Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.243
- Android.Triada.248.origin
- Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) l.ace####.com:80
- TCP(HTTP/1.1) 1####.23.136.190:8088
- TCP(HTTP/1.1) p####.tc.qq.com:80
- TCP(HTTP/1.1) img.ace####.com:80
- TCP(HTTP/1.1) s####.e.qq.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) mi.g####.qq.com:80
- TCP(HTTP/1.1) res####.a####.com:80
- TCP(HTTP/1.1) 1####.74.136.1:8088
Запросы DNS:
- a####.u####.com
- img.ace####.com
- imgc####.qq.com
- l.ace####.com
- loc.map.b####.com
- mi.g####.qq.com
- res####.a####.com
- s####.e.qq.com
Запросы HTTP GET:
- img.ace####.com/ando-res/ads/30/14/f15541de-b7bd-4ff9-97fb-9e6cc9e4e044/...
- img.ace####.com/ando-res/ads/31/19/0031a27f-36c1-4947-87d6-ef825ea8a691/...
- mi.g####.qq.com/gdt_mview.fcg?posw=####&posh=####&count=####&r=####&data...
- p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
- res####.a####.com/v3/ip?key=####
Запросы HTTP POST:
- a####.u####.com/app_logs
- l.ace####.com/ando/v1/x/ap?app_id=####&r=####
- l.ace####.com/ando/v1/x/lv?app_id=####&r=####
- l.ace####.com/ando/v1/x/qa?app_id=####&r=####
- loc.map.b####.com/sdk.php
- s####.e.qq.com/activate
- s####.e.qq.com/msg
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/01qyeJCL7Avv2toPJA3ICjpPDPjUAp7J.new
- /data/data/####/0WlhtfnjVgp2BSio.zip
- /data/data/####/0xSKJUkgLwWLADxNUFbZjwHi4U-lCxW1.new
- /data/data/####/3XHGhTVS_mfNuA9XJz9hswFJW_g=.new
- /data/data/####/40CffEF8JfC5MJYwQDkAexF_-WatFdCO.new
- /data/data/####/47285088-141b-41eb-9553-e79d62429884.pic
- /data/data/####/4f2CdI-oIsKU5YuNMPXvg0m_0x4=.new
- /data/data/####/5KuO6aP_t8wWBjdKl8zz_kduO5ylunJjt12rPg==.new
- /data/data/####/6ab2425b-d5d6-4a30-adb4-b77b25c02a9a.pic.temp
- /data/data/####/6ed1fcda-872f-4d1e-b52b-f64bd319f656.pic
- /data/data/####/7RDDWfLNhpZNS_mx5tV0virxN71dBZGcAQzBLMmunJo=.new
- /data/data/####/90_rpEvDvWqn7f_-.new
- /data/data/####/AVPBi795FYhmuVtM_CtGmg==.new
- /data/data/####/Alvin2.xml
- /data/data/####/BuglySdkInfos.xml
- /data/data/####/ContextData.xml
- /data/data/####/D3pyU8EGr3ZePVpw
- /data/data/####/D4K8ZEUaVatPr353QE50EBsYO0501jwV.new
- /data/data/####/G4hskoX5ZJ-SItFh3r82cb5jFj_6JpgJ.new
- /data/data/####/GDTSDK.db
- /data/data/####/GDTSDK.db-journal
- /data/data/####/HZK4AW_Fm96dngX1PsBYamfTwrQ=
- /data/data/####/H_t4lqWxt2UHp1rwJJAJA29dB3xx3NtAKn5cUg==.new
- /data/data/####/HonasbibWvgEwNERZzSI_tMtebXfo-jNHDnMVDyvMXA=.new
- /data/data/####/LbJnHinigHIc1wb-N4Ck6P9bs_r6Beqr_34BSyZL39iGB9Y...FKUJU=
- /data/data/####/LbJnHinigHIc1wb-N4Ck6P9bs_r6Beqr_34BSyZL39iGB9Y...ournal
