Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Spy.127.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) wx.q####.cn:80
- TCP(HTTP/1.1) pub.funs####.com:80
- TCP(HTTP/1.1) up####.funs####.com:80
- TCP(HTTP/1.1) po.funs####.com:80
- TCP(HTTP/1.1) i####.funs####.com:80
- TCP(HTTP/1.1) q.q####.cn:80
- TCP(HTTP/1.1) pm.funs####.com:80
- TCP(HTTP/1.1) m.i####.com:80
- TCP(HTTP/1.1) pu.funs####.com:80
- TCP(HTTP/1.1) up####.v.qin####.com:80
- TCP(HTTP/1.1) psi.funs####.com:80
- TCP(HTTP/1.1) s####.funs####.net:80
Запросы DNS:
- i####.funs####.com
- i####.funs####.com
- i####.funs####.com
- img.funs####.com
- m.i####.com
- pm.funs####.com
- po.funs####.com
- psi.funs####.com
- pu.funs####.com
- pub.funs####.com
- pv.funs####.com
- q.q####.cn
- s####.funs####.net
- up####.funs####.com
- wx.q####.cn
Запросы HTTP GET:
- i####.funs####.com/sdw?oid=####&w=####&h=####
- m.i####.com/cfg/appkey-684f15fa71301257
- pm.funs####.com/v5/media/recommend?channel=####&pg=####&fudid=####&cl=##...
- pm.funs####.com/v7/config/homepage?cl=####&ve=####&mac=####&uc=####
- po.funs####.com/fpupdate/INI/config_update_funplayer.txt
- po.funs####.com/v5/config/cache?cl=####&ve=####
- po.funs####.com/v5/config/general?cl=####&ve=####
- po.funs####.com/v5/config/init?cl=####&ve=####&mac=####&uc=####
- po.funs####.com/v5/config/log?cl=####&ve=####&mac=####&uc=####
- po.funs####.com/v7/config/channel?cl=####&ve=####&mac=####&uc=####
- psi.funs####.com/v5/media/recommend?channel=####&pg=####&fudid=####&cl=#...
- psi.funs####.com/v5/site/recommend?pg=####&type=####&cl=####&ve=####&mac...
- psi.funs####.com/v5/video/recommend?channel=####&fudid=####&cl=####&ve=#...
- pu.funs####.com/v5/site/mvsites?id=####&cl=####&ve=####&mac=####&uc=####
- pu.funs####.com/v5/user/mediacomment?id=####&pg=####&cl=####&ve=####&mac...
- pu.funs####.com/v5/video/advance?id=####&cl=####&ve=####&mac=####&uc=####
- pub.funs####.com/interface/deliver?ap=####&deliver_ver=####&uid=####&mac...
- pub.funs####.com/interface/materials?ap=####&client=####&uid=####&mac=##...
- q.q####.cn/qqapp/100247639/993818DCCAA88B859953CD5E72E455E6/100
- q.q####.cn/qqapp/100247639/DF52FDEFED0312F8F48042B963FCD445/40
- s####.funs####.net/ecom_mobile/bootstrap?dev=####&ver=####&fudid=####&si...
- s####.funs####.net/ecom_mobile/fbuffer?dev=####&ver=####&fudid=####&sid=...
- s####.funs####.net/ecom_mobile/play?dev=####&ver=####&fudid=####&sid=###...
- s####.funs####.net/ecom_mobile/servicehb?dev=####&ver=####&fudid=####&si...
- up####.funs####.com/v5/media/episode?id=####&cl=####&ve=####&mac=####&uc...
- up####.funs####.com/v5/media/play?id=####&cl=####&ve=####&mac=####&uc=####
- up####.funs####.com/v5/media/profile?id=####&cl=####&ve=####&mac=####&uc...
- up####.funs####.com/v5/media/relate?id=####&cl=####&ve=####&mac=####&uc=...
- up####.v.qin####.com/sdw?oid=####&w=####&h=####
- wx.q####.cn/mmopen/vi_32/Q0j4TwGTfTLgNBOUo3pzedRh4KibkMib0o8N4Hvic6VBXbd...
