Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.248.origin
- Android.Triada.309
- Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) cl.mo####.u####.com:80
- TCP(HTTP/1.1) img.ace####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) 1####.196.40.71:9600
- TCP(HTTP/1.1) 1####.196.40.71:9500
- TCP(HTTP/1.1) 61.1####.47.140:80
Запросы DNS:
- a####.u####.com
- cl.mo####.u####.com
- img.ace####.com
- l.ace####.com
- loc.map.b####.com
Запросы HTTP GET:
- img.ace####.com/ando-res/ads/23/15/274631f7-b216-46c6-8c49-e64bfc112438/...
- img.ace####.com/ando-res/ads/30/14/f15541de-b7bd-4ff9-97fb-9e6cc9e4e044/...
Запросы HTTP POST:
- 61.1####.47.140/ando/v2/ap?app_id=####&r=####
- 61.1####.47.140/ando/v2/lv?app_id=####&r=####
- a####.u####.com/app_logs
- cl.mo####.u####.com/show.aspx?Key=####
- l.ace####.com/ando/v2/qa?app_id=####&r=####
- loc.map.b####.com/sdk.php
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/code-2874882/6ZnwknnPDgTgkLMD
- <Package Folder>/databases/10Mx04KGYANKFo0Sh-ca8ix3TcS3vzUF_Rll...ournal
- <Package Folder>/databases/10Mx04KGYANKFo0Sh-ca8ix3TcS3vzUF_Rll...qgZw==
- <Package Folder>/databases/10Mx04KGYANKFo0Sh-ca8ix3TcS3vzUF_g7q...Zpl89W
- <Package Folder>/databases/10Mx04KGYANKFo0Sh-ca8ix3TcS3vzUF_g7q...ournal
- <Package Folder>/databases/10Mx04KGYANKFo0Sh-ca8ix3TcS3vzUF_pSb...2I4g==
- <Package Folder>/databases/10Mx04KGYANKFo0Sh-ca8ix3TcS3vzUF_pSb...ournal
- <Package Folder>/databases/10Mx04KGYANKFo0Sh-ca8ix3TcS3vzUF_vyQ...ournal
- <Package Folder>/databases/10Mx04KGYANKFo0Sh-ca8ix3TcS3vzUF_y-a...Il1C0=
- <Package Folder>/databases/10Mx04KGYANKFo0Sh-ca8ix3TcS3vzUF_y-a...ournal
- <Package Folder>/databases/cc.db
- <Package Folder>/databases/cc.db-journal
- <Package Folder>/databases/ua.db
- <Package Folder>/databases/ua.db-journal
- <Package Folder>/databases/vi_db_pay-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/####/0-0dVPPfcUsGgE_cuYMFekknvDVffP3Eicg...w=.new
- <Package Folder>/files/####/1B-DvkcKqwiyTLUIeA2Gzb6svtkkLjZBqT9...8=.new
- <Package Folder>/files/####/1FOx-XZ98gk7O9-jz2uiOZacru4=.new
- <Package Folder>/files/####/1u_AgOFwZpIG0Xc8
- <Package Folder>/files/####/2S92_BW6EXeKKvKKpEdgC7y3zP1Rs2qOjiA...w=.new
- <Package Folder>/files/####/2v_hyS5ND9FhF3drCiFXig==.new
- <Package Folder>/files/####/5ZMdbTPAbOkqGyzUEdsUWBQc6PHSxhZS.new
- <Package Folder>/files/####/7D5cl4CHD7W0IHnkx4PvPhdcPuvtDxPNACYQ1A==.new
- <Package Folder>/files/####/7hhBoy29h5_Bexx3madR9nTuARE4mPpn.new
- <Package Folder>/files/####/893f49c8-bfe4-4bf7-9031-9e401c8acd80.pic.temp
- <Package Folder>/files/####/CVXVCoGtXBY6v0pD.new
- <Package Folder>/files/####/CehZOs7q3rR4Tsos3FDhb2M0qQw=.new
- <Package Folder>/files/####/FagLPS_lTHPiJup3fXoVWQ==.new
- <Package Folder>/files/####/JRKSPdVGdYODvlmNzr4w2trW-8Q=.new
- <Package Folder>/files/####/JsEkKkgyHSicWMUIoYp-2Qu_A-k=.new
- <Package Folder>/files/####/LvZG9f8ayQa3rxKE.zip
- <Package Folder>/files/####/MTGpj6b92BaGQJGObCryF0lVuSCkLulacSE...Y=.new
- <Package Folder>/files/####/NcnIxJ02W6G4w8ZWmHl9MNngi3U=
- <Package Folder>/files/####/OCtH4w6bPa4ePboF2hK55m_HLJ-x1QvKeY9wog==.new
- <Package Folder>/files/####/PzF6zBAOkQHQtob81-8pwaBM5eKi8-wd.new
- <Package Folder>/files/####/TLKMx-Nkx8dWyHX3ROxsTA==.new
- <Package Folder>/files/####/WmZeKZtkZw2-Wq8bvzfclim5f499rh0k.new
- <Package Folder>/files/####/Y7rJ6w4SBYUm3t2p_Zi3gQ==
- <Package Folder>/files/####/af4fc1d0-ad0b-4731-8646-6a6c1f1bff64.pic
- <Package Folder>/files/####/d7eea09b-5fda-4697-8978-840b987f00e0.pic.temp
- <Package Folder>/files/####/dayAplgYiFxq0-XNy1YaHtP9cmmmQL41.new
- <Package Folder>/files/####/ddc5c5c3-c9d9-4f79-9998-d053581774e4.pic
- <Package Folder>/files/####/exchangeIdentity.json
- <Package Folder>/files/####/gbvaa_f.zip
- <Package Folder>/files/####/kUjqv2i5NYQT6gAD0M9s2xcc8HEWqHZ5w-cUlQ==.new
- <Package Folder>/files/####/n3dNhhk3r3szd4_h6zsrTpPUGJ6NKelI.new
- <Package Folder>/files/####/p3yaRLW4khfmM6apGwXFJg8JUzmz0I-P.new
- <Package Folder>/files/####/qEJoLW-lzl7qEY5JVzMcpOeILxvPNM0z.new
- <Package Folder>/files/####/rDtkQch75soGCMEVKvgoBQ==
- <Package Folder>/files/####/rKBrp3kDwXMFXnvHWpkjdrUoRYTAsi0i.new
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/sNNUPJIP6REfXXxRQXFeujMn2Jo=.new
- <Package Folder>/files/####/xL4n-CP9Tq2zScET7UfpUaUTct4=.new
- <Package Folder>/files/.imprint
- <Package Folder>/files/com.s.ypay.apk
- <Package Folder>/files/exid.dat
- <Package Folder>/files/rdata_comiuxvfwez.new
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/shared_prefs/Alvin2.xml
- <Package Folder>/shared_prefs/ContextData.xml
- <Package Folder>/shared_prefs/SP_REPLACE_CLASSLOADER_CLASS_NAME.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/unknown.xml
- <SD-Card>/.DataStorage/ContextData.xml
- <SD-Card>/.UTSystemConfig/####/Alvin2.xml
- <SD-Card>/.armsd/####/1e42fb4b-b607-4e0d-9faf-b4e42f772be6.res
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/d310d783-5406-44c0-8179-c62df2c8ae9e.res
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique
- <SD-Card>/.env/.uunique.new
- <SD-Card>/.system_temp/.cfg
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-2874882/6ZnwknnPDgTgkLMD -p <Package> -c com.iuxv.fwez.afvkaq.pv.pv.qf.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- cocos2dcpp
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- DES-ECB-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