- /data/data/####/LbJnHinigHIc1wb-N4Ck6P9bs_r6Beqr_6Kz-eE6d6l7kTd...ournal
- /data/data/####/LbJnHinigHIc1wb-N4Ck6P9bs_r6Beqr_6Kz-eE6d6l7kTdLgJ8r1TQ==
- /data/data/####/LbJnHinigHIc1wb-N4Ck6P9bs_r6Beqr_E2UNg5g49J2xaF...ournal
- /data/data/####/LbJnHinigHIc1wb-N4Ck6P9bs_r6Beqr_E2UNg5g49J2xaFTKcqHe6A==
- /data/data/####/LbJnHinigHIc1wb-N4Ck6P9bs_r6Beqr_eHMV8l3HPHA1CcKK
- /data/data/####/LbJnHinigHIc1wb-N4Ck6P9bs_r6Beqr_eHMV8l3HPHA1CcKK-journal
- /data/data/####/LbJnHinigHIc1wb-N4Ck6P9bs_r6Beqr_qwpwLdwN1P0=-journal
- /data/data/####/OV7My241398KFRlZ
- /data/data/####/UNPYuN5inVGlBkGUHqtaDg==.new
- /data/data/####/Uj_hXDnBHAE64grrPaGfrGzUSmG46ktmOr3-HMeumNs=.new
- /data/data/####/XsLCYPQZcxuKGoCc6Hs6SYKeTeA8O4ke.new
- /data/data/####/ZOw7fflL91xopaQID6tcHJ-VWeo=.new
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/d9190ceb-6298-483d-92a9-4f437adfd472.pic.temp
- /data/data/####/devCloudSetting.cfg
- /data/data/####/devCloudSetting.sig
- /data/data/####/download.db-journal
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/gdt_plugin.jar
- /data/data/####/gdt_plugin.jar.sig
- /data/data/####/gdt_plugin.tmp
- /data/data/####/gdt_plugin.tmp.sig
- /data/data/####/gdt_suid
- /data/data/####/gr9Z-HG1eLAjzuwsSSbtv5vniwgfhl6g756-Mg==.new
- /data/data/####/gvthDKzyQenis3up6W4zfCGPXJ7NsiDY.new
- /data/data/####/he3EGGMU2qlPKce7THE039KdXRLqxX6ShqF2Rr-5eMI=.new
- /data/data/####/hrinaa_f.zip
- /data/data/####/j1CtV8k6BEaQwwud9Al5KcFoFY8YJG5I.new
- /data/data/####/jKGe5cnBoJmOsoBJ-UASrQ==
- /data/data/####/lQv2yBYrdeb08-mZb6tAWg==.new
- /data/data/####/libjiagu.so
- /data/data/####/n0hfizZl3Lr2XqWzk6uYd95yS0g=.new
- /data/data/####/patch.jar
- /data/data/####/qPs-iXdI-nwbP-z6XqUq5ZGN9OI=.new
- /data/data/####/rdata_comorinsofq.new
- /data/data/####/runner_info.prop.new
- /data/data/####/sdkCloudSetting.cfg
- /data/data/####/sdkCloudSetting.sig
- /data/data/####/share_data.xml
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/update_lc
- /data/data/####/vrBbjE3UQq3hnpX75a2_iA==
- /data/media/####/.uunique.new
- /data/media/####/521cd033-383e-4428-b402-10286f4d1345.res
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/8f47b00f-c15f-4079-918a-af970c437e5a.res
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/r_pkDgN4OhnkSa0D
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-7130579/OV7My241398KFRlZ -p <Package> -c com.orin.sofq.bgcsaq.hi.hi.pw.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- sh <Package Folder>/code-7130579/OV7My241398KFRlZ -p <Package> -c com.orin.sofq.bgcsaq.hi.hi.pw.c -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