Запросы HTTP POST:
- m.i####.com/rec/se?_iwt_t=####&sv=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/MATSharedPreferences.xml
- /data/data/####/_ire-journal
- /data/data/####/cn.com.mma.mobile.tracking.other.xml
- /data/data/####/fudid.xml
- /data/data/####/funshion.db-journal
- /data/data/####/funshion.xml
- /data/data/####/libjiagu-2031228707.so
- /data/data/####/peerid_config.xml
- /data/media/####/.fudid
- /data/media/####/04e8b2a799b28f3d2aab96713c430cb028ea390c.cache
- /data/media/####/06bcba8604f3bcae535f216b506fa7992e14bf66.cache
- /data/media/####/1522752923_32492_null.dat
- /data/media/####/19a8iet0gcqtgiit18ipe5ww0.0.tmp
- /data/media/####/1kp4otkosgxeomb5a2qvvmkip.0.tmp
- /data/media/####/1ljp59hfnz2btdkhm2v4d9ado.0.tmp
- /data/media/####/1lp2mwhctaarifq0fiecpj86k.0.tmp
- /data/media/####/1trzgb04byouebu8q9of2urc9.0.tmp
- /data/media/####/23ptqr1xy92h45fty094854rf.0.tmp
- /data/media/####/249273949ae8e91da299b04f9f66bd303d398306.cache
- /data/media/####/2c2f240pjk84aef3flvzjlvgo.0.tmp
- /data/media/####/2eifjprdlrxx2hv69zgur3x0t.0.tmp
- /data/media/####/2syvityh2vg06bpg5rttsl3r9.0.tmp
- /data/media/####/30dnfd8wsawai5d0ve84hnh6m.0.tmp
- /data/media/####/3pjmmx7s92dzrbjh54gjellhm.0.tmp
- /data/media/####/3shb7czjb27a2j411qfido0op.0.tmp
- /data/media/####/3slj3w2tef5aluzzrjfebpxtd.0.tmp
- /data/media/####/3y6e12gmc4qnz6zm93a4y9o44.0.tmp
- /data/media/####/41yxrcdrc9o81l0sjil9gugcw.0.tmp
- /data/media/####/43cwtf59onvrgvsrs7u5081fg.0.tmp
- /data/media/####/48mymfl9t4n77dzwsksd94ly8.0.tmp
- /data/media/####/4b85qwam3q9vsscs6et6awxpv.0.tmp
- /data/media/####/4bdao8nbhdtxajyswxwbhgjos.0.tmp
- /data/media/####/4cdotsuvz7noth1fdlwjhbj9d.0.tmp
- /data/media/####/4helt0b7rxi0q8cbruqnj6zd.0.tmp
- /data/media/####/4jcngi7fr96wqwizsmo93329g.0.tmp
- /data/media/####/4r2wyald3prnq28hhzdqeyoa3.0.tmp
- /data/media/####/4whz3dm01o2zhar8qskvdwbs6.0.tmp
- /data/media/####/4xiycszozary6k44b2smd4dpy.0.tmp
- /data/media/####/4yvh9sztoiv65heuqp2jgfw8w.0.tmp
- /data/media/####/57df8fa163783745d921862009f68ea0a0dd3428.cache
- /data/media/####/5bf8kiacksfdawn4k0857o024.0.tmp
- /data/media/####/5rcktg2zzs58zpzx5yxeorjgb.0.tmp
- /data/media/####/5tlzmbcsjl4kft0uz7nuq8p2j.0.tmp
- /data/media/####/687bmvepfoufzgqbchtue151o.0.tmp
- /data/media/####/6929drvczatf04hzlatfr72hd.0.tmp
- /data/media/####/6gfrm0vxmocuzjwrvv07aoelc.0.tmp
- /data/media/####/6y80gfuwkumuknjh28oa34mow.0.tmp
- /data/media/####/70eonwkr8n1b7rt92qah8flg6.0.tmp
- /data/media/####/71tvrkdui65wdm4jb5x05pp43.0.tmp
- /data/media/####/74gluanuqik3ur0i6fw13ajyt.0.tmp
- /data/media/####/7651sq7oq8yx0g9scwysyq8co.0.tmp
- /data/media/####/77m829fuaq7f5vmpldrx17h2z.0.tmp
- /data/media/####/7bgo9w5zzseo24d225zxojdqd.0.tmp
- /data/media/####/7cntowmt3b5r7kqv0skxk7uff.0.tmp
- /data/media/####/7d8f4369c407e50af0c19099236ff2b5978c00fc.cache
- /data/media/####/7e5ee874a148bab0c6e49e4057dcd57eaf9c8cfc.cache
- /data/media/####/7k7iv71qkporixw8itwjk3e8d.0.tmp
- /data/media/####/7kh6lr2qpagkr4mqlqxl9ybz3.0.tmp
- /data/media/####/8gepnvej0sv90uqntceonsif.0.tmp
- /data/media/####/9xe9pepq1xver3aox34twi7f.0.tmp
- /data/media/####/c1p53xhxh5y6ktskrbkp4zrz.0.tmp
- /data/media/####/cache.rules.tmp
- /data/media/####/config.ini.tmp
- /data/media/####/e242fbcb2e112afeb73f4d8c43fde385a74ea679.cache
- /data/media/####/e87847e6c39e4d5d2e25ede2bf6de29a171d24c1.cache
- /data/media/####/f1b8959a516f97a835536268c5f9670d75c744d5.cache
- /data/media/####/ff2c36a6972f7f897051471596c7735f71456369.cache
- /data/media/####/funshion.ini
- /data/media/####/funshion_aphone_6.5.1_afafdfe4b95f_20180403.log
- /data/media/####/journal.tmp
- /data/media/####/omy0gam8ecdnnskdzahy4zc7.0.tmp
- /data/media/####/p2p_config.ini
- /data/media/####/snpp79qwbt1vltwe3dqmpf0x.0.tmp
- /data/media/####/yrqdxwfuxntzeowz4u63xfym.0.tmp
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu-2031228707.so
Загружает динамические библиотеки:
- fsp2p
- libjiagu-2031228707
- loginclient
- lsv
- mresearch
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
