Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.248.origin
- Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) 1####.92.201.20:3003
- TCP(TLS/1.0) gv1.x####.com:443
Запросы DNS:
- gv1.x####.com
- i.t####.com
- l.ace####.com
Запросы HTTP POST:
- l.ace####.com/ando/v2/lv?app_id=####&r=####
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/code-4280274/BRJLx7EHSEY7uEFc
- <Package Folder>/databases/--NnOqXb0WtN69TojpNjY9tS2p36iw6ZVH9u...AzrA==
- <Package Folder>/databases/--NnOqXb0WtN69TojpNjY9tS2p36iw6ZVH9u...C86BwG
- <Package Folder>/databases/--NnOqXb0WtN69TojpNjY9tS2p36iw6ZVH9u...SqAC0=
- <Package Folder>/databases/--NnOqXb0WtN69TojpNjY9tS2p36iw6ZVH9u...ZhGg==
- <Package Folder>/databases/--NnOqXb0WtN69TojpNjY9tS2p36iw6ZVH9u...ournal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/####/01ZveDNTm8xZI7UBPNMFm9knAmHKi_2HYDA...c=.new
- <Package Folder>/files/####/0EidAf57NQYYsty69pqwoGPyZtkRuUEZ.new
- <Package Folder>/files/####/0TmduZmGcmabFmYHU5_6FN87bVE=.new
- <Package Folder>/files/####/1510835542177_2223
- <Package Folder>/files/####/1510835543269_2223
- <Package Folder>/files/####/1510835544048_2223
- <Package Folder>/files/####/1510835546210_2223
- <Package Folder>/files/####/1510835547266_2223
- <Package Folder>/files/####/1510835548863_2223
- <Package Folder>/files/####/1510835550114_2223
- <Package Folder>/files/####/2GRa550s7v28iMSWVS1NcoxdFVk=.new
- <Package Folder>/files/####/3wVfwn5_qXsV-R9ZC_ndEzS6ZXo=.new
- <Package Folder>/files/####/5elxGSpHWOlDtkDEKdPEGg==.new
- <Package Folder>/files/####/6ANGrgPQWNs4bdX2ZwJ2Dw==.new
- <Package Folder>/files/####/95W8pFeBJDlvER8df2NOWyuukWyr1Nid4mx...M=.new
- <Package Folder>/files/####/Aqz5RF5UItCyxJCSRJgoWQ==
- <Package Folder>/files/####/DtG06yaTIiuro76qFi9ZEaeYKvGyZF2t.new
- <Package Folder>/files/####/EQAx-KkHzybNkH8NrHZkLcxVX1PF0iI9bSK...E=.new
- <Package Folder>/files/####/HHyTumEVBu5995tY.zip
- <Package Folder>/files/####/IjjMiVnpD7c8Ci2_AM_kcRLbAIU=.new
- <Package Folder>/files/####/LzR-sz1l2kxUJ8e_
- <Package Folder>/files/####/O7fyWut8muWkKfjSsV2RsmFdF8Ho_iZMxlFRKQ==.new
- <Package Folder>/files/####/Qvv5uEVgEG-dX67w1eyi46m3q1TGMwoTTzsRKw==.new
- <Package Folder>/files/####/S6gt2kE3gNpSBmyQm89s89M2hwwcSPHMjYUh_Q==.new
- <Package Folder>/files/####/VVRyw4dF0awNGsfY34xyXK4Miqfi_Fj2.new
- <Package Folder>/files/####/_szJY7O0qi6OekN1WmlWP-qv2qaW379g.new
- <Package Folder>/files/####/aSVsib5LQL7KrB22_w8WhA==
- <Package Folder>/files/####/cmQU4R6wKtEiRwC_.new
- <Package Folder>/files/####/fQgBt9fbPPnCXHHamb8mWwT3kbs=.new
- <Package Folder>/files/####/jIMFBAfs9wTaGpfPnPvpJHl8N2nJ2VoN.new
- <Package Folder>/files/####/o5W7yrpoHSOdfdK6qyIPJUvAikE=
- <Package Folder>/files/####/oYtIz9pTOClxnGzgD9sHZlj0oHB7WQms.new
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/tO39p4RzQnOz3IGKkAm94D5zM2seHx8V3C6...I=.new
- <Package Folder>/files/####/teobw_f.zip
- <Package Folder>/files/####/uw3Ya04RgotWZry0YtAgCQ==.new
- <Package Folder>/files/####/z0BySePJQUDYmc6oOepuGKNMp0WhN6O8.new
- <Package Folder>/files/####/z25ep8HTrD0SbMiN68i6DlV7fQg=.new
- <Package Folder>/files/####/zYtOiP0HKZRoN9fUJJ75BrOH07g=.new
- <Package Folder>/files/####/zyH4VB4U6pX3GQgnztmSk7GxOoCIeKQ0.new
- <Package Folder>/files/Archimedes_p4
- <Package Folder>/files/Archimedes_p5
- <Package Folder>/files/rdata_commsdflqxgdz.new
- <Package Folder>/shared_prefs/3cff577985556567209c8fa8131303f63...le.xml
- <Package Folder>/shared_prefs/Pythagoras_phase.xml
- <Package Folder>/shared_prefs/TD_app_pefercen_profile.xml
- <Package Folder>/shared_prefs/TDpref_game.xml
- <Package Folder>/shared_prefs/TDpref_longtime.xml
- <Package Folder>/shared_prefs/TDpref_longtime3.xml
- <Package Folder>/shared_prefs/TDpref_shorttime.xml
- <Package Folder>/shared_prefs/TDpref_shorttime3.xml
- <Package Folder>/shared_prefs/mPBE.xml
- <Package Folder>/shared_prefs/qihoo_jiagu_crash_report.xml
- <Package Folder>/shared_prefs/tdid.xml
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique.new
- <SD-Card>/.tcookieid
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-4280274/BRJLx7EHSEY7uEFc -p <Package> -c com.msdfl.qxgdz.entity.ConeReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- MyGame
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
