Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.248.origin
- Android.Triada.309
- Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) cl.mo####.u####.com:80
- TCP(HTTP/1.1) img.ace####.com:80
- TCP(HTTP/1.1) pg.x####.com:80
- TCP(HTTP/1.1) i####.cn.com:80
- TCP(HTTP/1.1) cf.gdata####.net:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) 1####.196.40.71:9600
- TCP(HTTP/1.1) 1####.196.40.71:9500
Запросы DNS:
- a####.u####.com
- cf.gdata####.net
- cl.mo####.u####.com
- gv1.x####.com
- i####.cn.com
- img.ace####.com
- l.ace####.com
- loc.map.b####.com
- mt####.go####.com
- pg.x####.com
- rd.gdata####.net
Запросы HTTP GET:
- i####.cn.com/a/3cff577985556567209c8fa8131303f63
- img.ace####.com/ando-res/ads/23/15/274631f7-b216-46c6-8c49-e64bfc112438/...
- img.ace####.com/ando-res/ads/24/20/fc717698-8e69-41f5-8ae8-0ed7888c6d37/...
- img.ace####.com/ando-res/ads/30/14/f15541de-b7bd-4ff9-97fb-9e6cc9e4e044/...
- img.ace####.com/ando-res/ads/31/19/0031a27f-36c1-4947-87d6-ef825ea8a691/...
- l.ace####.com/ando/v3/mn?k=####&d=####&m=####
Запросы HTTP POST:
- a####.u####.com/app_logs
- cf.gdata####.net/config/update
- cf.gdata####.net/dc/sync_adr
- cl.mo####.u####.com/show.aspx?Key=####
- l.ace####.com/ando/v2/ap?app_id=####&r=####
- l.ace####.com/ando/v2/lv?app_id=####&r=####
- l.ace####.com/ando/v2/qa?app_id=####&r=####
- loc.map.b####.com/sdk.php
- pg.x####.com/api/q/a/3cff577985556567209c8fa8131303f63
- pg.x####.com/api/statis/3cff577985556567209c8fa8131303f63/game-67A1BB6E0...
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/code-4291048/EALbFV2xNPfTFgMZ
- <Package Folder>/databases/cc.db
- <Package Folder>/databases/cc.db-journal
- <Package Folder>/databases/dataeye_database_91CA71A216538CBCACA...147.db
- <Package Folder>/databases/dataeye_database_91CA71A216538CBCACA...ournal
- <Package Folder>/databases/talkingdata_app.db-journal
- <Package Folder>/databases/ua.db
- <Package Folder>/databases/ua.db-journal
- <Package Folder>/databases/vZYNPe_0ahxx_m9SasjyZYFZWpRNEE7V_FiL...ournal
- <Package Folder>/databases/vZYNPe_0ahxx_m9SasjyZYFZWpRNEE7V_d3F...80gsU=
- <Package Folder>/databases/vZYNPe_0ahxx_m9SasjyZYFZWpRNEE7V_d3F...ournal
- <Package Folder>/databases/vZYNPe_0ahxx_m9SasjyZYFZWpRNEE7V_fBh...ournal
- <Package Folder>/databases/vZYNPe_0ahxx_m9SasjyZYFZWpRNEE7V_fBh...wTrg==
- <Package Folder>/databases/vZYNPe_0ahxx_m9SasjyZYFZWpRNEE7V_mxO...ournal
- <Package Folder>/databases/vZYNPe_0ahxx_m9SasjyZYFZWpRNEE7V_mxO...v47A==
- <Package Folder>/databases/vZYNPe_0ahxx_m9SasjyZYFZWpRNEE7V_s28...BicH86
- <Package Folder>/databases/vZYNPe_0ahxx_m9SasjyZYFZWpRNEE7V_s28...ournal
- <Package Folder>/databases/vi_db_pay-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/files/####/-SkjHKnqFsI7ZlgnBNfLHt5cAda2Fzin.new
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/####/036abf9b-3f4c-4f4e-9b9b-ff6e931e23a7.pic
- <Package Folder>/files/####/2c3tb_sl1w6qohwY_m16jmqDrK_f2GSm.new
- <Package Folder>/files/####/41abd354-211d-469b-a697-c7f0fba65fdc.pic.temp
- <Package Folder>/files/####/5kL3sLKGFJtCV4ktA0wHEw==.new
- <Package Folder>/files/####/7roR_eqeaDXxoF8-E6BMDTfHwsDewIJ3uOu...c=.new
- <Package Folder>/files/####/8NfrB-Gon6IYX4RaGw_f5GDUG4s=
- <Package Folder>/files/####/8f4151d5-8a15-47a0-8157-eb485d1fc354.pic.temp
- <Package Folder>/files/####/A0omjFlPnVO1tCEbN6BWZTMKS2NKmjp4L1mm7A==.new
- <Package Folder>/files/####/CBQvizc9NI4ies53
- <Package Folder>/files/####/Dv1t96_joYm5DQibAbJIJiRoAi4=.new
- <Package Folder>/files/####/IWMglh6eP7Zegt7meV9pewIQU05t6OCg.new
- <Package Folder>/files/####/LOh7mS8pc-a2j0VopuiTG0sTNt5tFJnP.new
- <Package Folder>/files/####/OOMwFSQDA8P2P0xj4-BlmLsVdS4LnnRZ.new
- <Package Folder>/files/####/QrOyYWOVfIwqF_59hlabZ3EpMgFq9y7Ws0j3uQ==.new
- <Package Folder>/files/####/SbAe4B7wF8NR6Orn6Wj2p_xrMGo=.new
- <Package Folder>/files/####/VKFmJTrRWNYEwTj3EaC0RNo5tAE=.new
- <Package Folder>/files/####/XxLQj696gGUE6W3wP6AAzXrTbV0=.new
