Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.455.origin
- Android.DownLoader.570.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) upd####.lion####.com:80
- TCP(HTTP/1.1) 1####.57.218.214:8080
- TCP(HTTP/1.1) ad.lion####.com:80
- TCP(HTTP/1.1) www.lion####.com:80
- TCP(HTTP/1.1) d.zxl####.com.####.com:80
- TCP(HTTP/1.1) 1####.200.221.131:8080
- TCP(TLS/1.0) api.face####.com:443
- TCP(TLS/1.0) d####.fl####.com:443
- TCP p1.jz####.com:7801
- TCP i1.jiz####.com:7701
- TCP p1.jz####.com:7803
- TCP p1.jz####.com:7802
- TCP i3.jiz####.com:7703
- TCP i1.jiz####.com:7702
Запросы DNS:
- ad.lion####.com
- d####.fl####.com
- d.zxl####.com
- g####.face####.com
- i1.jiz####.com
- i2.jiz####.com
- i3.jiz####.com
- p1.jz####.com
- p2.jz####.com
- p3.jz####.com
- upd####.lion####.com
- www.lion####.com
Запросы HTTP GET:
- 1####.200.221.131:8080/spotService/a.jsp?k=####
- 1####.57.218.214:8080/jfservice/a.jsp?k=####
- d.zxl####.com.####.com/d/21as.apk
- d.zxl####.com.####.com/d/txsp1.jpg
Запросы HTTP POST:
- ad.lion####.com/api.php
- upd####.lion####.com/api/check_update
- www.lion####.com/aiudfh/analysis/api.php
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/databases/E_ID<IMEI>.db
- <Package Folder>/databases/E_ID<IMEI>.db-journal
- <Package Folder>/databases/a1.db
- <Package Folder>/databases/a1.db-journal
- <Package Folder>/databases/lionigoredb
- <Package Folder>/databases/lionigoredb-journal
- <Package Folder>/databases/lionsystoolsdb
- <Package Folder>/databases/lionsystoolsdb-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/####/ignoreliondefdb
- <Package Folder>/files/####/lionrule
- <Package Folder>/files/.YFlurrySenderIndex.info.AnalyticsData_S...S8_202
- <Package Folder>/files/.YFlurrySenderIndex.info.AnalyticsMain
- <Package Folder>/files/.yflurrydatasenderblock.21db35f7-5299-4f...d97c41
- <Package Folder>/files/.yflurrydatasenderblock.665dbca2-541f-47...9b0e66
- <Package Folder>/files/.yflurryreport.-4a88f0a1f339014
- <Package Folder>/files/01510835125635.dex (deleted)
- <Package Folder>/files/01510835125635.jar
- <Package Folder>/files/01510835125788.dex (deleted)
- <Package Folder>/files/01510835125788.jar
- <Package Folder>/files/01510835178721.jar
- <Package Folder>/files/01510835178801.jar
- <Package Folder>/files/AppEventsLogger.persistedsessioninfo
- <Package Folder>/files/update_manager_cache.json
- <Package Folder>/shared_prefs/FBAdPrefs.xml
- <Package Folder>/shared_prefs/FLURRY_SHARED_PREFERENCES.xml
- <Package Folder>/shared_prefs/_has_set_default_values.xml
- <Package Folder>/shared_prefs/a.xml
- <Package Folder>/shared_prefs/a1.xml
- <Package Folder>/shared_prefs/a1<IMEI>.xml
- <Package Folder>/shared_prefs/android_rate_pref_file.xml
- <Package Folder>/shared_prefs/b.xml
- <Package Folder>/shared_prefs/b1<IMEI>.xml
- <Package Folder>/shared_prefs/c1<IMEI>.xml
- <Package Folder>/shared_prefs/com.facebook.sdk.appEventPreferences.xml
- <Package Folder>/shared_prefs/com.facebook.sdk.attributionTracking.xml
- <Package Folder>/shared_prefs/com.lionmobi.powerclean_preferences.xml
- <Package Folder>/shared_prefs/com_lionmobi_a_a_a_c.xml
- <Package Folder>/shared_prefs/d1<IMEI>.xml
- <Package Folder>/shared_prefs/f1<IMEI>.xml
- <Package Folder>/shared_prefs/i.xml
- <Package Folder>/shared_prefs/i_fionf_pre<IMEI>.xml
- <Package Folder>/shared_prefs/i_fionf_pre<IMEI>.xml.bak (deleted)
- <SD-Card>/w/####/a_21as.apk.b
- <SD-Card>/w/####/txsp1.jpg.data
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/sh
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- stat /data/local/su
- stat /system/bin/failsafe/su
- stat /system/bin/su
- stat /system/sd/xbin/su
- stat /system/xbin/su
Загружает динамические библиотеки:
- libjiagu
- lion
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к интерфейсу камеры.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
