Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Dowgin.14.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(TLS/1.0) 1####.217.17.142:443
- TCP(TLS/1.0) api.face####.com:443
- TCP(TLS/1.0) sett####.crashly####.com:443
- TCP(TLS/1.0) a####.neuralp####.com:443
- TCP(TLS/1.0) api####.neuralp####.com:443
Запросы DNS:
- a####.neuralp####.com
- a.appj####.com
- api####.neuralp####.com
- g####.face####.com
- ii.ti.its####.cn
- sett####.crashly####.com
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/1b7dc5dcdd9a9dde7db0fb53614a055bc9de5b7e9e5ec05....0.tmp
- /data/data/####/42d380c1638b9f82340f71588d3260699aec3c524bba537....0.tmp
- /data/data/####/495b179ca6df24616a0aafac8350fef69a3b9d6ff110e26....0.tmp
- /data/data/####/5AF3D797002E-0001-0820-82A3863E112BBeginSession.cls_temp
- /data/data/####/5AF3D797002E-0001-0820-82A3863E112BSessionApp.cls_temp
- /data/data/####/5AF3D797002E-0001-0820-82A3863E112BSessionDevice.cls_temp
- /data/data/####/5AF3D797002E-0001-0820-82A3863E112BSessionEvent...s_temp
- /data/data/####/5AF3D797002E-0001-0820-82A3863E112BSessionOS.cls_temp
- /data/data/####/6d500464a27671defceb9f738c6f63d3.0.tmp
- /data/data/####/6d500464a27671defceb9f738c6f63d3.1.tmp
- /data/data/####/70c7f9f330f681c3f2eae81dd111c0cdb81590f0e0ae240....0.tmp
- /data/data/####/8e68ce73a52151fbdbfa4d15c4c793b8c7bd8358b51e20c....0.tmp
- /data/data/####/96090.xml
- /data/data/####/AppEventsLogger.persistedevents
- /data/data/####/Prisma.xml
- /data/data/####/TwitterAdvertisingInfoPreferences.xml
- /data/data/####/a71a9c5621a0196b1e09fdbf396a9e54c9f8bc20b748833....0.tmp
- /data/data/####/bd1e74bf46a6c63f4d428904819e0bbe52118e1a88e4869....0.tmp
- /data/data/####/com.colorowcam.shadow_preferences.xml
- /data/data/####/com.colorowcam.shadowz.jar
- /data/data/####/com.crashlytics.prefs.xml
- /data/data/####/com.crashlytics.sdk.android;answers;settings.xml
- /data/data/####/com.crashlytics.settings.json
- /data/data/####/com.facebook.internal.preferences.APP_SETTINGS.xml
- /data/data/####/com.facebook.sdk.appEventPreferences.xml
- /data/data/####/com.facebook.sdk.attributionTracking.xml
- /data/data/####/com.google.android.gms.appid-no-backup
- /data/data/####/com.google.android.gms.appid.xml
- /data/data/####/com.google.android.gms.measurement.prefs.xml
- /data/data/####/crashlytics-userlog-5AF3D797002E-0001-0820-82A3...B.temp
- /data/data/####/crashlytics-userlog-5AF3D797002E-0001-0820-82A3...mp.tmp
- /data/data/####/d07f71f135a987d1124c1d3ed8f3bd691b95deb21203b58....0.tmp
- /data/data/####/f1b5843a0d8bd4f47eb727f79ba5556598e7e4deab256c1....0.tmp
- /data/data/####/fa7968681247ab1e4c0b621e182586503b47ea3f05cee16....0.tmp
- /data/data/####/ffeddc2ab66ef17461a1051ee22d9f47ac3647262c3abb6....0.tmp
- /data/data/####/initialization_marker
- /data/data/####/install_tracker.xml
- /data/data/####/io.fabric.sdk.android;fabric;c.a.a.a.p.xml
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/journal.tmp
- /data/data/####/libjiagu.so
- /data/data/####/persisted_config
- /data/data/####/sa_023b237b-ce5e-495c-b48c-e070dbeccd77_1525929879504.tap
- /data/data/####/session_analytics.tap
- /data/data/####/session_analytics.tap.tmp
- /data/data/####/session_tracker.xml
- /data/data/####/statistics.xml
- /data/data/####/webview.db-journal
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
- us64e
Использует следующие алгоритмы для шифрования данных:
- DES
Использует следующие алгоритмы для расшифровки данных:
- DES
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к интерфейсу камеры.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
