uid
- <SD-Card>/Download/####/ShareData.txt
- <SD-Card>/Download/####/deviceId.txt
- <SD-Card>/Download/####/msgflag.txt
- <SD-Card>/Download/####/sdk_prefs.txt
- <SD-Card>/VqsPhone.apk
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- ls -l /sbin/su
- ls -l /system/bin/su
- ls -l /system/sbin/su
- ls -l /system/xbin/su
- ls -l /vendor/bin/su
Загружает динамические библиотеки:
- cocos2dlua
- libjiagu
- libmiguED
- megjb
- mg20pbase
Использует следующие алгоритмы для шифрования данных:
- DES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
