Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.2083
- Android.DownLoader.546.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(TLS/1.0) a####.neuralp####.com:443
- TCP(TLS/1.0) api.face####.com:443
- TCP(TLS/1.0) sett####.crashly####.com:443
- TCP(TLS/1.0) cdn.neuralp####.com:443
- TCP(TLS/1.0) g####.accoun####.com:443
- TCP(TLS/1.0) api####.neuralp####.com:443
- TCP(TLS/1.0) 1####.217.20.78:443
Запросы DNS:
- a####.neuralp####.com
- a.appj####.com
- api####.neuralp####.com
- cdn.neuralp####.com
- g####.accoun####.com
- g####.face####.com
- sett####.crashly####.com
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/1093e93aa5828aa77192b9ceec4610fb5de6d8ebc408205....0.tmp
- /data/data/####/220f8d23742b138175adec844d34344d.0.tmp
- /data/data/####/220f8d23742b138175adec844d34344d.1.tmp
- /data/data/####/3d31afa24bb8c92e83ce61c268094234.0.tmp
- /data/data/####/3d31afa24bb8c92e83ce61c268094234.1.tmp
- /data/data/####/45941fcd2ad935975812449f9364d21e.0.tmp
- /data/data/####/45941fcd2ad935975812449f9364d21e.1.tmp
- /data/data/####/4e5d6c92a94ee168d2b145e26ba37310.0.tmp
- /data/data/####/4e5d6c92a94ee168d2b145e26ba37310.1.tmp
- /data/data/####/62e2b7d13577efd119cb2b80807d6941.0.tmp
- /data/data/####/62e2b7d13577efd119cb2b80807d6941.1.tmp
- /data/data/####/64b202add9edaffda0b91e905497fb86.0.tmp
- /data/data/####/64b202add9edaffda0b91e905497fb86.1.tmp
- /data/data/####/97c32f76155c934d22ec72eac60155576cc26ebc325e75a....0.tmp
- /data/data/####/9a7be7f5df95d1e6f8ff00d90623c827930867e60723737....0.tmp
- /data/data/####/AppEventsLogger.persistedevents
- /data/data/####/IMG_20180420_153449.jpg
- /data/data/####/Prisma.xml
- /data/data/####/TwitterAdvertisingInfoPreferences.xml
- /data/data/####/ae0f7c46d074d5d1133b766388ba07b3ab334d91c9927ac....0.tmp
- /data/data/####/analytics_queue.tmp
- /data/data/####/com.crashlytics.prefs.xml
- /data/data/####/com.crashlytics.sdk.android;answers;settings.xml
- /data/data/####/com.crashlytics.settings.json
- /data/data/####/com.facebook.accountkit.sdk.appEventPreferences.xml
- /data/data/####/com.facebook.internal.preferences.APP_SETTINGS.xml
- /data/data/####/com.facebook.sdk.appEventPreferences.xml
- /data/data/####/com.facebook.sdk.attributionTracking.xml
- /data/data/####/com.gjdg.neuralprisma.odex
- /data/data/####/com.gjdg.neuralprisma.zip
- /data/data/####/com.gjdg.neuralprisma_preferences.xml
- /data/data/####/com.google.android.gms.appid-no-backup
- /data/data/####/com.google.android.gms.appid.xml
- /data/data/####/com.google.android.gms.measurement.prefs.xml
- /data/data/####/d7034d9a14d2e197df82fb596c45f8837096be5b9d65005....0.tmp
- /data/data/####/db_public-journal
- /data/data/####/e4094c7bab370456cfa0c7885ed4d1973faaff0d169cbd8....0.tmp
- /data/data/####/e8db4a24d57dcb57ab25709b65af063f.0.tmp
- /data/data/####/e8db4a24d57dcb57ab25709b65af063f.1.tmp
- /data/data/####/f5ca25992daa5050a007070e284d2b12c82012765281293....0.tmp
- /data/data/####/google_app_measurement_local.db
- /data/data/####/google_app_measurement_local.db-journal
- /data/data/####/install_tracker.xml
- /data/data/####/io.fabric.sdk.android;fabric;c.a.a.a.m.xml
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/journal.tmp
- /data/data/####/libjiagu.so
- /data/data/####/multidex.version.xml
- /data/data/####/persisted_config
- /data/data/####/sa_15756661-448e-4cd9-825e-658b857730d7_1524238489496.tap
- /data/data/####/session_analytics.tap
- /data/data/####/session_analytics.tap.tmp
- /data/data/####/session_tracker.xml
- /data/data/####/statistics.xml
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к интерфейсу камеры.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
