Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Spy.127.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) m####.on####.com.cn:80
- TCP(HTTP/1.1) nav.cn.ron####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) r####.uu.qq.com:80
- TCP(TLS/1.0) s####.map.b####.com:443
- TCP(TLS/1.0) aserver####.m.ta####.com:443
- TCP(TLS/1.0) s####.cn.ron####.com:443
- TCP 1####.92.22.206:8618
Запросы DNS:
- api.y####.com
- loc.map.b####.com
- m####.on####.com.cn
- mt####.go####.com
- nav.cn.ron####.com
- r####.uu.qq.com
- s####.cn.ron####.com
- s####.map.b####.com
Запросы HTTP POST:
- loc.map.b####.com/offline_loc
- loc.map.b####.com/sdk.php
- m####.on####.com.cn/onegym/action/api/study/getStudyTotalNumber
- m####.on####.com.cn/onegym/action/api/study/queryByTOP
- nav.cn.ron####.com/navipush.json
- r####.uu.qq.com/rqd/sync
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/app_plugin/PlayerUIApk.apk
- <Package Folder>/databases/bugly_db_-journal
- <Package Folder>/databases/onegym-journal
- <Package Folder>/databases/rong_version.db
- <Package Folder>/databases/rong_version.db-journal
- <Package Folder>/files/####/DVDirectory.cfg
- <Package Folder>/files/####/DVHotMap.cfg
- <Package Folder>/files/####/DVHotcity.cfg
- <Package Folder>/files/####/DVVersion.cfg
- <Package Folder>/files/####/ResPack.rs
- <Package Folder>/files/####/firll.dat
- <Package Folder>/files/####/mapstyle.sty
- <Package Folder>/files/####/ofl.config
- <Package Folder>/files/####/ofl_location.db
- <Package Folder>/files/####/ofl_location.db-journal
- <Package Folder>/files/####/ofl_statistics.db
- <Package Folder>/files/####/ofl_statistics.db-journal
- <Package Folder>/files/####/satellitestyle.sty
- <Package Folder>/files/####/trafficstyle.sty
- <Package Folder>/files/.jiagu.ls
- <Package Folder>/files/buglylog_<Package>;ipc_.txt
- <Package Folder>/files/buglylog_<Package>;remote_.txt
- <Package Folder>/files/buglylog_<Package>_.txt
- <Package Folder>/files/buglylog_io.rong.push_.txt
- <Package Folder>/files/jpush_stat_cache.json
- <Package Folder>/files/libjiagu.so
- <Package Folder>/files/ver.dat
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/COUNTLY_STORE.xml
- <Package Folder>/shared_prefs/JPushSA_Config.xml
- <Package Folder>/shared_prefs/Statistics.xml
- <Package Folder>/shared_prefs/analytics_agent_header_.xml
- <Package Folder>/shared_prefs/authStatus_<Package>.xml
- <Package Folder>/shared_prefs/authStatus_<Package>;ipc.xml
- <Package Folder>/shared_prefs/authStatus_<Package>;remote.xml
- <Package Folder>/shared_prefs/authStatus_io.rong.push.xml
- <Package Folder>/shared_prefs/bugly_data.xml
- <Package Folder>/shared_prefs/cn.jpush.preferences.v2.xml
- <Package Folder>/shared_prefs/firstshowactivity.xml
- <Package Folder>/shared_prefs/map_pref.xml
- <Package Folder>/shared_prefs/multidex.version.xml
- <Package Folder>/shared_prefs/rc_navigation_info.xml
- <SD-Card>/Android/####/journal.tmp
- <SD-Card>/BaiduMapSDK/####/.nomedia
- <SD-Card>/BaiduMapSDK/####/DMTempdat.dat
- <SD-Card>/BaiduMapSDK/####/DMTempdat.idx
- <SD-Card>/BaiduMapSDK/####/DTTempdat.dat
- <SD-Card>/BaiduMapSDK/####/DTTempdat.idx
- <SD-Card>/BaiduMapSDK/####/HMTempdat.dat
- <SD-Card>/BaiduMapSDK/####/HMTempdat.idx
- <SD-Card>/BaiduMapSDK/####/ITTempdat.dat
- <SD-Card>/BaiduMapSDK/####/ITTempdat.idx
- <SD-Card>/baidu/####/conlts.dat
- <SD-Card>/baidu/####/ller.dat
- <SD-Card>/baidu/####/ls.db
- <SD-Card>/baidu/####/ls.db-journal
- <SD-Card>/baidu/.cuid
- <SD-Card>/test.0
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop ro.board.platform
- getprop ro.board.platform
Загружает динамические библиотеки:
- BaiduMapSDK_v3_5_0_31
- Bugly
- RongIMLib
- jpush205
- libjiagu
- locSDK6a
- luajava
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
