Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.3307
- Android.DownLoader.611.origin
Загружает из Интернета следующие детектируемые угрозы:
- Android.DownLoader.611.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) p.hfm####.com:6088
- TCP(HTTP/1.1) p.icap####.com:6088
- TCP(HTTP/1.1) cdn.1####.wang:80
- TCP(HTTP/1.1) w####.pcon####.com.cn:80
- TCP(HTTP/1.1) int.d####.s####.####.cn:80
- TCP(HTTP/1.1) gn.bule####.cn:6801
- TCP(HTTP/1.1) dn.tc####.com:80
- TCP(HTTP/1.1) www.zga####.cn:80
- TCP(TLS/1.0) cdn.on####.mobi:443
- TCP(TLS/1.0) d####.fl####.com:443
- TCP(TLS/1.0) api.centrix####.com:443
- TCP(TLS/1.0) ads.on####.mobi:443
Запросы DNS:
- ads.on####.mobi
- api.centrix####.com
- cdn.1####.wang
- cdn.on####.mobi
- d####.fl####.com
- dn.tc####.com
- gn.bule####.cn
- int.d####.s####.####.cn
- p.hfm####.com
- p.icap####.com
- w####.pcon####.com.cn
- www.zga####.cn
Запросы HTTP GET:
- cdn.1####.wang/sc_151_2
- dn.tc####.com/dnfile/shengjibao/kernel0413_68.jar
- p.hfm####.com:6088/c/1524632208512
Запросы HTTP POST:
- gn.bule####.cn:6801/bvmain.aspx
- int.d####.s####.####.cn/iplookup/iplookup.php?format=####
- p.hfm####.com:6088/p/1524632209546
- p.hfm####.com:6088/s/
- p.icap####.com:6088/s/
- w####.pcon####.com.cn/ip.jsp
- www.zga####.cn/sdk/reportSmsAppInstall
- www.zga####.cn/sdk/requestSmsStatus
Изменения в файловой системе:
Создает следующие файлы:
- /data/anr/traces.txt
- /data/data/####/.YFlurrySenderIndex.info.AnalyticsData_Y238XC5X...VT_254
- /data/data/####/.YFlurrySenderIndex.info.AnalyticsMain
- /data/data/####/.jg.ic
- /data/data/####/.yflurrydatasenderblock.0673afac-9a37-4ea0-bef5...172a2f
- /data/data/####/.yflurrydatasenderblock.117f2ba2-2e95-4ea2-bd0f...71547b
- /data/data/####/.yflurrydatasenderblock.1cba15e7-0f96-4aee-a566...37bb07
- /data/data/####/.yflurrydatasenderblock.356ee77c-1fcc-4490-9821...323b23
- /data/data/####/.yflurrydatasenderblock.3dbc576a-8a2f-4a89-952e...f47878
- /data/data/####/.yflurrydatasenderblock.5d978dda-aff7-4694-807a...fac561
- /data/data/####/.yflurrydatasenderblock.6dbd87ad-ff97-42bd-8205...661cb6
- /data/data/####/.yflurrydatasenderblock.c5a073c5-58fa-476e-930b...0dafce
- /data/data/####/.yflurrydatasenderblock.dd897cd2-058d-40b5-b244...2b709e
- /data/data/####/.yflurrydatasenderblock.ee1c8c93-dae6-4b12-9284...bc7888
- /data/data/####/.yflurryreport.-400b3eedb6f8779f
- /data/data/####/769CEB791F940D482AB220023C3A7CE5.jar
- /data/data/####/769CEB791F940D482AB220023C3A7CE5.tmp
- /data/data/####/Centrixlink_STORE.xml
- /data/data/####/FLURRY_SHARED_PREFERENCES.xml
- /data/data/####/OnewaySdkStorage-ow-pri.json
- /data/data/####/OnewaySdkStorage-ow-pub.json
- /data/data/####/OnewaySdkWebApp.html
- /data/data/####/Test.txt (deleted)
- /data/data/####/VideoRes.apk
- /data/data/####/centrixlink_db
- /data/data/####/centrixlink_db-journal
- /data/data/####/com.yeut.kogkei.com.sdk.a.a_msegpay.db
- /data/data/####/com.yeut.kogkei.com.sdk.a.a_msegpay.db-journal
- /data/data/####/com.yeut.kogkei.xml
- /data/data/####/config
- /data/data/####/config.xml
- /data/data/####/id88b43307-b018-4ed5-b7c5-a6d34c8369d1.tmp
- /data/data/####/installationNum
- /data/data/####/libjiagu-566001058.so
- /data/data/####/lmvideo_db-journal
- /data/data/####/splash.xml
- /data/data/####/uzddjz
- /data/data/####/videokernel.apk
- /data/data/####/videokernel.dex (deleted)
- /data/data/####/webview.db-journal
- /data/media/####/.nomedia
- /data/media/####/adv
- /data/media/####/config
- /data/media/####/deviceId
- /data/media/####/id13d2e7213-e8c1-4e1c-bb64-35802ab98522.tmp
- /data/media/####/id17fa3aec2-de8f-4020-8150-410cf9299ec5.tmp
- /data/media/####/id1a1bbc88b-c23d-4a63-a7ca-a1ad68d885ba.tmp
- /data/media/####/id1be71d531-d452-4023-8891-947053df1ad7.tmp
- /data/media/####/id1d10283e4-7f08-484c-b6ac-c05c006ba789.tmp
- /data/media/####/id1e43856f6-82c7-41b9-97cf-b4a330675723.tmp
- /data/media/####/id23dc0ddd5-9266-404d-9018-6bb558315273.tmp
- /data/media/####/id2424a2287-18a8-4518-ba0e-2b59b105c808.tmp
- /data/media/####/id24ee38440-c765-45de-b4a5-a6fdebb63ddb.tmp
- /data/media/####/id25438cdee-6eeb-40c7-b8c8-c9a22425d576.tmp
- /data/media/####/id2c479ba38-b021-45d3-b086-7f8eee0cfe34.tmp
- /data/media/####/id2ed5cc0cc-2e1c-4e22-a3ce-18a9f3fb72cc.tmp
- /data/media/####/kernel.dat
- /data/media/####/master
- /data/media/####/master.lock
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- cat /sys/class/net/wlan0/address
- chmod 755 <Package Folder>/.jiagu/libjiagu-566001058.so
Загружает динамические библиотеки:
- cocos2djs
- libjiagu-566001058
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из смс сообщений.
Осуществляет доступ к информации об отправленых/принятых смс.