- <Package Folder>/files/####/Yat6PKi-19XQAZwm0AZF6A==.new
- <Package Folder>/files/####/a62c0bc7-7556-4e4e-9181-0ee0db8eebc8.pic.temp
- <Package Folder>/files/####/aLveDjYrubod_pXwYIFV_tj2oxpFvSJZzddTsg==.new
- <Package Folder>/files/####/aaFbx0cpWwFX9VfQ3oDtqg==
- <Package Folder>/files/####/aed155c3-8454-4d4f-9754-201605ea4bcb.pic
- <Package Folder>/files/####/dacec5a0-1b69-439b-abd0-ce554cec2fed.pic.temp
- <Package Folder>/files/####/e48ab763-337d-46ef-9aaa-bb6dab104c40.pic.temp
- <Package Folder>/files/####/exchangeIdentity.json
- <Package Folder>/files/####/f3607739-911e-4e6e-942f-a7ee1485ef0c.pic.temp
- <Package Folder>/files/####/gbvaa_f.zip
- <Package Folder>/files/####/hRfeN5hMH8pkKUVF.new
- <Package Folder>/files/####/hVgsIauzcobzJPaLCM8JMxFQq8m8PxjzcIq...E=.new
- <Package Folder>/files/####/iB_Rmd5nFq1SaSDsra_xFg==
- <Package Folder>/files/####/l0IS6GhzJ0olLhZqB1PttA==.new
- <Package Folder>/files/####/lmnGMjhvAwD8ehA7Z6iCEwH2RaVuyfGX.new
- <Package Folder>/files/####/pC1uQxheNK4Ie3y3N8JqvSsqLl1tYgHZ.new
- <Package Folder>/files/####/runner_info.prop.new
- <Package Folder>/files/####/tOEvIHZc2isQllspVx2Ng09CO6E=.new
- <Package Folder>/files/####/v7IVaxs1346A0QSzAH63LSB8KbBFokDG.new
- <Package Folder>/files/####/wLd5TgXtUHjVbRRyilU71agPSuDz-qth.new
- <Package Folder>/files/####/ys5_ygdrLilccq0i9nspAkzw4sWKba3N7Dr...w=.new
- <Package Folder>/files/####/zPZEGlaiUxk3ZL7EtdeIG7J5XcM=.new
- <Package Folder>/files/####/zejonNBqbXq8ALmD.zip
- <Package Folder>/files/####/zwKtf41Y6-KaUSUJ8RtL1Ez5hx9AUgmMUtw...c=.new
- <Package Folder>/files/.imprint
- <Package Folder>/files/com.s.ypay.apk
- <Package Folder>/files/exid.dat
- <Package Folder>/files/rdata_comiuxvfwez.new
- <Package Folder>/files/talkingdata_app_process_preferences_file
- <Package Folder>/files/talkingdata_app_version_preferences_file
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/shared_prefs/3cff577985556567209c8fa8131303f63...le.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/Alvin2.xml
- <Package Folder>/shared_prefs/ContextData.xml
- <Package Folder>/shared_prefs/SP_REPLACE_CLASSLOADER_CLASS_NAME.xml
- <Package Folder>/shared_prefs/TD_app_pefercen_profile.xml
- <Package Folder>/shared_prefs/dc.91CA71A216538CBCACA6CE1DDC2881...es.xml
- <Package Folder>/shared_prefs/pref_file.xml
- <Package Folder>/shared_prefs/qihoo_jiagu_crash_report.xml
- <Package Folder>/shared_prefs/td_pefercen_profile.xml
- <Package Folder>/shared_prefs/tdid.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <Package Folder>/shared_prefs/unknown.xml
- <SD-Card>/.DataStorage/ContextData.xml
- <SD-Card>/.SystemService/####/uid
- <SD-Card>/.UTSystemConfig/####/Alvin2.xml
- <SD-Card>/.armsd/####/284e5f7e-76a4-4eec-9b64-2f871d3532de.res
- <SD-Card>/.armsd/####/29ed8f1f-8cf3-40fc-a2b1-d7d6617960b6.res
- <SD-Card>/.armsd/####/4b0e869a-501c-4c58-8aed-1f25b8ae1656.res
- <SD-Card>/.armsd/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- <SD-Card>/.armsd/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- <SD-Card>/.armsd/####/MP8MtaBuguN9jnuSwtN1kQ==
- <SD-Card>/.armsd/####/fa1a3f93-9c35-4096-bfea-c684671eb53a.res
- <SD-Card>/.armsd/####/r_pkDgN4OhnkSa0D
- <SD-Card>/.env/.uunique.new
- <SD-Card>/.system_temp/.cfg
- <SD-Card>/.tcookieid
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh
- <Package Folder>/code-4291048/EALbFV2xNPfTFgMZ -p <Package> -c com.iuxv.fwez.afvkaq.pv.pv.qf.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- cat /sys/block/mmcblk0/device/cid
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- ls -l /sbin/su
- ls -l /system/bin/su
- ls -l /system/sbin/su
- ls -l /system/xbin/su
- ls -l /vendor/bin/su
Загружает динамические библиотеки:
- cocos2dcpp
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- DES-ECB-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Осуществляет доступ к информации об отправленых/принятых смс.
