Техническая информация
Вредоносные функции:
Отправляет СМС-сообщения:
- 10690403953262750546: dyl#null,<IMEI>,6000115-1-117-6_kh29s0195_-0
- 10691009: @8DYL#null,<IMEI>,6000115-1-117-6_kh29s0195_-0
Загружает на исполнение код следующих детектируемых угроз:
- Android.Spy.205.origin
- Android.Triada.351.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) p1.i####.cc:80
- TCP(HTTP/1.1) api.sdk.lie####.cn:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) 1####.199.9.227:80
Запросы DNS:
- a.appj####.com
- api.sdk.lie####.cn
- apm-co####.qte####.com
- apm-col####.qte####.com
- l####.i####.cc
- p1.i####.cc
- pay.91m####.com
- st####.citicfo####.com
- www.huangda####.com
Запросы HTTP GET:
- api.sdk.lie####.cn/api/channel/getConfig.jhtm?channelName=####
- api.sdk.lie####.cn/app/api/appDownload.jhtm?packageName=####&isNew=####&...
- api.sdk.lie####.cn/app/api/clkListen.jhtm?sn=####&channelName=####&packa...
- api.sdk.lie####.cn/app/api/getBlackList.jhtm?channelName=####
- api.sdk.lie####.cn/app/api/getSo.jhtm?packageName=####
- api.sdk.lie####.cn/app/api/isAccessEnable.jhtm
- api.sdk.lie####.cn/ssp/api/getCfg.jhtm?channelName=####
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
- a.appj####.com/jiagu/check/upgrade
- api.sdk.lie####.cn/ad/api/getAds.jhtm
- api.sdk.lie####.cn/ad/api/innerListen.jhtm
- p1.i####.cc/index.php/MC/LP
Изменения в файловой системе:
Создает следующие файлы:
- /system/app/Sysapp.apk
- /system/lib/lib64jpush220.so
- /system/lib/lib64locSDK6a.so
- /system/lib/libjpush220.so
- /system/lib/liblocSDK6a.so
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_jgls/.log.lock
- <Package Folder>/app_jgls/.log.ls
- <Package Folder>/app_tongyu/####/tongyu-pay-lib.apk
- <Package Folder>/app_workbench00218/apk.zip
- <Package Folder>/app_workbench05744/apk.zip
- <Package Folder>/app_workbench22548/apk.zip
- <Package Folder>/app_workbench33600/apk.zip
- <Package Folder>/app_workbench78274/apk.zip
- <Package Folder>/app_workbench94772/apk.zip
- <Package Folder>/cache/####/-156346091-2086681359
- <Package Folder>/cache/####/-1645201492-1655802136
- <Package Folder>/cache/####/-239631407-388479564
- <Package Folder>/cache/####/-490665427695701585
- <Package Folder>/cache/####/-7252669021706626256
- <Package Folder>/cache/####/-740780052-801577628
- <Package Folder>/cache/####/8982683091161120082
- <Package Folder>/databases/Data_sync.db-journal
- <Package Folder>/databases/MaiStore.db-journal
- <Package Folder>/databases/TestinAgent.db
- <Package Folder>/databases/TestinAgent.db-journal
- <Package Folder>/databases/adshower.db-journal
- <Package Folder>/databases/cc.db
- <Package Folder>/databases/cc.db-journal
- <Package Folder>/databases/ua.db
- <Package Folder>/databases/ua.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/####/exchangeIdentity.json
- <Package Folder>/files/exid.dat
- <Package Folder>/files/libabc
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/shared_prefs/Alvin2.xml
- <Package Folder>/shared_prefs/Alvin2.xml.bak (deleted)
- <Package Folder>/shared_prefs/ContextData.xml
- <Package Folder>/shared_prefs/PreferanceUtil.xml
- <Package Folder>/shared_prefs/TestinAgent.xml
- <Package Folder>/shared_prefs/jg_app_update_settings_random.xml
- <Package Folder>/shared_prefs/pretw.xml
- <Package Folder>/shared_prefs/share_data.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <SD-Card>/.DataStorage/ContextData.xml
- <SD-Card>/.UTSystemConfig/####/Alvin2.xml
- <SD-Card>/.tpservice/####/qsha_80001_5096.jar
- <SD-Card>/.twservice/####/tw
- <SD-Card>/.twservice/qshp_3003_2272.zip
- <SD-Card>/Android/####/.nomedia
- <SD-Card>/Android/####/com.skymobi.pay.plugin.main.data
- <SD-Card>/Android/####/com.skymobi.pay.plugin.recordupload.data
- <SD-Card>/Android/####/com.skymobi.pay.plugin.smspay.data
- <SD-Card>/Sysapp/Sysapp.apk
- <SD-Card>/SystemChannel/systemLyChannel
- <SD-Card>/lib64jpush220.so
- <SD-Card>/lib64locSDK6a.so
- <SD-Card>/libjpush220.so
- <SD-Card>/liblocSDK6a.so
Другие:
Запускает следующие shell-скрипты:
- app_process /system/bin com.android.commands.pm.Pm install -r /system/app/Sysapp.apk
- cat /sys/block/mmcblk0/device/cid
- cat /sys/class/net/wlan0/address
- chmod 644 /system/app/Sysapp.apk
- chmod 644 /system/lib/lib64jpush220.so
- chmod 644 /system/lib/lib64locSDK6a.so
- chmod 644 /system/lib/libjpush220.so
- chmod 644 /system/lib/liblocSDK6a.so
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- chown root:root /system/app/Sysapp.apk
- dumpsys activity activities
- grep mResumedActivity
- logcat -t 100 -v time
- mount -o remount /system
- sh
- su
Загружает динамические библиотеки:
- NativeCrash
- cocos2dcpp
- libabc
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES
Использует повышенные привилегии.
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
