Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Xiny.226.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) f####.gst####.com:80
- TCP(HTTP/1.1) 5.101####.com:80
- TCP(HTTP/1.1) d####.go####.cn:80
- TCP(HTTP/1.1) app.3####.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) www.go####.cn:80
- TCP(HTTP/1.1) s####.3####.com:80
Запросы DNS:
- 5.101####.com
- a####.u####.com
- a.appj####.com
- app.3####.com
- d####.go####.cn
- f####.gst####.com
- m####.gst####.cn
- s####.3####.com
- www.go####.cn
- yes.yuchan####.com.cn
Запросы HTTP GET:
- 5.101####.com/ico/software/5389.png
- app.3####.com/app/thumb/11d67c33fb4357e6015fca3728111ed1.jpg
- app.3####.com/app/thumb/5f5db65c5f7f3cf47029c591bb0d5779.jpg
- app.3####.com/app/thumb/8719cae2fd90efbcade23219007b0347.jpg
- app.3####.com/app/thumb/babce6937ae545f558923abc586a0dc3.jpg
- app.3####.com/app/thumb/fed525111a05a2919efcb8ae3d504c26.jpg
- app.3####.com/css/spread/view.css
- app.3####.com/favicon.ico
- app.3####.com/js/spread/web.js
- app.3####.com/view/5389.htm
- d####.go####.cn/
- d####.go####.cn/maps
- f####.gst####.com/s/roboto/v18/KFOlCnqEu92Fr1MmEU9fChc9AMP6lQ.ttf
- f####.gst####.com/s/roboto/v18/KFOlCnqEu92Fr1MmSU5fChc9AMP6lQ.ttf
- f####.gst####.com/s/roboto/v18/KFOlCnqEu92Fr1MmWUlfChc9AMP6lQ.ttf
- f####.gst####.com/s/roboto/v18/KFOmCnqEu92Fr1Mu7GxPKTU1Kg.ttf
- s####.3####.com/compass.xml
- www.go####.cn/images/branding/mapslogo/1x/googlelogo_62x24_with_2_stroke...
- www.go####.cn/images/branding/product/2x/maps_ios_32dp.png
- www.go####.cn/images/branding/product/ico/maps_32dp.ico
- www.go####.cn/mapfiles/maps_lite/images/1x/directions_white_24dp.png
- www.go####.cn/mapfiles/maps_lite/images/1x/ic_checkbox_unchecked_gray_24...
- www.go####.cn/mapfiles/maps_lite/images/1x/ic_chevron_up_gray_24dp.png
- www.go####.cn/mapfiles/maps_lite/images/1x/ic_menu_burger_default_24dp.png
- www.go####.cn/mapfiles/maps_lite/images/1x/ic_search_black_24dp.png
- www.go####.cn/mapfiles/maps_lite/images/1x/my_location_grey600_18dp.png
- www.go####.cn/mapfiles/maps_lite/images/1x/my_location_grey600_24dp.png
- www.go####.cn/mapfiles/maps_lite/pwa/icons/maps_go_icon_xxhdpi_v2.png
- www.go####.cn/maps
- www.go####.cn/maps-lite/js/2/ml_20180315_1/14e88/intl/zh_cn/pwa/common.js
- www.go####.cn/maps-lite/js/2/ml_20180315_1/14e88/intl/zh_cn/pwa/map.js
- www.go####.cn/maps-lite/js/2/ml_20180315_1/14e88/intl/zh_cn/pwa/pwa_cont...
- www.go####.cn/maps-lite/js/2/ml_20180315_1/14e88/intl/zh_cn/pwa/searchbo...
- www.go####.cn/maps/preview/log204?gl=####&pb=####
- www.go####.cn/maps/preview/pwa/config?pb=####
- www.go####.cn/maps/vt?gl=####&pb=####
- www.go####.cn/maps/vt?pb=####
Запросы HTTP POST:
- a####.u####.com/app_logs
- a.appj####.com/ad-service/ad/mark
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_jgls/.log.lock
- <Package Folder>/app_jgls/.log.ls
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/shared_prefs/a.xml
- <Package Folder>/shared_prefs/hinder.xml
- <Package Folder>/shared_prefs/jg_app_update_settings_random.xml
- <Package Folder>/shared_prefs/mobclick_agent_header_<Package>.xml
- <Package Folder>/shared_prefs/mobclick_agent_state_<Package>.xml
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- fytr
- libjiagu
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Отрисовывает собственные окна поверх других приложений.
