Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.309
- Android.Xiny.240.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) pg.x####.com:80
- TCP(HTTP/1.1) d.angs####.com:6284
- TCP(HTTP/1.1) i####.cn.com:80
- TCP(HTTP/1.1) a####.angs####.com.####.com:5285
- TCP(HTTP/1.1) d.angs####.com:5284
- TCP(HTTP/1.1) commu####.7####.com:80
- TCP(TLS/1.0) gv1.x####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP 1####.196.192.72:9920
Запросы DNS:
- a####.angs####.com
- commu####.7####.com
- d.angs####.com
- e.angs####.com
- gv1.x####.com
- i####.cn.com
- mt####.go####.com
- pg.x####.com
- www.go####.com
Запросы HTTP GET:
- a####.angs####.com.####.com:5285/AppDownLoad/apk/downloadAPK?appId=####
- commu####.7####.com/index.php/sdk/AbortSMS/getThirdPayType?game_id=####&...
- commu####.7####.com/index.php/sdk/abortSMS/WorldPay?game_id=####&channel...
- i####.cn.com/a/3cff577985556567209c8fa8131303f63
Запросы HTTP POST:
- d.angs####.com:5284/android.frontserver/pcsvc
- d.angs####.com:6284/android.frontserver/pcsvc
- pg.x####.com/api/q/a/3cff577985556567209c8fa8131303f63
- pg.x####.com/api/statis/3cff577985556567209c8fa8131303f63/game-3856240FA...
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app__nn/####/0C3E1782C1F853AF.jar.i
- <Package Folder>/app__nn/####/0C3E1782C1F853AFwh.jar
- <Package Folder>/app__nn/####/AEE69129416B4F5D.jar
- <Package Folder>/app__nn/####/AEE69129416B4F5Dwh.jar
- <Package Folder>/app__nn/1B3A2967E5FD862EFD957606C65C8122
- <Package Folder>/app__nn/30592A6B8B0C769E3F7FDE6E1A033DF5
- <Package Folder>/app__nn/F85C58A2196623557E8A00D8A4680702
- <Package Folder>/app__nn/kb_idle.ini
- <Package Folder>/app__nn/kb_sn.ini
- <Package Folder>/app__nn/nn.jar.t.i
- <Package Folder>/app__nn/nn.jaru
- <Package Folder>/app__nn/{6109AB2B-769CFABF}_{717CEF32-5DB41044}.P2
- <Package Folder>/app__nn/{717CEF32-5DB41044}.P1
- <Package Folder>/app__nn/{717CEF32-5DB41044}.P3
- <Package Folder>/app__nn/{BE2355DB-D785E335}.PC1
- <Package Folder>/databases/talkingdata_app.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/####/b.d
- <Package Folder>/files/####/cb.d
- <Package Folder>/files/####/cbn.d
- <Package Folder>/files/####/cbn_d.d
- <Package Folder>/files/####/cbs.d
- <Package Folder>/files/####/d_h_d.d
- <Package Folder>/files/####/lt.d
- <Package Folder>/files/####/pcn.d
- <Package Folder>/files/####/pcs.d
- <Package Folder>/files/####/pgb.d
- <Package Folder>/files/####/wx.d
- <Package Folder>/files/####/zfb.d
- <Package Folder>/files/talkingdata_app_process_preferences_file
- <Package Folder>/files/talkingdata_app_version_preferences_file
- <Package Folder>/shared_prefs/7CDDC2A7206387212F59DA3D00388E4D|...le.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/TD_app_pefercen_profile.xml
- <Package Folder>/shared_prefs/com_android_command_nn_v.xml
- <Package Folder>/shared_prefs/jg_so_upgrade_setting.xml
- <Package Folder>/shared_prefs/nn_app.xml
- <Package Folder>/shared_prefs/nn_data_s.xml
- <Package Folder>/shared_prefs/pref_file.xml
- <Package Folder>/shared_prefs/qihoo_jiagu_crash_report.xml
- <Package Folder>/shared_prefs/td_pefercen_profile.xml
- <Package Folder>/shared_prefs/tdid.xml
- <Package Folder>/shared_prefs/zdjoys.xml
- <SD-Card>/.tcookieid
- <SD-Card>/Download/pConifg.ini
- <SD-Card>/userlog.log
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- cat /sys/block/mmcblk0/device/cid
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- iconv
- libjiagu
- zhifeiji
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Осуществляет доступ к информации об отправленых/принятых смс.
