Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Spy.127.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) pub.funs####.com:80
- TCP(HTTP/1.1) up####.funs####.com:80
- TCP(HTTP/1.1) po.funs####.com:80
- TCP(HTTP/1.1) i####.funs####.com:80
- TCP(HTTP/1.1) pm.funs####.com:80
- TCP(HTTP/1.1) m.i####.com:80
- TCP(HTTP/1.1) pu.funs####.com:80
- TCP(HTTP/1.1) up####.v.qin####.com:80
- TCP(HTTP/1.1) psi.funs####.com:80
- TCP(HTTP/1.1) s####.funs####.net:80
Запросы DNS:
- i####.funs####.com
- i####.funs####.com
- i####.funs####.com
- img.funs####.com
- m.i####.com
- mt####.go####.com
- pm.funs####.com
- po.funs####.com
- psi.funs####.com
- pu.funs####.com
- pub.funs####.com
- pv.funs####.com
- s####.funs####.net
- up####.funs####.com
Запросы HTTP GET:
- i####.funs####.com/sdw?oid=####&w=####&h=####
- m.i####.com/cfg/appkey-684f15fa71301257
- pm.funs####.com/v7/config/homepage?cl=####&ve=####&mac=####&uc=####
- po.funs####.com/fpupdate/INI/config_update_funplayer.txt
- po.funs####.com/v5/config/cache?cl=####&ve=####
- po.funs####.com/v5/config/general?cl=####&ve=####
- po.funs####.com/v5/config/init?cl=####&ve=####&mac=####&uc=####
- po.funs####.com/v5/config/log?cl=####&ve=####&mac=####&uc=####
- po.funs####.com/v5/media/recommend?channel=####&pg=####&fudid=####&cl=##...
- po.funs####.com/v7/config/channel?cl=####&ve=####&mac=####&uc=####
- psi.funs####.com/v5/site/recommend?pg=####&type=####&cl=####&ve=####&mac...
- pu.funs####.com/v5/media/episode?id=####&cl=####&ve=####&mac=####&uc=####
- pu.funs####.com/v5/media/play?id=####&cl=####&ve=####&mac=####&uc=####
- pu.funs####.com/v5/media/profile?id=####&cl=####&ve=####&mac=####&uc=####
- pu.funs####.com/v5/media/relate?id=####&cl=####&ve=####&mac=####&uc=####
- pu.funs####.com/v5/site/mvsites?id=####&cl=####&ve=####&mac=####&uc=####
- pu.funs####.com/v5/user/mediacomment?id=####&pg=####&cl=####&ve=####&mac...
- pu.funs####.com/v5/video/advance?id=####&cl=####&ve=####&mac=####&uc=####
- pub.funs####.com/interface/deliver?ap=####&deliver_ver=####&uid=####&mac...
- pub.funs####.com/interface/materials?ap=####&client=####&uid=####&mac=##...
- s####.funs####.net/ecom_mobile/bootstrap?dev=####&ver=####&fudid=####&si...
- s####.funs####.net/ecom_mobile/fbuffer?dev=####&ver=####&fudid=####&sid=...
- s####.funs####.net/ecom_mobile/play?dev=####&ver=####&fudid=####&sid=###...
- s####.funs####.net/ecom_mobile/servicehb?dev=####&ver=####&fudid=####&si...
- up####.funs####.com/v7/config/personal?fudid=####&pg=####&sz=####&cl=###...
