Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.589.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 52.52.2####.56:80
- TCP(HTTP/1.1) go.hotw####.top:80
- TCP(HTTP/1.1) cdn.app.kac####.####.com:80
- TCP(HTTP/1.1) w####.gnu.org:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) 1####.76.224.67:80
- TCP(HTTP/1.1) www.go####.com:80
- TCP(HTTP/1.1) cdn.game####.org:80
Запросы DNS:
- a.appj####.com
- cdn.app.kac####.cn
- cdn.game####.org
- go.hotw####.top
- w####.gnu.org
- www.go####.com
Запросы HTTP GET:
- cdn.app.kac####.####.com/sfile/201805/07/all/cp_V2.8.5.txt
- cdn.game####.org/strategy/UnknownDev
- cdn.game####.org/strategy/base
- cdn.game####.org/strategy/dev_root
- cdn.game####.org/strategy/dev_root2
- cdn.game####.org/strategy/larger4.3
- cdn.game####.org/strategy/loss_4.3
- cdn.game####.org/strategy/sul18
- cdn.game####.org/strategy/symlink-adbd
- w####.gnu.org/graphics/fsf-logo-notext-small.png
- w####.gnu.org/graphics/gnu-head-mini.png
- w####.gnu.org/graphics/heckert_gnu.transp.small.png
- w####.gnu.org/graphics/lgplv3-147x51.png
- w####.gnu.org/layout.min.css
- w####.gnu.org/licenses/lgpl.html
- w####.gnu.org/mini.css
- w####.gnu.org/print.min.css
- w####.gnu.org/reset.css
- www.go####.com/complete/search?hl=####&client=####&q=####
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
- go.hotw####.top/cpgg/cnflr/qt
- go.hotw####.top/cpgg/gzaog/juuy/i
- go.hotw####.top/cpgg/hty/uy
- go.hotw####.top/cpgg/onbh/kbu
- go.hotw####.top/cpgg/tfqpb/rdc/sdf
- go.hotw####.top/cpgg/xd/p
- go.hotw####.top/sdf/glqta
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/0cfcd3d2-f3eb-4ea8-ab99-592ffdb96c16
- /data/data/####/11249faa-56fc-4f51-ad9e-0032877ed8c5
- /data/data/####/1740c449fc10be62df60ba0f18696c9f
- /data/data/####/25a3e51b-a70f-4d5f-9798-481162f2af72
- /data/data/####/32edd79a240b5f1e461d069caab1ec3e
- /data/data/####/34180be0-c06d-4911-9b2e-137b7b31ef87
- /data/data/####/47e7cdc1-d0ba-4a1d-9137-42d4531c5128
- /data/data/####/732b2f1e-2b43-499b-931c-24a4480d44c4
- /data/data/####/8b6f263391259b7a8e5f58ee71852ca8
- /data/data/####/9d0da5c2-4435-498b-9684-cf8fbd29c64d
- /data/data/####/Matrix
- /data/data/####/SUBOXLOG_
- /data/data/####/b0141e478b25af7c40a8cca8de6c4708
- /data/data/####/b10eecf0-375b-48bf-bee0-4e2fc414cf4a
- /data/data/####/b18a021d11a3004d25017230b681476b
- /data/data/####/b6b97504-a874-47c4-9e22-98b9b4239a4a
- /data/data/####/c61913b615fb6224701377a119081f36
- /data/data/####/checker.jar
- /data/data/####/d9e79f3b-196b-4565-9501-5b30d0220128
- /data/data/####/ddexe
- /data/data/####/debuggerd
- /data/data/####/device.db
- /data/data/####/el.jar
- /data/data/####/fileWork
- /data/data/####/google_analytics.db-journal
- /data/data/####/hidden_files.sqlite
- /data/data/####/hidden_files.sqlite-journal
- /data/data/####/install-recovery.sh
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/kr.xml
- /data/data/####/kr.xml (deleted)
- /data/data/####/kr.xml.bak
- /data/data/####/libffmpeg.so
- /data/data/####/libjiagu.so
- /data/data/####/nhb.hahfhk.ufhayu_preferences.xml
- /data/data/####/origin.7z
- /data/data/####/pidof
- /data/data/####/qsb.xml
- /data/data/####/rockplayer2.sqlite
- /data/data/####/rockplayer2.sqlite-journal
- /data/data/####/root3
- /data/data/####/rv.jar
- /data/data/####/su
- /data/data/####/subox.xml
- /data/data/####/supolicy
- /data/data/####/t_u.db-journal
- /data/data/####/toolbox
- /data/data/####/webview.db-journal
- /data/data/####/wsroot.sh
- /data/data/####/wv.xml
- /data/media/####/.nomedia
- /data/media/####/V2.8.5.txt
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- chmod 777 Matrix ddexe debuggerd device.db fileWork install-recovery.sh pidof root3 su supolicy toolbox wsroot.sh
- chmod 777 Matrix ddexe debuggerd fileWork install-recovery.sh pidof su supolicy toolbox wsroot.sh
- sh
Загружает динамические библиотеки:
- _gm360
- cpu-features
- libffmpeg
- libjiagu
- librockplayer2
- lzmaup
Использует следующие алгоритмы для расшифровки данных:
- DES
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
