Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Dowgin.14.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) t.p####.ico####.com:80
- TCP(HTTP/1.1) a####.exc.mob.com:80
- TCP(HTTP/1.1) oc.u####.com:80
- TCP(HTTP/1.1) p####.ico####.com:80
- TCP(HTTP/1.1) api.s####.mob.com:80
- TCP(HTTP/1.1) 7s####.v2.com.####.com:80
- TCP(TLS/1.0) gl####.w.kunl####.####.com:443
- TCP(TLS/1.0) nm.a####.com:443
Запросы DNS:
- a####.exc.mob.com
- a####.u####.com
- api.s####.mob.com
- c####.comi####.cn
- cdn.ico####.com
- oc.u####.com
- p####.ico####.com
- t.p####.ico####.com
- u####.comi####.cn
Запросы HTTP GET:
- 7s####.v2.com.####.com/10565_ccover_846acae958ea2257.jpg?imageVi####
- 7s####.v2.com.####.com/11019_ccover_4c64e99b31a1b010.jpg?imageVi####
- 7s####.v2.com.####.com/11186_ccover_ec874e765f752934.jpg?imageVi####
- 7s####.v2.com.####.com/11300_ccover_11c7f3a574fb6623.jpg?imageVi####
- 7s####.v2.com.####.com/11625_ccover_ce10f3f3fdc34311.jpg?imageVi####
- 7s####.v2.com.####.com/11749_ccover_hp_7f94661f64c3ec61.jpg?imageVi####
- 7s####.v2.com.####.com/11944_ccover_26ea0389f7fa0730.jpg?imageVi####
- 7s####.v2.com.####.com/12020_21_acover_3f878f449a0f33ee.jpg?imageVi####
- 7s####.v2.com.####.com/12020_22_acover_79f4b5e9ccbdfd09.jpg?imageVi####
- 7s####.v2.com.####.com/12020_23_acover_f6aa5764cb7b24a5.jpg?imageVi####
- 7s####.v2.com.####.com/12020_24_acover_64605411f5841299.jpg?imageVi####
- 7s####.v2.com.####.com/12020_25_acover_a8c2380c8ba960fd.jpg?imageVi####
- 7s####.v2.com.####.com/12020_26_acover_91023f63dd09ceee.jpg?imageVi####
- 7s####.v2.com.####.com/12020_27_acover_bb23c2b0f32387bd.jpg?imageVi####
- 7s####.v2.com.####.com/12020_28_acover_b871628ee0743062.jpg?imageVi####
- 7s####.v2.com.####.com/12020_29_acover_4344ff07f8a95867.jpg?imageVi####
- 7s####.v2.com.####.com/12020_30_acover_122907d100f9398a.jpg?imageVi####
- 7s####.v2.com.####.com/12020_31_acover_4e032a1fe4010396.jpg?imageVi####
- 7s####.v2.com.####.com/12020_32_acover_3322f5c982e8210a.jpg?imageVi####
- 7s####.v2.com.####.com/12020_ccover_57d0714ef8d30b33.jpg?imageVi####
- 7s####.v2.com.####.com/12020_ccover_hl_8cc563823ddf3481.jpg?imageVi####
- 7s####.v2.com.####.com/12034_ccover_hp_4195a3916b4eef01.jpg?imageVi####
- 7s####.v2.com.####.com/12042_ccover_hp_6828f3bf28eb553c.jpg?imageVi####
- 7s####.v2.com.####.com/12486_ccover_066c94da2a61a741.jpg?imageVi####
- 7s####.v2.com.####.com/12536_ccover_e7ac9b8d9897c5ef.jpg?imageVi####
- 7s####.v2.com.####.com/707_ccover_15013fa5afc813ec.jpg?imageVi####
- 7s####.v2.com.####.com/77_139_acover_3fae978c2011b820.jpg?imageVi####
- 7s####.v2.com.####.com/77_140_acover_f8f226062ae827e3.jpg?imageVi####
- 7s####.v2.com.####.com/77_141_acover_0e84c03a85fc89a1.jpg?imageVi####
- 7s####.v2.com.####.com/77_142_acover_55c94cfb8896d39d.jpg?imageVi####
- 7s####.v2.com.####.com/77_143_acover_261db32beafdfcce.jpg?imageVi####
- 7s####.v2.com.####.com/77_144_acover_797f3958c5805b0e.jpg?imageVi####
- 7s####.v2.com.####.com/77_145_acover_72e1d065cf66d8eb.jpg?imageVi####
- 7s####.v2.com.####.com/77_146_acover_a4eca59b21ec6fb3.jpg?imageVi####
- 7s####.v2.com.####.com/77_147_acover_4345e402c37101d2.jpg?imageVi####
- 7s####.v2.com.####.com/77_148_acover_2742a076c0903203.jpg?imageVi####
- 7s####.v2.com.####.com/77_149_acover_c1d599c25d0db8eb.jpg?imageVi####
- 7s####.v2.com.####.com/77_150_acover_ce58e9682d885065.jpg?imageVi####
- 7s####.v2.com.####.com/77_ccover_f8a8ab492151efa7.jpg?imageVi####
Запросы HTTP POST:
- a####.exc.mob.com/errconf
- a####.u####.com/app_logs
- api.s####.mob.com/conf4
- api.s####.mob.com/conn
- api.s####.mob.com/data2
