Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.3422
- Android.DownLoader.657.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) d####.opensp####.cn:80
- TCP(HTTP/1.1) statse####.tatat####.com:1180
- TCP(HTTP/1.1) go####.yo####.com:80
- TCP(HTTP/1.1) h####.opensp####.cn:80
- TCP(HTTP/1.1) 47.92.1####.96:80
- TCP(HTTP/1.1) d14uy7w####.cloudf####.net:80
- TCP(HTTP/1.1) etatase####.tatat####.com:80
- TCP(HTTP/1.1) oss.tatat####.com:80
- TCP(HTTP/1.1) tata-v####.img-cn-####.aliy####.com:80
- TCP(HTTP/1.1) cdn.game####.org:80
- TCP(HTTP/1.1) 1####.76.224.67:80
- TCP(TLS/1.0) x####.l####.top:443
Запросы DNS:
- a####.u####.com
- ads.tatat####.com
- cdn.game####.org
- d####.opensp####.cn
- d14uy7w####.cloudf####.net
- duo####.tatat####.com
- etatase####.tatat####.com
- go####.yo####.com
- h####.opensp####.cn
- oss.tatat####.com
- statse####.tatat####.com
- tata-v####.img-cn-####.aliy####.com
- x####.l####.top
Запросы HTTP GET:
- cdn.game####.org/strategy/UnknownDev
- cdn.game####.org/strategy/base
- cdn.game####.org/strategy/dev_root
- cdn.game####.org/strategy/dev_root2
- cdn.game####.org/strategy/larger4.3
- cdn.game####.org/strategy/loss_4.3
- cdn.game####.org/strategy/sul18
- cdn.game####.org/strategy/symlink-adbd
- d14uy7w####.cloudf####.net/download/key
- go####.yo####.com/gorgon/request.s?s=2W2lf####&ydet=####
- h####.opensp####.cn/launchconfig?t=####&p=####
- oss.tatat####.com/audio/other/rjb_book01.png
- oss.tatat####.com/audio/xiaoxuejiaocai/2440-02c5351672c8a6d05866fec2ff50...
- oss.tatat####.com/audio/xiaoxuejiaocai/2495-da797955717a97865a8e9899774c...
- oss.tatat####.com/audio/xiaoxuejiaocai/T15yJyBvJg1RCvBVdK.jpg
- oss.tatat####.com/xiaoxue/diandu/2185.jpg
- oss.tatat####.com/xiaoxue/diandu/2186.jpg
- oss.tatat####.com/xiaoxue/diandu/2187.jpg
- oss.tatat####.com/xiaoxue/diandu/2188.jpg
- oss.tatat####.com/xiaoxue/diandu/2189.jpg
- oss.tatat####.com/xiaoxue/diandu/2190.jpg
- oss.tatat####.com/xiaoxue/diandubook/0b445cf088e991b406ca4d6b01940ee5.jpg
- oss.tatat####.com/xiaoxue/diandubook/50.jpg
- oss.tatat####.com/xiaoxue/diandubook/51.jpg
- oss.tatat####.com/xiaoxue/diandubook/ffb28e6cc8cc1d90e4010866c5b2f9ba.jpg
- tata-v####.img-cn-####.aliy####.com/xiaoxue/diandu/2185.jpg@100w
- tata-v####.img-cn-####.aliy####.com/xiaoxue/diandu/2186.jpg@100w
- tata-v####.img-cn-####.aliy####.com/xiaoxue/diandu/2187.jpg@100w
- tata-v####.img-cn-####.aliy####.com/xiaoxue/diandu/2188.jpg@100w
- tata-v####.img-cn-####.aliy####.com/xiaoxue/diandu/2189.jpg@100w
- tata-v####.img-cn-####.aliy####.com/xiaoxue/diandu/2190.jpg@100w
- tata-v####.img-cn-####.aliy####.com/xiaoxue/diandu/2191.jpg@100w
- tata-v####.img-cn-####.aliy####.com/xiaoxue/diandu/2192.jpg@100w
Запросы HTTP POST:
- a####.u####.com/app_logs
- d####.opensp####.cn/index.php/clientrequest/clientcollect/isCollect
- etatase####.tatat####.com/ads/rt.s?id=####
- etatase####.tatat####.com/tataeraapi/api.s?&h=####
- etatase####.tatat####.com/tataeraapi/api.s?h=####
- etatase####.tatat####.com/tataeraapi/api.s?h=####&ver=####&pr=####
