Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.589.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) p1.ps####.com.####.com:80
- TCP(HTTP/1.1) sh.wagbr####.alibaba####.com:80
- TCP(HTTP/1.1) p3.ps####.com:80
- TCP(HTTP/1.1) v####.b####.com:80
- TCP(TLS/1.0) o####.l####.top:443
Запросы DNS:
- img.b####.com
- log.u####.com
- o####.l####.top
- p1.ps####.com
- p3.ps####.com
- v####.b####.com
Запросы HTTP GET:
- p1.ps####.com.####.com/large/16f0006bdfc0f30e161
- p1.ps####.com.####.com/large/1e5200056b538cce64b1
- p3.ps####.com/large/1de100008862f870b472
- p3.ps####.com/large/1e0d00075e11f78fe462
- p3.ps####.com/large/3e2000c7ecb998b94c5
- sh.wagbr####.alibaba####.com/bar/get/5800377167e58eb8b4001703/?ud_get=####
- v####.b####.com/upload/activity/type/40.png
- v####.b####.com/upload/video/img/20180313152300010.jpg
- v####.b####.com/upload/video/userfiles/images/11.png
- v####.b####.com/upload/videomember/1.jpg
- v####.b####.com/upload/videomember/25.jpg
- v####.b####.com/upload/videomember/29.jpg
- v####.b####.com/upload/videomember/39.jpg
- v####.b####.com/upload/videomember/thumb_20170518110306748.jpg
- v####.b####.com/upload/videomember/thumb_20180313152333355.jpg
- v####.b####.com/video_service/userAction/service.do
- v####.b####.com/video_service/userAction/service.do?WebShieldDRSessionVe...
Запросы HTTP POST:
- v####.b####.com/video_service/userAction/service.do
- v####.b####.com/video_service/videoAction/service.do
- v####.b####.com/video_service/videosendAction/service.do
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/0070cf7144ec2024dc527d36c3db064a.0.tmp
- /data/data/####/0070cf7144ec2024dc527d36c3db064a.1.tmp
- /data/data/####/0db234bcf43012c769a187eeedae51f4.0.tmp
- /data/data/####/0db234bcf43012c769a187eeedae51f4.1.tmp
- /data/data/####/296b51e063764a71344cbd1af1e50f2b.0.tmp
- /data/data/####/296b51e063764a71344cbd1af1e50f2b.1.tmp
- /data/data/####/3119ace5e6af7fd7877506ea6d5383d8.0.tmp
- /data/data/####/3119ace5e6af7fd7877506ea6d5383d8.1.tmp
- /data/data/####/5.jar
- /data/data/####/6.xml
- /data/data/####/602f60de69cca3629f667651435dcd34.0.tmp
- /data/data/####/602f60de69cca3629f667651435dcd34.1.tmp
- /data/data/####/6b5417a5679f0c01fb520d26de15594e.0.tmp
- /data/data/####/6b5417a5679f0c01fb520d26de15594e.1.tmp
- /data/data/####/6de075d273171b477227243a73d590e5.0.tmp
- /data/data/####/6de075d273171b477227243a73d590e5.1.tmp
- /data/data/####/7085de5d0dab684b37dd5b78872de644.0.tmp
- /data/data/####/7085de5d0dab684b37dd5b78872de644.1.tmp
- /data/data/####/77dac51274c1c390313f72847e2e6c80.0.tmp
- /data/data/####/77dac51274c1c390313f72847e2e6c80.1.tmp
- /data/data/####/90b2c1b5c1f7da5b30548c5ed8118087.0.tmp
- /data/data/####/90b2c1b5c1f7da5b30548c5ed8118087.1.tmp
- /data/data/####/c89ebf36274900b3bf521769812399bb.0.tmp
- /data/data/####/c89ebf36274900b3bf521769812399bb.1.tmp
- /data/data/####/d160e9034ad4c0fc9b293fecb62aaa4e.0.tmp
- /data/data/####/d160e9034ad4c0fc9b293fecb62aaa4e.1.tmp
- /data/data/####/d1c656ce03a8a72794c0cc575ca18582.0.tmp
- /data/data/####/d1c656ce03a8a72794c0cc575ca18582.1.tmp
- /data/data/####/d94457886632c0912b251cc20451fb63.0.tmp
- /data/data/####/d94457886632c0912b251cc20451fb63.1.tmp
- /data/data/####/feibai.xml
- /data/data/####/journal.tmp
- /data/data/####/kr.xml
- /data/data/####/libjiagu.so
- /data/data/####/scrollmessage.db-journal
- /data/data/####/t_u.db-journal
- /data/data/####/umeng_socialize.xml
- /data/data/####/vbz.xml
- /data/data/####/webview.db-journal
- /data/media/####/-12051547421428719720
- /data/media/####/-1678812374-139008247
- /data/media/####/-1813274370-1473222557
- /data/media/####/-257472161-139008247
- /data/media/####/-629377422-2022704420
- /data/media/####/1163295786-531044663
- /data/media/####/11632957862063851650
- /data/media/####/290243477-139008247
- /data/media/####/705469580-1388836185
- /data/media/####/7162712322064774210
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- ijkffmpeg
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
