Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.589.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) d####.opensp####.cn:80
- TCP(HTTP/1.1) statse####.tatat####.com:1180
- TCP(HTTP/1.1) go####.yo####.com:80
- TCP(HTTP/1.1) h####.opensp####.cn:80
- TCP(HTTP/1.1) etatase####.tatat####.com:80
- TCP(HTTP/1.1) oss.tatat####.com:80
- TCP(HTTP/1.1) tata-v####.img-cn-####.aliy####.com:80
- TCP(HTTP/1.1) cdn.img.h####.####.com:80
- TCP(TLS/1.0) z####.l####.top:443
Запросы DNS:
- a####.u####.com
- ads.tatat####.com
- cdn.app.h####.top
- cdn.img.h####.top
- d####.opensp####.cn
- duo####.tatat####.com
- etatase####.tatat####.com
- go####.yo####.com
- h####.opensp####.cn
- oss.tatat####.com
- statse####.tatat####.com
- tata-v####.img-cn-####.aliy####.com
- z####.l####.top
Запросы HTTP GET:
- cdn.img.h####.####.com/upload/201803/2/app/20180302153614801.apk
- cdn.img.h####.####.com/upload/201803/2/app/20180302180738205.apk
- cdn.img.h####.####.com/upload/201803/2/img/20180302153614054.png
- cdn.img.h####.####.com/upload/201803/2/img/20180302180732224.png
- go####.yo####.com/gorgon/request.s?s=2W2lf####&ydet=####
- h####.opensp####.cn/launchconfig?t=####&p=bmR1a####
- oss.tatat####.com/audio/mr/1shang1111111111111111111.jpg
- oss.tatat####.com/audio/mr/1xiagfffffffffffffff.jpg
- oss.tatat####.com/audio/other/20140705022702257.jpg
- oss.tatat####.com/audio/xiaoxuejiaocai/2436-aa427c5e6d618420fbd881f4889e...
- oss.tatat####.com/xiaoxue/diandu/402.jpg
- oss.tatat####.com/xiaoxue/diandu/403.jpg
- oss.tatat####.com/xiaoxue/diandu/404.jpg
- oss.tatat####.com/xiaoxue/diandu/405.jpg
- oss.tatat####.com/xiaoxue/diandu/406.jpg
- oss.tatat####.com/xiaoxue/diandu/407.jpg
- oss.tatat####.com/xiaoxue/diandu/408.jpg
- oss.tatat####.com/xiaoxue/diandu/409.jpg
- oss.tatat####.com/xiaoxue/diandu/410.jpg
- oss.tatat####.com/xiaoxue/diandu/411.jpg
- oss.tatat####.com/xiaoxue/diandu/412.jpg
- oss.tatat####.com/xiaoxue/diandubook/3.jpg
- oss.tatat####.com/xiaoxue/diandubook/4.jpg
- oss.tatat####.com/xiaoxue/diandubook/5.jpg
- oss.tatat####.com/xiaoxue/diandubook/6.jpg
- tata-v####.img-cn-####.aliy####.com/xiaoxue/diandu/401.jpg@100w
- tata-v####.img-cn-####.aliy####.com/xiaoxue/diandu/402.jpg@100w
- tata-v####.img-cn-####.aliy####.com/xiaoxue/diandu/403.jpg@100w
- tata-v####.img-cn-####.aliy####.com/xiaoxue/diandu/404.jpg@100w
- tata-v####.img-cn-####.aliy####.com/xiaoxue/diandu/405.jpg@100w
- tata-v####.img-cn-####.aliy####.com/xiaoxue/diandu/406.jpg@100w
- tata-v####.img-cn-####.aliy####.com/xiaoxue/diandu/407.jpg@100w
- tata-v####.img-cn-####.aliy####.com/xiaoxue/diandu/408.jpg@100w
Запросы HTTP POST:
- a####.u####.com/app_logs
- d####.opensp####.cn/index.php/clientrequest/clientcollect/isCollect
- etatase####.tatat####.com/ads/rt.s?id=####
- etatase####.tatat####.com/tataeraapi/api.s?&h=####
- etatase####.tatat####.com/tataeraapi/api.s?h=####
- etatase####.tatat####.com/tataeraapi/api.s?h=####&ver=####&pr=####
