Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.511.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) api.e####.com:80
- TCP(HTTP/1.1) cdn.img.jie####.####.com:80
- TCP(HTTP/1.1) api.tui####.b####.com:80
- TCP(HTTP/1.1) lpn.dongh####.cn:80
- TCP(HTTP/1.1) oc.u####.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) a####.tui####.b####.com:80
- TCP(HTTP/1.1) bookweb####.iy####.net:8090
- TCP(HTTP/1.1) h####.b####.com:80
- TCP 2####.108.23.105:5287
Запросы DNS:
- a####.tui####.b####.com
- a.appj####.com
- api.e####.com
- api.tui####.b####.com
- bookweb####.iy####.net
- cdn.app.jie####.cn
- cdn.img.jie####.cn
- fb.u####.com
- h####.b####.com
- hey.dongh####.cn
- kit.dongh####.cn
- lpn.dongh####.cn
- mie.dongh####.cn
- oc.u####.com
- sa7.tui####.b####.com
- statson####.pu####.b####.com
Запросы HTTP GET:
- api.e####.com/api/bookapp/hot_word.m?p=####&cid=####&version=####&os=###...
- api.e####.com/api/bookapp/save_reg.m?cid=####&version=####&os=####&udid=...
- bookweb####.iy####.net:8090/navigation?packageName=####&version=####
- bookweb####.iy####.net:8090/protect?packageName=####&version=####&type=#...
- cdn.img.jie####.####.com/upload/201802/6/app/20180206153530165.apk
- cdn.img.jie####.####.com/upload/201802/6/img/20180206153521627.png
Запросы HTTP POST:
- a####.tui####.b####.com/rest/2.0/channel/4134843867333442647
- a.appj####.com/ad-service/ad/mark
- api.e####.com/api/bookapp/book_list.m?cid=####&version=####&os=####&udid...
- api.tui####.b####.com/rest/2.0/channel/4134843867333442647
- api.tui####.b####.com/rest/2.0/channel/channel
- h####.b####.com/app.gif
- lpn.dongh####.cn/ct/ay/led/pv
- lpn.dongh####.cn/ct/hpuj/tfnq
- lpn.dongh####.cn/ct/wenw/mv
- lpn.dongh####.cn/shuju/cpihe/ydp
- lpn.dongh####.cn/shuju/gnsht/defi
- lpn.dongh####.cn/shuju/ktmpv/zs
- oc.u####.com/v2/check_config_update
- oc.u####.com/v2/get_update_time
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/databases/kkqbtxtxsBook.db
- <Package Folder>/databases/kkqbtxtxsBook.db-journal
- <Package Folder>/databases/t_u.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/__local_ap_info_cache.json
- <Package Folder>/files/__local_stat_cache.json
- <Package Folder>/files/libjiagu.so
- <Package Folder>/files/md.jar
- <Package Folder>/files/rc.jar
- <Package Folder>/shared_prefs/<Package>.push_sync.xml
- <Package Folder>/shared_prefs/<Package>.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/__Baidu_Stat_SDK_SendRem.xml
- <Package Folder>/shared_prefs/bindcache.xml
- <Package Folder>/shared_prefs/common_prefs.xml
- <Package Folder>/shared_prefs/feedback_push.xml
- <Package Folder>/shared_prefs/jg_app_update_settings_random.xml
- <Package Folder>/shared_prefs/onlineconfig_agent_online_setting...e>.xml
- <Package Folder>/shared_prefs/pst.xml
- <Package Folder>/shared_prefs/qq.xml
- <Package Folder>/shared_prefs/umeng_feedback_conversations.xml
- <Package Folder>/shared_prefs/umeng_feedback_user_info.xml
- <SD-Card>/backups/####/.confd
- <SD-Card>/backups/####/.confd-journal
- <SD-Card>/backups/####/.config
- <SD-Card>/backups/####/.cuid
- <SD-Card>/baidu/####/apps
- <SD-Card>/baidu/####/pushlappv2.db
- <SD-Card>/baidu/####/pushlappv2.db-journal
- <SD-Card>/baidu/####/pushstat_4.5.3.db
- <SD-Card>/baidu/####/pushstat_4.5.3.db-journal
- <SD-Card>/kkqbtxtxs_book/####/-1226949601587658531
- <SD-Card>/kkqbtxtxs_book/####/14021065781498422216
- <SD-Card>/kkqbtxtxs_book/####/1984891891-431243365
- <SD-Card>/kkqbtxtxs_book/####/5156310551175083611
- <SD-Card>/kkqbtxtxs_book/####/876282469671279047
- <SD-Card>/kkqbtxtxs_book/####/gid
- <SD-Card>/kkqbtxtxs_book/####/read
- <SD-Card>/kkqbtxtxs_book/####/search
- <SD-Card>/tencent/####/f13f1fc002428
- <SD-Card>/tencent/####/f13f1fc002428.tmp
- <SD-Card>/tencent/####/fabf4d7a47c4af47f35130db2a0212ec.apk
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/files/libjiagu.so
Загружает динамические библиотеки:
- bdpush_V2_3
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
