Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Xiny.20
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) c####.baidust####.com:80
- TCP(HTTP/1.1) m.xuezi####.com.####.com:80
- TCP(HTTP/1.1) a.sm####.cn:80
- TCP(HTTP/1.1) mo####.b####.com:80
- TCP(HTTP/1.1) int.d####.s####.####.cn:80
- TCP(HTTP/1.1) s####.jom####.com:80
- TCP(HTTP/1.1) wc.find####.cc.####.com:80
- TCP(HTTP/1.1) c.c####.com:80
- TCP(HTTP/1.1) t.xuezi####.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) im.xuezi####.cn:80
- TCP(HTTP/1.1) pos.b####.com:80
- TCP(HTTP/1.1) z.c####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) si####.jom####.com:80
- TCP(HTTP/1.1) wn.pos.b####.com:80
- TCP(HTTP/1.1) a.xuezi####.com.####.net:80
- TCP(HTTP/1.1) v.xuezi####.com:80
- TCP(HTTP/1.1) i.xuezi####.com:80
- TCP(HTTP/1.1) qq.com.yuchan####.####.cn:80
- TCP(HTTP/1.1) b.xuezi####.com.####.net:80
- TCP(TLS/1.0) c####.baidust####.com:443
Запросы DNS:
- a####.u####.com
- a.appj####.com
- a.sm####.cn
- a.xuezi####.com
- api.s####.b####.com
- b.xuezi####.com
- c####.baidust####.com
- c####.baidust####.com
- c.c####.com
- cm.pos.b####.com
- d####.xuezi####.com
- em.b####.com
- f11.b####.com
- i.xuezi####.com
- im.xuezi####.cn
- int.d####.s####.####.cn
- m####.xuezi####.com
- m.xuezi####.com
- mo####.b####.com
- p####.zhanz####.b####.com
- pos.b####.com
- qq.com.yuchan####.####.cn
- s4.c####.com
- t.xuezi####.com
- t12.b####.com
- v.xuezi####.com
- wc.find####.cc
- wn.pos.b####.com
- z11.c####.com
Запросы HTTP GET:
- a.xuezi####.com.####.net/bvzdlc.js
- a.xuezi####.com.####.net/xskoykopb.js
- a.xuezi####.com.####.net/ytlpzlpqi.js
- b.xuezi####.com.####.net/zlhobvx?fcg=####&ugb=####&bg=####&jrs=####&ypg=...
- c####.baidust####.com/cpro/ui/noexpire/img/2.0.1/bd-logo4.png
- c####.baidust####.com/cpro/ui/pr.js
- c####.baidust####.com/sync.htm?cproid=####
- c.c####.com/core.php?web_id=####&t=####
- c.c####.com/stat.php?id=####&web_id=####
- i.xuezi####.com/index.php?s=####&module=####&view=####
- i.xuezi####.com/index.php?s=####&module=####&view=####&cm=####&tmsg=####...
- i.xuezi####.com/index.php?s=####&view=####&exotic=####&cm=####&tmsg=####...
- i.xuezi####.com/index.php?s=4040&view=login&cm=register&forward=http://i...
- i.xuezi####.com/index.php?s=4040&view=login&forward=http://i.xuezizhai.c...
