Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Spy.127.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) pub.funs####.com:80
- TCP(HTTP/1.1) up####.funs####.com:80
- TCP(HTTP/1.1) po.funs####.com:80
- TCP(HTTP/1.1) i####.funs####.com:80
- TCP(HTTP/1.1) m.i####.com:80
- TCP(HTTP/1.1) up####.v.qin####.com:80
- TCP(HTTP/1.1) psi.funs####.com:80
- TCP(HTTP/1.1) s####.funs####.net:80
Запросы DNS:
- i####.funs####.com
- i####.funs####.com
- i####.funs####.com
- img.funs####.com
- m.i####.com
- pm.funs####.com
- po.funs####.com
- psi.funs####.com
- pu.funs####.com
- pub.funs####.com
- pv.funs####.com
- s####.funs####.net
- up####.funs####.com
Запросы HTTP GET:
- i####.funs####.com/sdw?oid=####&w=####&h=####
- m.i####.com/cfg/appkey-684f15fa71301257
- po.funs####.com/fpupdate/INI/config_update_funplayer.txt
- po.funs####.com/v5/config/cache?cl=####&ve=####
- po.funs####.com/v5/config/general?cl=####&ve=####
- po.funs####.com/v5/config/init?cl=####&ve=####&mac=####&uc=####
- po.funs####.com/v5/config/log?cl=####&ve=####&mac=####&uc=####
- po.funs####.com/v5/media/recommend?channel=####&pg=####&fudid=####&cl=##...
- po.funs####.com/v7/config/channel?cl=####&ve=####&mac=####&uc=####
- po.funs####.com/v7/config/homepage?cl=####&ve=####&mac=####&uc=####
- psi.funs####.com/v5/site/recommend?pg=####&type=####&cl=####&ve=####&mac...
- psi.funs####.com/v5/video/topic?id=####&cl=####&ve=####&mac=####&uc=####
- pub.funs####.com/interface/deliver?ap=####&deliver_ver=####&uid=####&mac...
- pub.funs####.com/interface/materials?ap=####&client=####&uid=####&mac=##...
- s####.funs####.net/ecom_mobile/bootstrap?dev=####&ver=####&fudid=####&si...
- s####.funs####.net/ecom_mobile/fbuffer?dev=####&ver=####&fudid=####&sid=...
- s####.funs####.net/ecom_mobile/fplay?dev=aphone_4.3.1_<System Property>&...
- s####.funs####.net/ecom_mobile/play?dev=####&ver=####&fudid=####&sid=###...
- s####.funs####.net/ecom_mobile/servicehb?dev=####&ver=####&fudid=####&si...
- up####.funs####.com/v5/site/mvsites?id=####&cl=####&ve=####&mac=####&uc=...
- up####.funs####.com/v5/user/videocomment?id=####&pg=####&cl=####&ve=####...
- up####.funs####.com/v5/video/play?id=####&cl=####&ve=####&mac=####&uc=####
- up####.funs####.com/v5/video/profile?id=####&cl=####&ve=####&mac=####&uc...
- up####.funs####.com/v5/video/relate?id=####&cl=####&ve=####&mac=####&uc=...
- up####.v.qin####.com/sdw?oid=####&w=####&h=####
Запросы HTTP POST:
- m.i####.com/rec/se?_iwt_t=####&sv=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/MATSharedPreferences.xml
- /data/data/####/_ire-journal
- /data/data/####/cn.com.mma.mobile.tracking.other.xml
- /data/data/####/fudid.xml
- /data/data/####/funshion.db-journal
- /data/data/####/funshion.xml
- /data/data/####/libjiagu-2031228707.so
- /data/data/####/peerid_config.xml
- /data/media/####/.fudid
- /data/media/####/11f4z0uogxqik2s0fx49rrtkw.0.tmp
- /data/media/####/18ppvvbxoeydbcg3jcrko0m5k.0.tmp
- /data/media/####/190e9f06bf05f4e35a22dd1b97e258ada3d4003a.cache
- /data/media/####/1kp4otkosgxeomb5a2qvvmkip.0.tmp
- /data/media/####/1mh7w79llvz8n46t5hgljcxl2.0.tmp
- /data/media/####/1qe9t4nb23ke89fimu31p955c.0.tmp