- up####.v.qin####.com/sdw?oid=####&w=####&h=####
Запросы HTTP POST:
- m.i####.com/rec/se?_iwt_t=####&sv=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/MATSharedPreferences.xml
- /data/data/####/_ire-journal
- /data/data/####/cn.com.mma.mobile.tracking.other.xml
- /data/data/####/fudid.xml
- /data/data/####/funshion.db-journal
- /data/data/####/funshion.xml
- /data/data/####/funshion.xml.bak
- /data/data/####/libjiagu.so
- /data/data/####/peerid_config.xml
- /data/media/####/.fudid
- /data/media/####/048495fe11ded9d27d0af7894c8bffdd38133283.cache
- /data/media/####/1510833326_41746_null.dat
- /data/media/####/1510833338_53176_null.dat
- /data/media/####/19fa2c727e2fdbc3b8ecdb98d6f6d37f5d2de459.cache
- /data/media/####/1fb3b8bf94d47c794ba16a51641482047f11f6fc.cache
- /data/media/####/1i88e1745va6741zrbpgq1vn0.0.tmp
- /data/media/####/1ieclfqtwu5vir8x2k0e9ees5.0.tmp
- /data/media/####/1nssv4mx6zoqfc5imb96rqlyo.0.tmp
- /data/media/####/1okuseg422rezk76w1poqj7xr.0.tmp
- /data/media/####/1p0xosmqw8342os2u9nkxjohc.0.tmp
- /data/media/####/23rkuh35issxscnru0gq1yxeh.0.tmp
- /data/media/####/25cq3txyf0cc4gg654dm75mgx.0.tmp
- /data/media/####/2bz0xfk9htvfcjk2hv7xctdu6.0.tmp
- /data/media/####/2p0f1z83eqgn1vl3b00nfl5tw.0.tmp
- /data/media/####/2qbio4ir2mfwbh1931ekcn3qz.0.tmp
- /data/media/####/2qf3be3uw6qoy94o50659az22.0.tmp
- /data/media/####/2sf4w6v951dvhe6jec2vw6j5x.0.tmp
- /data/media/####/2w7plgjc0rqwztu5nsujzszjk.0.tmp
- /data/media/####/355ys8k9q2gcfq3ed35hv8ffn.0.tmp
- /data/media/####/3h2ods9aaujmqbo3lxvxgef3a.0.tmp
- /data/media/####/3ilc7gx0inyjq8fg781qa0r2a.0.tmp
- /data/media/####/3ney9id2g2o680xqwyd86x0jp.0.tmp
- /data/media/####/3yqatf1387sw5bu8iq1diw5d7.0.tmp
- /data/media/####/43gq40d9h0k72lgh50byrz675.0.tmp
- /data/media/####/48mymfl9t4n77dzwsksd94ly8.0.tmp
- /data/media/####/4e743d529fa491a257d233fbf8f18dc26e7ab8fe.cache
- /data/media/####/4jrwmhpumjvv7rmjiwlktsogl.0.tmp
- /data/media/####/4p2sm4kxn2wy6mvl1r9g2ijcr.0.tmp
- /data/media/####/506328702b4208cae3c4f42cd0ad0f28c93e2ccf.cache
- /data/media/####/50glypzfiuiy56ikrjwcre7nx.0.tmp
- /data/media/####/5a0fe05ac9b5a9b39f8cfe89db2a1d3b87cea85e.cache
- /data/media/####/5mindfxtnl94khwxvreys9xah.0.tmp
- /data/media/####/5sqfxchaeh7i326nvgrggz68l.0.tmp
- /data/media/####/5xvkm2v74r5sfetqf3aqp2pgt.0.tmp
- /data/media/####/640gk1ltshj1fhssjgxqhpfzw.0.tmp
- /data/media/####/6agjt2hjuqdxqxyonww54kb5q.0.tmp
- /data/media/####/6m99xj4kxl88jfxna6f28og7b.0.tmp
- /data/media/####/7i93xsr14sd7l6roz42pdhjr7.0.tmp
- /data/media/####/b1bcb4f2043f20314c972f0b5a70c5457adfc929.cache
- /data/media/####/cache.rules.tmp
- /data/media/####/config.ini.tmp
- /data/media/####/e9f266c032a93335a47b633ccd4adac150d5c32d.cache
- /data/media/####/f89f3a51d96c8a9e9d08401375e3f5d2ab826d90.cache
- /data/media/####/funshion.ini
- /data/media/####/funshion_aphone_6.0_afaf127f07f2_20171116.log
- /data/media/####/journal.tmp
- /data/media/####/p2p_config.ini
- /data/media/####/r36m8ewvjhyebinevk64cpx9.0.tmp
- /data/media/####/sd2tuf7zkuoc1mxqpepu4lle.0.tmp
- /data/media/####/u3f53og9aap2l0yeapj9vefy.0.tmp
- /data/media/####/zfvnetg2hal7zpm9ef65x4e8.0.tmp
- /data/media/####/zzylzipt4pc0v98c3a51oe86.0.tmp
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- fsp2p
- libjiagu
- loginclient
- lsv
- mresearch
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