- statse####.tatat####.com:1180/stat/api.s?h=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/021bcaf6-a835-40a6-bc39-ddc398a469c2
- /data/data/####/0371212b-b39a-4c19-b3f3-62a4255eb405
- /data/data/####/1740c449fc10be62df60ba0f18696c9f
- /data/data/####/32edd79a240b5f1e461d069caab1ec3e
- /data/data/####/3ac6deb8-567d-4946-b46a-d1054b52ccb8
- /data/data/####/4d3462af-cacd-4740-b383-53bb1149cb3d
- /data/data/####/6.jar
- /data/data/####/73c8070f-92fb-4e1c-a29b-4924be1a8785
- /data/data/####/802d1284-b778-472e-96b4-72e35a6cd486
- /data/data/####/8686d7bf-8bf4-4d9f-92cc-f62b3361a469
- /data/data/####/8b6f263391259b7a8e5f58ee71852ca8
- /data/data/####/Alvin2.xml
- /data/data/####/AppStore.xml
- /data/data/####/ContextData.xml
- /data/data/####/Matrix
- /data/data/####/SUBOXLOG_
- /data/data/####/UmengLocalNotificationStore.db-journal
- /data/data/####/aebcc7f2-5f5b-4ad8-aeea-92e824085b39
- /data/data/####/b0141e478b25af7c40a8cca8de6c4708
- /data/data/####/b18a021d11a3004d25017230b681476b
- /data/data/####/c61913b615fb6224701377a119081f36
- /data/data/####/com.iflytek.id.xml
- /data/data/####/com.lokg.kokeu_preferences.xml
- /data/data/####/ddexe
- /data/data/####/debuggerd
- /data/data/####/device.db
- /data/data/####/e33ce6f4-a8fd-418c-986f-52d8d2c75518
- /data/data/####/e68f7694-2e9d-49d9-b61b-7716abdeb13e.jar
- /data/data/####/fileWork
- /data/data/####/ifly_launch_lib.xml
- /data/data/####/iflytek_state_com.lokg.kokeu.xml
- /data/data/####/install-recovery.sh
- /data/data/####/kokeu.xml
- /data/data/####/kr.xml
- /data/data/####/libjiagu.so
- /data/data/####/mobclick_agent_online_setting_com.lokg.kokeu.xml
- /data/data/####/pidof
- /data/data/####/root3
- /data/data/####/shareadsdk.xml
- /data/data/####/statistics-journal
- /data/data/####/su
- /data/data/####/supolicy
- /data/data/####/t_u.db-journal
- /data/data/####/toolbox
- /data/data/####/uei.kgije.lgokeuhdhj.opriq.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_message_state.xml
- /data/data/####/webview.db-journal
- /data/data/####/wsroot.sh
- /data/media/####/-1537803147.tmp
- /data/media/####/-1734316652.tmp
- /data/media/####/-1930830157.tmp
- /data/media/####/-2127343662.tmp
- /data/media/####/-391280509.tmp
- /data/media/####/-403677640.tmp
- /data/media/####/.nomedia
- /data/media/####/1549753305.tmp
- /data/media/####/1693041121.tmp
- /data/media/####/1746266810.tmp
- /data/media/####/1942780315.tmp
- /data/media/####/1971110129.tmp
- /data/media/####/261254872.tmp
- /data/media/####/314977764.tmp
- /data/media/####/510948618.tmp
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/diandu_47.txt
- /data/media/####/diandu_47_simple.txt
- /data/media/####/iflyworkdir_test
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- chmod 777 Matrix ddexe debuggerd device.db fileWork install-recovery.sh pidof root3 su supolicy toolbox wsroot.sh
- chmod 777 Matrix ddexe debuggerd fileWork install-recovery.sh pidof su supolicy toolbox wsroot.sh
- sh
Загружает динамические библиотеки:
- libjiagu
- msc
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
