Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Xiny.20
- Android.Xiny.53.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ws.dol####.com.####.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) f49.dol####.com:80
- TCP(HTTP/1.1) yj.eji####.com:80
Запросы DNS:
- a.appj####.com
- f49.dol####.com
- fenx####.qq.com
- ws.dol####.com
- www.data####.cn
- yj.eji####.com
Запросы HTTP GET:
- ws.dol####.com.####.com/download//jarFile/SDKAutoUpdate/test29.tar.gz
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
- f49.dol####.com/bjc.action/iris.action?g=####
- f49.dol####.com/collectcc.do
- f49.dol####.com/lkjp.do
- yj.eji####.com/lkjp.do
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/L_Key.xml
- /data/data/####/WLOGIN_DEVICE_INFO.xml
- /data/data/####/WnsDBHelper
- /data/data/####/WnsDBHelper-journal
- /data/data/####/com.tencent.photomgrvcvby_preferences.xml
- /data/data/####/db_qqpicture-journal
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/ki.xml
- /data/data/####/l_cp_st.xml
- /data/data/####/lcdownloads
- /data/data/####/lcdownloads-journal
- /data/data/####/ldownloads
- /data/data/####/ldownloads-journal
- /data/data/####/libjiagu.so
- /data/data/####/ljk.xml
- /data/data/####/new_l_req_st.xml
- /data/data/####/upg_jar_root.xml
- /data/data/####/upg_jar_version.xml
- /data/data/####/upja_r.xml
- /data/data/####/wns.config.log.xml
- /data/data/####/wns_data.xml
- /data/media/####/105073017212811171140828069.jpg
- /data/media/####/1296499248128245101721238152.jpg
- /data/media/####/1708886776201191142134194130.jpg
- /data/media/####/19024119824180135220212124184.jpg
- /data/media/####/199412851852198321251018.jpg
- /data/media/####/2018-04-05.log
- /data/media/####/231958230901515228156226219.jpg
- /data/media/####/26440021961572441195121063.jpg
- /data/media/####/2686172389191707919223763.jpg
- /data/media/####/3876091998370249672221729.jpg
- /data/media/####/475225113173186826472152.jpg
- /data/media/####/4838021471131869167151168127.jpg
- /data/media/####/49209990181921152461774575.jpg
- /data/media/####/5523582042352474491222238169.jpg
- /data/media/####/565542871231207813824097.jpg
- /data/media/####/68592320553212118175146245229.jpg
- /data/media/####/819251868411620817455770.jpg
- /data/media/####/8211591241818416580105156226.jpg
- /data/media/####/82146518925011310310739106224.jpg
- /data/media/####/8233561431177041223174198177.jpg
- /data/media/####/8343402431692541154067171.jpg
- /data/media/####/8618703154821124013621671.jpg
- /data/media/####/8952647816711288425204224.jpg
- /data/media/####/932016186147185207589569128.jpg
- /data/media/####/9411582032212425616614923524.jpg
- /data/media/####/9544092239153351809018513.jpg
- /data/media/####/9707702105663016180126252.jpg
- /data/media/####/IM.DAT
- /data/media/####/jar_dex.tar.gz
- /data/media/####/ljk.dat
- /data/media/####/reqt.dat
- /data/media/####/spt.dat
- /data/media/####/test.jar
- /data/media/####/time.dat
- /data/media/####/u.dat
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- RSA
- libjiagu
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
