Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.418.origin
Загружает из Интернета следующие детектируемые угрозы:
- Android.Triada.418.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(H) b####.bj####.com.####.com:80
- TCP(HTTP/1.1) ip.ch####.com:80
- TCP(HTTP/1.1) p.icap####.com:6088
- TCP(HTTP/1.1) m.zt####.net:80
- TCP(HTTP/1.1) b####.bj####.com.####.com:80
- TCP(HTTP/1.1) oc.u####.com:80
- TCP(HTTP/1.1) fm####.jo####.cn:80
- TCP(HTTP/1.1) a####.do####.mobi:80
- TCP(HTTP/1.1) c####.c####.com:8356
- TCP(HTTP/1.1) 4####.93.84.189:81
- TCP(HTTP/1.1) y####.z####.com:10091
Запросы DNS:
- a####.do####.mobi
- b####.bj####.com
- c####.c####.com
- cdn.1####.wang
- cdn.xs####.com
- fm####.jo####.cn
- ip.ch####.com
- l####.tq####.com
- m.zt####.net
- oc.u####.com
- p####.6####.com
- p.icap####.com
- u####.laogeda####.com
- v.no####.net
- y####.z####.com
Запросы HTTP GET:
- a####.do####.mobi/FMSD_SDK.json
- a####.do####.mobi/OMA/FMSD_OMA_SDK_DEX.jar
- b####.bj####.com.####.com/d/BGHQF00161819
- b####.bj####.com.####.com/z/2paBGHQF00164x.zip
- b####.bj####.com.####.com/z/qgBGHQF00164x.zip
- fm####.jo####.cn/PromotionWS.asmx/CheckBlackList?sIMEI=####
- ip.ch####.com/getip.aspx
- m.zt####.net/appcenter/videoControl?act=####&cpid=####&urlid=####
- m.zt####.net/appcenter/videoControl?cpid=####&urlid=####
Запросы HTTP POST:
- c####.c####.com:8356/rtn/
- c####.c####.com:8356/rts/
- m.zt####.net/v/a/c
- m.zt####.net/v/a/t
- oc.u####.com/v2/check_config_update
- oc.u####.com/v2/get_update_time
- p.icap####.com:6088/s/
- y####.z####.com:10091/opaService/link
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/44255dc1275afefd38b859eea0ba9e5c.log.temp
- /data/data/####/61059340ea42ebc586294e576e448b8e
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/JSON.xml
- /data/data/####/MessageStore.db-journal
- /data/data/####/MsgLogStore.db-journal
- /data/data/####/SDANFANGSDK.xml
- /data/data/####/SDKVersion.xml
- /data/data/####/String.xml
- /data/data/####/fmsd_sdk.jar
- /data/data/####/fmsd_sdk_standard.jar
- /data/data/####/gameid
- /data/data/####/gameid.zip
- /data/data/####/icon.png
- /data/data/####/icon2.png
- /data/data/####/icon3.png
- /data/data/####/kbsoqk
- /data/data/####/libjiagu.so
- /data/data/####/libumeng.so
- /data/data/####/libumeng.so_32
- /data/data/####/libumeng.so_64
- /data/data/####/minigame1.png
- /data/data/####/minigame2.png
- /data/data/####/minigame3.png
- /data/data/####/minigame4.png
- /data/data/####/omaabc.png
- /data/data/####/omabuildingblocks.png
- /data/data/####/omaclock.png
- /data/data/####/omacolorking.png
- /data/data/####/omacolorshape.png
- /data/data/####/omafindnumber.png
- /data/data/####/omaflowerway.png
- /data/data/####/omagraffiti.png
- /data/data/####/omaguessing.png
- /data/data/####/omalinenumber.png
- /data/data/####/omamusic.png
- /data/data/####/omaorigami.png
- /data/data/####/omapainter.png
- /data/data/####/omapuzzle.png
- /data/data/####/omashape.png
- /data/data/####/omashapecolor.png
- /data/data/####/omasong.png
- /data/data/####/omasort.png
- /data/data/####/omasound.png
- /data/data/####/omaspaceship.png
- /data/data/####/omawatchnumber.png
- /data/data/####/omawritenumber.png
- /data/data/####/onlineconfig_agent_online_setting_com.lhyy.chil...ok.xml
- /data/data/####/opa_link.jar
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/standardSDKVersion.xml
- /data/data/####/standards.xml
- /data/data/####/um_config_c.xml
- /data/data/####/um_data_info_s.xml
- /data/data/####/webview.db-journal
- /data/media/####/.uuidres
- /data/media/####/128GN267.json
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
Другие:
Запускает следующие shell-скрипты:
- cat /proc/version
- cat /sys/class/net/wlan0/address
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- chmod 771 data/data/<Package>/shared_prefs
- getprop
- getprop ro.board.platform
- getprop ro.product.cpu.abi
Загружает динамические библиотеки:
- cocos2dcpp
- libjiagu
- libumeng
- null
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