- statse####.tatat####.com:1180/stat/api.s?h=####
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/databases/UmengLocalNotificationStore.db-journal
- <Package Folder>/databases/statistics-journal
- <Package Folder>/databases/t_u.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/.imprint
- <Package Folder>/files/5.jar
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/shared_prefs/6.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/Alvin2.xml
- <Package Folder>/shared_prefs/AppStore.xml
- <Package Folder>/shared_prefs/ContextData.xml
- <Package Folder>/shared_prefs/com.iflytek.id.xml
- <Package Folder>/shared_prefs/dianduji.xml
- <Package Folder>/shared_prefs/ifly_launch_lib.xml
- <Package Folder>/shared_prefs/iflytek_state_<Package>.xml
- <Package Folder>/shared_prefs/kr.xml
- <Package Folder>/shared_prefs/mobclick_agent_online_setting_<Package>.xml
- <Package Folder>/shared_prefs/shareadsdk.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/umeng_message_state.xml
- <Package Folder>/shared_prefs/vbz.xml
- <SD-Card>/.DataStorage/ContextData.xml
- <SD-Card>/.UTSystemConfig/####/Alvin2.xml
- <SD-Card>/Android/####/-1012196997.tmp
- <SD-Card>/Android/####/-1208710502.tmp
- <SD-Card>/Android/####/-1229522003.tmp
- <SD-Card>/Android/####/-1230445524.tmp
- <SD-Card>/Android/####/-1231369045.tmp
- <SD-Card>/Android/####/-1232292566.tmp
- <SD-Card>/Android/####/-1405224007.tmp
- <SD-Card>/Android/####/-1500906697.tmp
- <SD-Card>/Android/####/-1774989480.tmp
- <SD-Card>/Android/####/-226142977.tmp
- <SD-Card>/Android/####/-29629472.tmp
- <SD-Card>/Android/####/-422656482.tmp
- <SD-Card>/Android/####/-619169987.tmp
- <SD-Card>/Android/####/-737677469.tmp
- <SD-Card>/Android/####/-739524511.tmp
- <SD-Card>/Android/####/-759841973.tmp
- <SD-Card>/Android/####/-760765494.tmp
- <SD-Card>/Android/####/-761689015.tmp
- <SD-Card>/Android/####/-762612536.tmp
- <SD-Card>/Android/####/-763536057.tmp
- <SD-Card>/Android/####/-764459578.tmp
- <SD-Card>/Android/####/-765383099.tmp
- <SD-Card>/Android/####/-766306620.tmp
- <SD-Card>/Android/####/-815683492.tmp
- <SD-Card>/Android/####/-821610431.tmp
- <SD-Card>/Android/####/.nomedia
- <SD-Card>/Android/####/0c4eb4943b9a8
- <SD-Card>/Android/####/696d6735b0b1c09c2ae855e04d317dd5.apk
- <SD-Card>/Android/####/6cec6f7cdfcb469496f792d60f074cc0.apk
- <SD-Card>/Android/####/896795776.tmp
- <SD-Card>/Android/####/b.tmp
- <SD-Card>/Android/####/fe3093ef159ef
- <SD-Card>/iflyworkdir_test
- <SD-Card>/msc/.2F6E2C5B63F0F83B
- <SD-Card>/tataera/####/diandu_10.txt
- <SD-Card>/tataera/####/diandu_10_simple.txt
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- chmod 777 /storage/emulated/0/Android/data/<Package>/files/Download/Android/azb/696d6735b0b1c09c2ae855e04d317dd5.apk
- chmod 777 /storage/emulated/0/Android/data/<Package>/files/Download/Android/azb/6cec6f7cdfcb469496f792d60f074cc0.apk
Загружает динамические библиотеки:
- libjiagu
- msc
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
