Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.2776
- Android.DownLoader.570.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) s.wagbr####.alibaba####.com:80
- TCP(HTTP/1.1) hm.b####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.net:80
- TCP(HTTP/1.1) oc.u####.com:80
- TCP(HTTP/1.1) www.zuoye####.com.cn:80
- TCP(HTTP/1.1) j####.qin####.com:80
- TCP(TLS/1.0) h####.b####.com.####.com:443
- TCP a3.a####.com:7701
- TCP a3.a####.com:7703
- TCP a3.a####.com:7702
Запросы DNS:
- a####.u####.com
- a3.a####.com
- au.u####.co
- au.u####.com
- cdn.static####.org
- h####.b####.com
- hm.b####.com
- j####.qin####.com
- oc.u####.com
- www.zuoye####.com.cn
Запросы HTTP GET:
- hm.b####.com/h.js?1b9d92d####
- hm.b####.com/hm.gif?cc=####&ck=####&cl=####&ds=####&vl=####&ep=####&et=#...
- hm.b####.com/hm.gif?cc=####&ck=####&cl=####&ds=####&vl=####&et=####&ja=#...
- j####.qin####.com/app_capture-help/app.capture.help-2.css
- j####.qin####.com/app_capture-help/arrow_right.png
- j####.qin####.com/app_capture-help/capture_1.png
- j####.qin####.com/app_capture-help/capture_2.png
- j####.qin####.com/app_capture-help/capture_3.png
- j####.qin####.com/app_capture-help/dash.png
- j####.qin####.com/app_capture-help/help_capture.png
- j####.qin####.com/app_capture-help/help_right.png
- j####.qin####.com/app_capture-help/help_wrong.png
- j####.qin####.com/app_capture-help/right_1.png
- j####.qin####.com/app_capture-help/right_2.png
- j####.qin####.com/app_capture-help/wrong_1.png
- j####.qin####.com/app_capture-help/wrong_2.png
- j####.qin####.com/app_capture-help/wrong_3.png
- j####.qin####.com/app_capture-help/wrong_4.png
- j####.qin####.com/app_capture-help/wrong_5.png
- j####.qin####.com/app_capture-help/wrong_6.png
- j####.qin####.com/app_capture-help/wrong_7.png
- t####.c####.q####.####.net/jquery/1.11.0/jquery.min.js
- www.zuoye####.com.cn/app/banners?platform=####&dpi=####&v=####
- www.zuoye####.com.cn/app/splash/san4?w=####
- www.zuoye####.com.cn/html/app-capture-help.html
- www.zuoye####.com.cn/security/ocrtoken?id=####&sn=####
- www.zuoye####.com.cn/tk/pointRandom
Запросы HTTP POST:
- a####.u####.com/app_logs
- oc.u####.com/check_config_update
- s.wagbr####.alibaba####.com/api/check_app_update
- www.zuoye####.com.cn/security/jytoken
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-11711265601425525583
- /data/data/####/-771132034-12413057
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/.tpns.xml.xml
- /data/data/####/0.jar
- /data/data/####/JingYouMath.db-journal
- /data/data/####/aa.xml
- /data/data/####/aa356507059351895.xml
- /data/data/####/bb356507059351895.xml
- /data/data/####/cc356507059351895.xml
- /data/data/####/com.jingyou.smath.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/f_00000c
- /data/data/####/f_00000d
- /data/data/####/index
- /data/data/####/libjiagu.so
- /data/data/####/mobclick_agent_cached_com.jingyou.smath1020
- /data/data/####/mobclick_agent_online_setting_com.jingyou.smath.xml
- /data/data/####/push_message.db-journal
- /data/data/####/result_xml_pdf_template.so
- /data/data/####/soi.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.nomedia
- /data/media/####/journal.tmp
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- bspatch
- ii
- libjiagu
- tpnsSecurity
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