- i.xuezi####.com/index.php?s=40?s=####&view=####
- i.xuezi####.com/skin/js/irm.js
- i.xuezi####.com/skin/js/jquery.min.js
- i.xuezi####.com/skin/shop/gbk/copy.js
- i.xuezi####.com/skins/mobile/member/image/login_green_bg.jpg
- i.xuezi####.com/skins/mobile/member/images/share_acount.png
- i.xuezi####.com/skins/mobile/member/images/share_mobile.png
- i.xuezi####.com/skins/mobile/member/images/share_qq.png
- i.xuezi####.com/skins/mobile/member/js/jquery.min.js
- i.xuezi####.com/skins/mobile/member/style/login.css
- im.xuezi####.cn/uploads/litimg/20180323/1521769460167393.jpg@!sy_3
- im.xuezi####.cn/uploads/litimg/20180323/1521769576137094.jpg@!sy_3
- im.xuezi####.cn/uploads/litimg/20180323/1521769663709938.jpg@!sy_3
- im.xuezi####.cn/uploads/litimg/20180323/1521769800190975.jpg@!sy_3
- im.xuezi####.cn/uploads/litimg/20180323/1521769905137254.jpg@!sy_3
- im.xuezi####.cn/uploads/litimg/20180323/1521769996273682.jpg@!sy_3
- im.xuezi####.cn/uploads/litimg/20180323/1521771001161455.jpg@!sy_3
- im.xuezi####.cn/uploads/litimg/20180323/1521771345547407.jpg@!sy_3
- im.xuezi####.cn/uploads/litimg/20180323/1521771474146824.jpg@!sy_3
- im.xuezi####.cn/uploads/litimg/20180323/1521771576688207.jpg@!sy_3
- im.xuezi####.cn/uploads/litimg/20180323/1521771792122817.jpg@!sy_3
- im.xuezi####.cn/uploads/litimg/20180323/1521772023429973.jpg@!sy_3
- im.xuezi####.cn/uploads/litimg/20180323/1521772151108620.jpg@!sy_3
- im.xuezi####.cn/uploads/litimg/20180323/1521772281764975.jpg@!sy_3
- int.d####.s####.####.cn/iplookup/iplookup.php?format=####&_=####
- m.xuezi####.com.####.com/khxt/
- m.xuezi####.com.####.com/khxt/snjscsx/rjbyynlpyycs/
- m.xuezi####.com.####.com/skin/js/answer.js
- m.xuezi####.com.####.com/skin/sbdaan/images/home.png
- m.xuezi####.com.####.com/skin/sbdaan/images/icon.png
- m.xuezi####.com.####.com/skin/sbdaan/images/icon_tj.png
- m.xuezi####.com.####.com/skin/sbdaan/images/search.png
- m.xuezi####.com.####.com/skin/sbdaan/images/stow.png
- m.xuezi####.com.####.com/skin/sbdaan/images/wode.png
- m.xuezi####.com.####.com/skin/sbdaan/js/answer.js
- m.xuezi####.com.####.com/skin/sbdaan/js/mainnew.js
- m.xuezi####.com.####.com/skin/sbdaan/js/member.js
- m.xuezi####.com.####.com/skin/sbdaan/style/main.css
- mo####.b####.com/ads/pa/8/__pasys_remote_banner.php?bdr=####&os=####&v=#...
- mo####.b####.com/ads/pa/8/__xadsdk__remote__8.7043.jar
- pos.b####.com/s?hei=####&wid=####&di=####<u=####&dai=####&dc=####&ti=#...
- pos.b####.com/s?hei=####&wid=####&di=####<u=####&ps=####&exps=####&ari...
- pos.b####.com/sync_pos.htm?cproid=####
- s####.jom####.com/push.js
- si####.jom####.com/it/u=2350729714,3073823054&fm=76
- si####.jom####.com/it/u=3631708702,3929097240&fm=76
- si####.jom####.com/it/u=3999218894,4098723769&fm=76
- t.xuezi####.com/uploads/daanbook/h7e/7ef310663b4733f6a86838ce9aaabc74.jpg
- v.xuezi####.com/js/gbk/tool/irm1.1.js
- v.xuezi####.com/js/gbk/tool/jquery.min.js
- wc.find####.cc.####.com/2011/lvs.jar
- wn.pos.b####.com/adx.php?c=####
- z.c####.com/stat.htm?id=####&r=####&lg=####&ntime=####&cnzz_eid=####&sho...
Запросы HTTP POST:
- a####.u####.com/app_logs
- a.appj####.com/ad-service/ad/mark
- a.sm####.cn/cw/cp.action?requestId=####&g=####
- qq.com.yuchan####.####.cn/cw/interface!u2.action?protocol=####&version=#...
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/W_Key.xml
- /data/data/####/__x_adsdk_agent_header__.xml
- /data/data/####/__xadsdk__remote__final__8a63a6a9-5f48-4c0e-9ed...14.jar
- /data/data/####/__xadsdk__remote__final__builtin__.jar
- /data/data/####/__xadsdk_downloaded__version__.xml
- /data/data/####/a.xml
- /data/data/####/com.baidu.mobads.loader.xml
- /data/data/####/com.nfo9137.nzdhlh.r56af5_preferences.xml
- /data/data/####/com.nfo9137.nzdhlh.r56af5_preferences.xml.bak
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/downloadswc
- /data/data/####/downloadswc-journal
- /data/data/####/exchangeIdentity.json
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/index
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/libjiagu.so
- /data/data/####/st.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromium.db-journal (deleted)
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/media/####/4.6_lvs.jar.tmp
- /data/media/####/restime.dat
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
- qfp
Использует следующие алгоритмы для расшифровки данных:
- DES
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Отрисовывает собственные окна поверх других приложений.
