Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.657.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) cdn.app.dn####.####.com:80
- TCP(HTTP/1.1) log.iqu####.com:80
- TCP(HTTP/1.1) www.tou####.com:80
- TCP(HTTP/1.1) tou####.com:80
- TCP(HTTP/1.1) oc.u####.com:80
- TCP(HTTP/1.1) 47.92.1####.96:80
- TCP(HTTP/1.1) 1####.76.224.67:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) www.iqu####.com:80
- TCP(HTTP/1.1) www.y####.com:80
- TCP(HTTP/1.1) d14uy7w####.cloudf####.net:80
- TCP(TLS/1.0) ssl.gst####.com:443
- TCP(TLS/1.0) www.y####.com:443
- TCP(TLS/1.0) c####.fl####.com:443
- TCP(TLS/1.0) s.y####.com:443
- TCP(TLS/1.0) ct.y####.com:443
- TCP(TLS/1.0) sb.scoreca####.com.####.net:443
- TCP(TLS/1.0) www.go####.nl:443
- TCP(TLS/1.0) bea####.y####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) www.tou####.com:443
- TCP(TLS/1.0) adser####.go####.nl:443
- TCP(TLS/1.0) geo.y####.com:443
- TCP(TLS/1.0) udc.y####.com:443
- TCP(TLS/1.0) c####.yahoo####.com:443
- TCP(TLS/1.0) v####.dn####.top:443
Запросы DNS:
- a####.u####.com
- adser####.go####.nl
- api.iqu####.com
- bea####.y####.com
- c####.fl####.com
- c####.yahoo####.com
- cdn.app.dn####.top
- ct.y####.com
- d14uy7w####.cloudf####.net
- geo.y####.com
- log.iqu####.com
- mbp.y####.com
- oc.u####.com
- s.y####.com
- sb.scoreca####.com
- ssl.gst####.com
- tou####.com
- udc.y####.com
- v####.dn####.top
- www.go####.com
- www.go####.nl
- www.gst####.com
- www.iqu####.com
- www.tou####.com
- www.y####.com
Запросы HTTP GET:
- cdn.app.dn####.####.com/sfile/201803/30/all/cp_V3.1.2.txt
- d14uy7w####.cloudf####.net/download/key
- tou####.com/i6225390565924536833/
- tou####.com/i6227817453590675970/
- www.iqu####.com/channel/5003/channel.jpg
- www.iqu####.com/channel/5006/channel.jpg
- www.iqu####.com/channel/5008/channel.jpg
- www.iqu####.com/channel/5017/channel.jpg
- www.iqu####.com/channel/6218/channel.jpg
- www.iqu####.com/channel/6326/channel.jpg
- www.iqu####.com/channel/6328/channel.jpg
- www.iqu####.com/channel/6329/channel.jpeg
- www.iqu####.com/parser/logkey.txt
- www.iqu####.com/video/131/281/IOTgwMTEwNg==M_400.jpg
- www.iqu####.com/video/131/281/IOTgwMTEwNg==M_500.jpg
- www.iqu####.com/video/141/470/IOTE1ODEwNg==M_500.jpg
- www.iqu####.com/video/178/68/IMDg2MzExMA==M_400.jpg
- www.iqu####.com/video/178/68/IMDg2MzExMA==M_500.jpg
- www.iqu####.com/video/188/283/IMDQzOTEwNw==M_400.jpg
- www.iqu####.com/video/188/283/IMDQzOTEwNw==M_500.jpg
- www.iqu####.com/video/279/380/IMTgzNDEwNg==M_500.jpg
- www.iqu####.com/video/297/498/IMjc1ODEwNw==M_400.jpg
- www.iqu####.com/video/350/0/IMDg2MjExMA==M_400.jpg
- www.iqu####.com/video/350/0/IMDg2MjExMA==M_500.jpg
- www.iqu####.com/video/355/51/IOTE1OTEwNg==M_500.jpg
- www.iqu####.com/video/356/101/INDE5ODEwNA==M_500.jpg
- www.iqu####.com/video/362/0/IMDgzNzEwOA==M_400.jpg