- /data/media/####/23f1a37ace77ceb7b6343040651c62e873474f65.cache
- /data/media/####/24ttsw2104ehu5igb1chql3pk.0.tmp
- /data/media/####/27hitu22fpeog8wmhl79jasjt.0.tmp
- /data/media/####/2eifjprdlrxx2hv69zgur3x0t.0.tmp
- /data/media/####/2lqwpkk4pwwvyvgskyorlpk8r.0.tmp
- /data/media/####/2we4tnhhosi3ka9x6gzgyuin1.0.tmp
- /data/media/####/33f8de3cb8fbe780647b926c87f76b9809bf9534.cache
- /data/media/####/3d770f050562cb10438fce5f4e0d1cf3dc78ae89.cache
- /data/media/####/3gf0258x1p3qe0vddnr3sgjn.0.tmp
- /data/media/####/3rxrply1prybhrjqcxxua1b82.0.tmp
- /data/media/####/3trinx2tzm2uzihps226htftg.0.tmp
- /data/media/####/409743c91443157a22ce670b7e6f5f926c1aa3b3.cache
- /data/media/####/43cwtf59onvrgvsrs7u5081fg.0.tmp
- /data/media/####/4bdao8nbhdtxajyswxwbhgjos.0.tmp
- /data/media/####/4dd72336d20395b3c22e45fb497a9ac0f591885b.cache
- /data/media/####/4f4xvhhn2btxazt0vnrtbiva4.0.tmp
- /data/media/####/4jnm49xf715bhrj6mufu37r71.0.tmp
- /data/media/####/4lfep3w86qvlqbu18cern0b2p.0.tmp
- /data/media/####/4p6a4p7k9j2xnp2f5n1lkq9wn.0.tmp
- /data/media/####/4r2wyald3prnq28hhzdqeyoa3.0.tmp
- /data/media/####/52zwjj0mnrjcpl4ib4xjghm1f.0.tmp
- /data/media/####/57jl3ale1ybwhb8p4qzejbs6d.0.tmp
- /data/media/####/5bf8kiacksfdawn4k0857o024.0.tmp
- /data/media/####/5ckx0q6s87fyw8amet2jdkh2t.0.tmp
- /data/media/####/5h743h53sojm8x4muby3ej7h0.0.tmp
- /data/media/####/5k7segxb92osfbemo8gf9ns0d.0.tmp
- /data/media/####/5kq7s1ep1dklu2en8bfen4e5k.0.tmp
- /data/media/####/5o32c83kywdr15pqxiff6vsak.0.tmp
- /data/media/####/5xwr38evsbusp4igf3c19kee6.0.tmp
- /data/media/####/6gfrm0vxmocuzjwrvv07aoelc.0.tmp
- /data/media/####/6gyb4zz2guf42bat4ssd31dj5.0.tmp
- /data/media/####/6k6iub7tcw2cmfd7zhnjk0mmp.0.tmp
- /data/media/####/6tw83yf252c86edwuot8e69qx.0.tmp
- /data/media/####/70ujswbl1qqghyh9e3xr228co.0.tmp
- /data/media/####/73ronmiog27jiyf04nczigche.0.tmp
- /data/media/####/741bt1dqeun3bojeo222lvtxo.0.tmp
- /data/media/####/7651sq7oq8yx0g9scwysyq8co.0.tmp
- /data/media/####/7bdvu8pmo14tzvy44vkw7en69.0.tmp
- /data/media/####/7efpwdquw8v7bce3rlyedeq0x.0.tmp
- /data/media/####/7f4flom1uzsmgq9zl6ex7yv9z.0.tmp
- /data/media/####/7km0ywleo6o25vc5kortnqlxa.0.tmp
- /data/media/####/7kpqmhjs12gycp4pp6hancruv.0.tmp
- /data/media/####/90733755e6f64d419efb57701eb344f69241dd03.cache
- /data/media/####/a38f53ac064e3262183179d8ae152e13f94dd36e.cache
- /data/media/####/c6827515b8411163426407caf6e6e5cd64a1b457.cache
- /data/media/####/cache.rules.tmp
- /data/media/####/config.ini.tmp
- /data/media/####/d8772ba6859f16567751e748b8ff5526faf9198a.cache
- /data/media/####/e2df32e92e96a217ba71ea7cdc30ec8247383761.cache
- /data/media/####/funshion.ini
- /data/media/####/funshion_aphone_6.5.0_afafdd75ce0f_20180403.log
- /data/media/####/journal.tmp
- /data/media/####/kdr30f9c3fx288ojjido90rw.0.tmp
- /data/media/####/osfqo9dr2xz3ae4l3fgqms04.0.tmp
- /data/media/####/p2p_config.ini
- /data/media/####/wweokzhtsxwpa07w9nqa5f9a.0.tmp
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu-2031228707.so
Загружает динамические библиотеки:
- fsp2p
- libjiagu-2031228707
- loginclient
- lsv
- mresearch
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
