Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.243
- Android.Triada.248.origin
- Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) cl.mo####.u####.com:80
- TCP(HTTP/1.1) pg.x####.com:80
- TCP(HTTP/1.1) i####.cn.com:80
- TCP(HTTP/1.1) cf.gdata####.net:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) 1####.196.40.71:9600
- TCP(HTTP/1.1) 1####.196.40.71:9500
- TCP(TLS/1.0) gv1.x####.com:443
Запросы DNS:
- a####.u####.com
- cf.gdata####.net
- cl.mo####.u####.com
- gv1.x####.com
- i####.cn.com
- img.ace####.com
- l.ace####.com
- loc.map.b####.com
- pg.x####.com
- rd.gdata####.net
Запросы HTTP GET:
- i####.cn.com/a/3cff577985556567209c8fa8131303f63
Запросы HTTP POST:
- a####.u####.com/app_logs
- cf.gdata####.net/config/update
- cf.gdata####.net/dc/sync_adr
- cl.mo####.u####.com/show.aspx?Key=####
- l.ace####.com/ando/v1/x/ap?app_id=####&r=####
- l.ace####.com/ando/v1/x/lv?app_id=####&r=####
- l.ace####.com/ando/v1/x/qa?app_id=####&r=####
- loc.map.b####.com/sdk.php
- pg.x####.com/api/q/a/3cff577985556567209c8fa8131303f63
- pg.x####.com/api/statis/3cff577985556567209c8fa8131303f63/game-4CFB40D31...
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/code-7134028/sEA-9aDDQSww9iMc
- <Package Folder>/databases/Pf96rDckg0-ta2yZBJ35zNsNeiMVN6S1_CIy...3WKg==
- <Package Folder>/databases/Pf96rDckg0-ta2yZBJ35zNsNeiMVN6S1_CIy...ournal
- <Package Folder>/databases/Pf96rDckg0-ta2yZBJ35zNsNeiMVN6S1_PZX...RY_g==
- <Package Folder>/databases/Pf96rDckg0-ta2yZBJ35zNsNeiMVN6S1_PZX...ournal
- <Package Folder>/databases/Pf96rDckg0-ta2yZBJ35zNsNeiMVN6S1_PxR...ournal
- <Package Folder>/databases/Pf96rDckg0-ta2yZBJ35zNsNeiMVN6S1_wwo...2048Rl
- <Package Folder>/databases/Pf96rDckg0-ta2yZBJ35zNsNeiMVN6S1_wwo...ournal
- <Package Folder>/databases/Pf96rDckg0-ta2yZBJ35zNsNeiMVN6S1_x5u...NGivU=
- <Package Folder>/databases/Pf96rDckg0-ta2yZBJ35zNsNeiMVN6S1_x5u...ournal
- <Package Folder>/databases/cc.db
- <Package Folder>/databases/cc.db-journal
- <Package Folder>/databases/dataeye_database_F26766DB7A9C32139B6...19A.db
- <Package Folder>/databases/dataeye_database_F26766DB7A9C32139B6...ournal
- <Package Folder>/databases/talkingdata_app.db-journal
- <Package Folder>/databases/ua.db
- <Package Folder>/databases/ua.db-journal
- <Package Folder>/databases/vi_db_pay-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/files/####/-yGFGUI3suJ2LaBkm_iRUIEGCmt0sNcPm9wFKQ==.new
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/####/0jQ0XmZq1jasZn8XL2ONYQwx8o4v5xPBvF9cxg==.new
- <Package Folder>/files/####/2XXu00DYAuBh19686O4mkMAXMSE-77YE.new
- <Package Folder>/files/####/DxgvPe32U71aEMHk0lrS-w==.new
- <Package Folder>/files/####/Fp0YWWguS2QxA5Y5wAvuMHwMILIMrQnj.new
- <Package Folder>/files/####/Hajpds1ubTmFaEec6rPGEA==.new
- <Package Folder>/files/####/J5ey9wlkDPVkSWgIoTFm1yhJXA7vuHE8.new
- <Package Folder>/files/####/KtvTBaM7CvA8kXb5
- <Package Folder>/files/####/LtK339NozetU640qVfPIIcHapYQ6nciL.new
- <Package Folder>/files/####/NsCOlME5WHj8_0E11nxa9oEoiHsIs6BF.new
- <Package Folder>/files/####/Oa-WzdvpJFpy8jTr1pIVMD9QWlU=.new
- <Package Folder>/files/####/PYxAdNah-CiEHwqSB43Q1z6zThg=.new
- <Package Folder>/files/####/QEkzSz-GAA60p21fgqIXSh4ZkKOYbOK51uz...M=.new