- www.tou####.com/i6225390565924536833/
- www.tou####.com/i6227817453590675970/
- www.y####.com/
Запросы HTTP POST:
- a####.u####.com/app_logs
- log.iqu####.com/asal.gif
- oc.u####.com/check_config_update
- www.iqu####.com/vk_app_api/resourcesURI
- www.iqu####.com/vk_app_api/userURI
- www.iqu####.com/vk_app_api/videoURI
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.lock
- /data/data/####/32dc2b7c-3b8a-4aff-85d7-c1e651bd7bd8
- /data/data/####/4d51de9c-0dc2-4d6b-b835-b681c24fb7a0.jar
- /data/data/####/KJLibrary.db-journal
- /data/data/####/SUBOXLOG_
- /data/data/####/V3.1.2.txt
- /data/data/####/V3.1.2.xml
- /data/data/####/cj.jar
- /data/data/####/inittime.xml
- /data/data/####/isFirstUSE.xml
- /data/data/####/ix.jar
- /data/data/####/kr.xml
- /data/data/####/libarm.so
- /data/data/####/libjiagu.so
- /data/data/####/mobclick_agent_cached_ksjdyhoiyh.sjdhfaggdffd28
- /data/data/####/mobclick_agent_online_setting_ksjdyhoiyh.sjdhfaggdffd.xml
- /data/data/####/phoneInfo.xml
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/t_u.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak
- /data/data/####/umeng_it.cache
- /data/data/####/vbz.xml
- /data/media/####/.nomedia
- /data/media/####/KJLibrary_01770633f975d3fe00ddebe997ef2424
- /data/media/####/KJLibrary_0322a846a1752247c34c51526c9b9986
- /data/media/####/KJLibrary_0684fed72ef93c9599334b6003ce26f9
- /data/media/####/KJLibrary_089fe8f40c00c7fa588e8038e1c13ff2
- /data/media/####/KJLibrary_1401a6e23fe2f7c1aa653f7677d1bf98
- /data/media/####/KJLibrary_31a23a500d34ba12d73b25607c09a712
- /data/media/####/KJLibrary_3a1506d15f8501a4d68435433ce1dcf4
- /data/media/####/KJLibrary_3a2aefe72d5e88a072d9cb627a35d6d0
- /data/media/####/KJLibrary_41a4f442ce2533e94d870bdeb236ffcf
- /data/media/####/KJLibrary_479a7247af4648f10595c9360f76c6cb
- /data/media/####/KJLibrary_4d60baeea67018b1d57c326379617513
- /data/media/####/KJLibrary_5b77350cfd6bc52a0781df9a07d1ef75
- /data/media/####/KJLibrary_7e334ddaa872717afa432ae719ac6326
- /data/media/####/KJLibrary_9860d00f2670e591af43ef6d7d288357
- /data/media/####/KJLibrary_9c0a4098f0de853bc2bc958c78ea031f
- /data/media/####/KJLibrary_9e6ed2934833ab090a526cf714b2f895
- /data/media/####/KJLibrary_a1d4cbd1a85928e69105bbbd7d590e48
- /data/media/####/KJLibrary_ba73566b93062e809cdfa17ed1ebb8cd
- /data/media/####/KJLibrary_c51f6b58eb0a67c96cebfd987db29c19
- /data/media/####/KJLibrary_e5454fb8a8325d1edfba9f8087709cc0
- /data/media/####/KJLibrary_ead3316b873834f76102d7dc460ca216
- /data/media/####/KJLibrary_ed6e8fa547d88ba2b1f3e41c99c17e50
- /data/media/####/log_1522410332176.txt
- /data/media/####/log_1522410380705.txt
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
- vinit
Использует следующие алгоритмы для расшифровки данных:
- DES
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