- api.s####.mob.com/log4
- api.s####.mob.com/snsconf
- oc.u####.com/v2/check_config_update
- oc.u####.com/v2/get_update_time
- p####.ico####.com/categorylist
- p####.ico####.com/handshake
- p####.ico####.com/homepage
- t.p####.ico####.com/allcomic
- t.p####.ico####.com/comicdetail
- t.p####.ico####.com/epinfo
- t.p####.ico####.com/getcomments2
- t.p####.ico####.com/getextinfo
- t.p####.ico####.com/splashinfo
- t.p####.ico####.com/syncextinfo
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/20046f0f6f80b38f892986c3c06e03cex.jar
- /data/data/####/Alvin2.xml
- /data/data/####/AppStore.xml
- /data/data/####/ContextData.xml
- /data/data/####/ICOMICO_PREFERENCE.xml
- /data/data/####/ThrowalbeLog.db-journal
- /data/data/####/icomico_db-journal
- /data/data/####/libjiagu-1085698736.so
- /data/data/####/mob_sdk_exception_1.xml
- /data/data/####/mobclick_agent_cached_com.airsky.comics.day440
- /data/data/####/mobclick_agent_online_setting_com.airsky.comics.day.xml
- /data/data/####/share_sdk_1.xml
- /data/data/####/sharesdk.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_message_state.xml
- /data/data/####/webview.db-journal
- /data/data/####/z2b9e5162.xml
- /data/media/####/.ba
- /data/media/####/.dk
- /data/media/####/.lock
- /data/media/####/12jyombwfqi362m5rfghwh6xk.0.tmp
- /data/media/####/177ahsw77jfdrg99ho10ior23.0.tmp
- /data/media/####/1gkzmckj6ycq3o3m3uxq913a8.0.tmp
- /data/media/####/1js3nzqsoy0rrzbzhgx1c115x.0.tmp
- /data/media/####/1m3cag4m23vjb9lxg73kqipzq.0.tmp
- /data/media/####/1wvx9k6k4wa08dpjlnsi6f90g.0.tmp
- /data/media/####/1xxcvkfqqfb4brfocbskzvwyb.0.tmp
- /data/media/####/2q25ug4r9l4khmg3wyti7aj96.0.tmp
- /data/media/####/2w6ay5kwrr3860e0e6ou3yyi3.0.tmp
- /data/media/####/2xazprej04w2ia4s9u05h8lld.0.tmp
- /data/media/####/30ix3blv263dj4gbp6zw9gkdo.0.tmp
- /data/media/####/30oqrnb6w7evsyf7r4qbmh3rx.0.tmp
- /data/media/####/34zgj7jitd4d4qhafqg1xcwgq.0.tmp
- /data/media/####/35v79t9ihna0zaywq7yrra4g3.0.tmp
- /data/media/####/3t5r6zecdzpkmw4fjkik0d90q.0.tmp
- /data/media/####/3tuu75pk1b4s580cml59r3sfs.0.tmp
- /data/media/####/42kq826lacy6lcfd574zeh3ni.0.tmp
- /data/media/####/4aa4gkgv32gk84sykpwvremus.0.tmp
- /data/media/####/4ejmjepl4ygr2purkcbk2c344.0.tmp
- /data/media/####/4oe1ptamn2xrt0w53rcyej10c.0.tmp
- /data/media/####/4ukf7deixieqmt161yx78hdig.0.tmp
- /data/media/####/4vz1xiptm7itjgwh325w54gj9.0.tmp
- /data/media/####/550ltj80y37fwaltqh7jb2ehw.0.tmp
- /data/media/####/56v4recwz9x2gpx0g0v5r41nt.0.tmp
- /data/media/####/59q0xp0oql23ivmy1r1wyk3bg.0.tmp
- /data/media/####/5b2fcdcny4gxdkrvwmshaycx7.0.tmp
- /data/media/####/5buaxbqjwa936sc6dbnnmcxkz.0.tmp
- /data/media/####/5eyluv3hyi2hk6oq7dr438pua.0.tmp
- /data/media/####/5lobh8a7ugz0n4gei7w7j2yh6.0.tmp
- /data/media/####/5lxkjvzuwjoxiib8gzfhfhy7y.0.tmp
- /data/media/####/642bd73nhv279ch7vmplrpgep.0.tmp
- /data/media/####/65jr3pmz26hb0il0d2qn9ndz3.0.tmp
- /data/media/####/6ssdz38y0v40c2q3a8wwz6osu.0.tmp
- /data/media/####/9e1lo0afbdkpdy4pcqsqsssp.0.tmp
- /data/media/####/9ozovpfesjom08pt0ohyvca7.0.tmp
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/btn3whyxgyizgywtz7ru6kk.0.tmp
- /data/media/####/epch2gtldihpbhrfs6ba1718.0.tmp
- /data/media/####/journal.tmp
- /data/media/####/rzdunbm3x8nka7457p7xa2ok.0.tmp
- /data/media/####/ta7o88mnagra71q1kra4ej94.0.tmp
- /data/media/####/v9h0b0aaxnktw3wkzmw227e8.0.tmp
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu-1085698736.so
Загружает динамические библиотеки:
- libjiagu-1085698736
- neh
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS7Padding
- DES
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
