Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.3394
- Android.DownLoader.635.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) npb.n####.ji####.fm:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) www.eas####.com.####.com:80
- TCP(HTTP/1.1) a1.eas####.com:80
- TCP(HTTP/1.1) npb.ug####.ji####.fm:80
- TCP(HTTP/1.1) m.jiecaoj####.com:80
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) api####.zhu####.com:443
- TCP(TLS/1.0) regi####.xm####.xi####.com:443
Запросы DNS:
- a####.u####.com
- a1.eas####.com
- api####.zhu####.com
- m.jiecaoj####.com
- npb.n####.ji####.fm
- npb.ug####.ji####.fm
- regi####.xm####.xi####.com
- www.eas####.com
- www.go####.com
Запросы HTTP GET:
- m.jiecaoj####.com/jump/v2?channel=####&platform=####&edition=####&versio...
- npb.n####.ji####.fm/jcnews/detail_app.html
- npb.ug####.ji####.fm/moments/fugcnum
- www.eas####.com.####.com/easemob/server.xml?sdk_version=####&app_key=###...
Запросы HTTP POST:
- a####.u####.com/app_logs
- a1.eas####.com/jiecaofm/jiecaofm/devices
- npb.n####.ji####.fm/client/ad/v2/list.pb
- npb.n####.ji####.fm/client/msg/num.pb
- npb.n####.ji####.fm/client/update/getAndroidUpdateInfo.htm?oldVer=####
Изменения в файловой системе:
Создает следующие файлы:
- <Package Folder>/.jiagu/libjiagu.so
- <Package Folder>/app_qpdua/<Package>.apk
- <Package Folder>/cache/skin-night.apk
- <Package Folder>/databases/db_default_job_manager-journal
- <Package Folder>/databases/jiecao_news.db-journal
- <Package Folder>/databases/webview.db-journal
- <Package Folder>/databases/webviewCookiesChromium.db-journal
- <Package Folder>/databases/webviewCookiesChromiumPrivate.db-journal
- <Package Folder>/databases/zhuge
- <Package Folder>/databases/zhuge-journal
- <Package Folder>/files/####/.jg.ic
- <Package Folder>/files/####/CommonPlugin-1.0.apk
- <Package Folder>/files/####/FrameworkPlugin-1.0.apk
- <Package Folder>/files/####/HandWallPlugin-1.0.apk
- <Package Folder>/files/####/exchangeIdentity.json
- <Package Folder>/files/####/wv_web_info.dat
- <Package Folder>/files/.imprint
- <Package Folder>/files/mobclick_agent_cached_<Package>402
- <Package Folder>/files/umeng_it.cache
- <Package Folder>/shared_prefs/<Package>.xml
- <Package Folder>/shared_prefs/<Package>_preferences.xml
- <Package Folder>/shared_prefs/Alvin2.xml
- <Package Folder>/shared_prefs/ContextData.xml
- <Package Folder>/shared_prefs/HAWK.xml
- <Package Folder>/shared_prefs/device_id.xml.xml
- <Package Folder>/shared_prefs/easemob.sdk.pref.xml
- <Package Folder>/shared_prefs/jiecao_account.xml
- <Package Folder>/shared_prefs/mipush.xml
- <Package Folder>/shared_prefs/mipush_extra.xml
- <Package Folder>/shared_prefs/multidex.version.xml
- <Package Folder>/shared_prefs/prefs_name.xml
- <Package Folder>/shared_prefs/qihoo_jiagu_crash_report.xml
- <Package Folder>/shared_prefs/skin_plugin_pref.xml
- <Package Folder>/shared_prefs/umeng_general_config.xml
- <SD-Card>/.DataStorage/ContextData.xml
- <SD-Card>/.UTSystemConfig/####/Alvin2.xml
- <SD-Card>/Android/####/.nomedia
- <SD-Card>/Android/####/000.html
- <SD-Card>/Android/####/journal
- <SD-Card>/Android/####/journal.tmp
- <SD-Card>/emlibs/####/monitor.db
- <SD-Card>/emlibs/####/monitor.db-journal
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- easemobservice
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о зарегистрированных на устройстве аккаунтах (Google, Facebook и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