- <Package Folder>/files/####/Rjjul1r7ZPYMq4akXNpnJ-Bytg9OqZxp.new
- <Package Folder>/files/####/SiPb4JEC3-3yzcx036fjOBUC9OfzvSr8kAw...Y=.new
- <Package Folder>/files/####/To5RYVxMnS8aiFbz.zip
- <Package Folder>/files/####/UUHutCSRehslspOR4VAATg9RkdFJaDVDVQYVMg==.new
- <Package Folder>/files/####/_nnU0m_-uMAr_V5CXDgM5k8yesU=
- <Package Folder>/files/####/acKVdjY1aGrRXUgEOotYNOA2220=.new
- <Package Folder>/files/####/axjcEp5c9zMs3waCPFxpygQMiBpscpHt
- <Package Folder>/files/####/axjcEp5c9zMs3waCPFxpygQMiBpscpHt.new
- <Package Folder>/files/####/cFtfsndGlKDhFojRaT6-vaYdAQe6jq2i3Jq...Q=.new
- <Package Folder>/files/####/eOj6ktHYFUTXZv7GrOXsskAizE4=.new
- <Package Folder>/files/####/exchangeIdentity.json
- <Package Folder>/files/####/k28n7TBSWDtfolrhYMA7eijpx7qbIsWh.new
- <Package Folder>/files/####/kS334Y3prkBFhIlMy45www==.new
- <Package Folder>/files/####/lSFF5QWr0ul4Kswx0N6RqA==
- <Package Folder>/files/####/nTWc1w9IT2YDG6PdRMdyRgOHGXjbmW6Mw7a...Q=.new
- <Package Folder>/files/####/o2cKOkFp677PhbygUkaAVA==
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/seaoag_f.zip
- <Package Folder>/files/####/tSxfcNRbyDB_JfHh.new
- <Package Folder>/files/####/ulFRePeUHcQW58Lzdn5OOKGFEUk=.new
- <Package Folder>/files/.imprint
- <Package Folder>/files/com.s.ypay.apk
- <Package Folder>/files/exid.dat
- <Package Folder>/files/rdata_comrelzqoza.new
- <Package Folder>/files/talkingdata_app_process_preferences_file
- <Package Folder>/files/talkingdata_app_version_preferences_file
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/shared_prefs/3cff577985556567209c8fa8131303f63...le.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/Alvin2.xml
- <Package Folder>/shared_prefs/ContextData.xml
- <Package Folder>/shared_prefs/SP_REPLACE_CLASSLOADER_CLASS_NAME.xml
- <Package Folder>/shared_prefs/TD_app_pefercen_profile.xml
- <Package Folder>/shared_prefs/dc.F26766DB7A9C32139B6C3865F566E1...es.xml
- <Package Folder>/shared_prefs/pref_file.xml
- <Package Folder>/shared_prefs/qihoo_jiagu_crash_report.xml
- <Package Folder>/shared_prefs/td_pefercen_profile.xml
- <Package Folder>/shared_prefs/tdid.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml.bak
- <Package Folder>/shared_prefs/unknown.xml
- <SD-Card>/.DataStorage/ContextData.xml
- <SD-Card>/.SystemService/####/2D7F07BB6125DEB407E92A22DC4AC550
- <SD-Card>/.SystemService/####/uid
- <SD-Card>/.UTSystemConfig/####/Alvin2.xml
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique
- <SD-Card>/.env/.uunique.new
- <SD-Card>/.system_temp/.cfg
- <SD-Card>/.tcookieid
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh
- <Package Folder>/code-7134028/sEA-9aDDQSww9iMc -p <Package> -c com.relz.qoza.uuraw.tu.tu.xz.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- cat /sys/block/mmcblk0/device/cid
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- ls -l /sbin/su
- ls -l /system/bin/su
- ls -l /system/sbin/su
- ls -l /system/xbin/su
- ls -l /vendor/bin/su
- sh <Package Folder>/code-7134028/sEA-9aDDQSww9iMc -p <Package> -c com.relz.qoza.uuraw.tu.tu.xz.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- cocos2dcpp
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- DES-ECB-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
