Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.683.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) alldo####.5####.com.####.net:80
- TCP(HTTP/1.1) app.onetwo####.top.####.com:80
- TCP(HTTP/1.1) db.5####.com:80
- TCP(HTTP/1.1) p####.5####.com.####.net:80
- TCP(HTTP/1.1) 1####.76.224.67:80
- TCP(HTTP/1.1) ka.5####.com:80
- TCP(HTTP/1.1) cdn.game####.org:80
- TCP(TLS/1.0) k####.onetwo####.top:443
Запросы DNS:
- app.onetwo####.top
- cdn.app.h####.top
- cdn.game####.org
- cdn.img.h####.top
- con####.5####.com
- db.5####.com
- fb.u####.com
- k####.onetwo####.top
- ka.5####.com
- p####.5####.com
Запросы HTTP GET:
- alldo####.5####.com.####.net/plus/android/getManhuaVersion.php?action=####
- alldo####.5####.com.####.net/plus/app/wzry.php?type=####&flag=####&perpa...
- alldo####.5####.com.####.net/plus/app/wzry.php?type=####&flag=####&uid=#...
- app.onetwo####.top.####.com/swenjian/ac
- app.onetwo####.top.####.com/upload/201805/10/app/20180510210304434.apk
- app.onetwo####.top.####.com/upload/201805/10/img/20180510210257372.png
- cdn.game####.org/strategy/UnknownDev
- cdn.game####.org/strategy/base
- cdn.game####.org/strategy/dev_root
- cdn.game####.org/strategy/dev_root2
- cdn.game####.org/strategy/larger4.3
- cdn.game####.org/strategy/loss_4.3
- cdn.game####.org/strategy/sul18
- cdn.game####.org/strategy/symlink-adbd
- db.5####.com/wzry/api?type=####
- db.5####.com/wzry/api?type=####&flag=####&page=####
- db.5####.com/wzry/imageapp/hero/icon/12.png
- db.5####.com/wzry/imageapp/hero/icon/18.png
- db.5####.com/wzry/imageapp/hero/icon/43.png
- db.5####.com/wzry/imageapp/hero/icon/46.png
- db.5####.com/wzry/imageapp/hero/icon/49.png
- db.5####.com/wzry/imageapp/hero/icon/58.png
- db.5####.com/wzry/imageapp/hero/icon/6.png
- ka.5####.com/wzry/index?uid=####&pagesize=####&page=####
- p####.5####.com.####.net/files/180502/7247438_095922115.jpg
- p####.5####.com.####.net/files/180503/7812246_114220452.png
- p####.5####.com.####.net/files/180508/7812246_103JA38.png
- p####.5####.com.####.net/files/180510/7812246_105324_1_lit.jpg
- p####.5####.com.####.net/files/180511/7812246_093QN36.png
- p####.5####.com.####.net/files/180511/7812246_094020_1_lit.jpg
- p####.5####.com.####.net/files/180511/7812246_094403_1_lit.jpg
- p####.5####.com.####.net/files/180511/7812246_09493O15.png
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1131452318-1150402223
- /data/data/####/-113145231878243967
- /data/data/####/-192554509-1306597208
- /data/data/####/-1925545091221067039
- /data/data/####/-19255450912810172
- /data/data/####/-656568178111305848
- /data/data/####/-715283375-41910998
- /data/data/####/-7152833752077544773
- /data/data/####/.jg.ic
- /data/data/####/0072bffb-d450-4d75-a005-992961cd3ce8
- /data/data/####/1740c449fc10be62df60ba0f18696c9f
- /data/data/####/1815939064-1964506780
- /data/data/####/1815939064-396048211
- /data/data/####/27610de4-cca3-44bf-99f0-3ef1a3d95ddc
- /data/data/####/2894850522008914098
- /data/data/####/2a507ed4-3ef8-47d5-99bc-433e33a90485
- /data/data/####/3017169c-9f79-459f-a7f5-81559e48df7d.jar
- /data/data/####/32edd79a240b5f1e461d069caab1ec3e
- /data/data/####/45e5b934-5187-4545-aa3b-afc09a488f7d
- /data/data/####/74c538d4-539a-4191-95ba-7e061b4a1fe3
- /data/data/####/751315337-1224885591
- /data/data/####/7513153371575841474
- /data/data/####/8b6f263391259b7a8e5f58ee71852ca8
- /data/data/####/994067302-1464314151
- /data/data/####/994067302-1492019781
- /data/data/####/994067302-1494790344
- /data/data/####/994067302-1497560907
- /data/data/####/994067302-1578830755
- /data/data/####/994067302-1584371881
- /data/data/####/9940673021754568342
- /data/data/####/AppStore.xml
- /data/data/####/DhnService.jar
- /data/data/####/DhnService.xml
- /data/data/####/Matrix
- /data/data/####/SUBOXLOG_
- /data/data/####/SfiActivity.xml
- /data/data/####/TrineaAndroidCommon.xml
- /data/data/####/UmengLocalNotificationStore.db-journal
- /data/data/####/a23e36eb-98f0-4ff2-81ed-bf48261cf04d
- /data/data/####/alldown.xml
- /data/data/####/b0141e478b25af7c40a8cca8de6c4708
- /data/data/####/b035a27b-c69c-43ea-b481-d0127e2a196f.jar
- /data/data/####/b18a021d11a3004d25017230b681476b
- /data/data/####/b24d0d32-49a1-4594-8fa3-246c1aa5d654
- /data/data/####/c61913b615fb6224701377a119081f36
- /data/data/####/c8cc862b-bb80-403b-a3a6-769eafd9f564
- /data/data/####/cd726dcc-cf9b-49ee-a867-c0f5fe075c61
- /data/data/####/com.youxibao.wzry.xml
- /data/data/####/d67355ad-327e-4682-95de-0d5f525842ff
- /data/data/####/dce70921-89aa-4927-930b-87de93281153
- /data/data/####/ddexe
- /data/data/####/debuggerd
- /data/data/####/device.db
- /data/data/####/e0317ed5-fa27-4342-8ba2-a8b8888b3838
- /data/data/####/ebn.xml
- /data/data/####/fb_audio_switch.xml
- /data/data/####/feedback_push.xml
- /data/data/####/fileWork
- /data/data/####/install-recovery.sh
- /data/data/####/libjiagu.so
- /data/data/####/pidof
- /data/data/####/pqwn.db-journal
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/root3
- /data/data/####/su
- /data/data/####/supolicy
- /data/data/####/toolbox
- /data/data/####/umeng_feedback_conversations.xml
- /data/data/####/umeng_feedback_user_info.xml
- /data/data/####/umeng_message_state.xml
- /data/data/####/wsroot.sh
- /data/media/####/4cb36fb85bff56d757a092288077c3b0.apk
- /data/media/####/Hero
- /data/media/####/Item
- /data/media/####/Message
- /data/media/####/Rune
- /data/media/####/ap314.tmp
- /data/media/####/ap314.tmp (deleted)
- /data/media/####/e82134ad92409
- /data/media/####/im314.tmp
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- chmod 777 /storage/emulated/0/instal/4cb36fb85bff56d757a092288077c3b0.apk
- chmod 777 Matrix ddexe debuggerd device.db fileWork install-recovery.sh pidof root3 su supolicy toolbox wsroot.sh
- chmod 777 Matrix ddexe debuggerd fileWork install-recovery.sh pidof su supolicy toolbox wsroot.sh
- sh
Загружает динамические библиотеки:
- libjiagu
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
