Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.683.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) app.onetwo####.top.####.com:80
- TCP(HTTP/1.1) p####.tc.qq.com:80
- TCP(HTTP/1.1) mobads-####.b####.com:80
- TCP(HTTP/1.1) s####.e.qq.com:80
- TCP(HTTP/1.1) mo####.b####.com:80
- TCP(HTTP/1.1) 1####.76.224.67:80
- TCP(HTTP/1.1) mi.g####.qq.com:80
- TCP(HTTP/1.1) cdn.game####.org:80
- TCP(TLS/1.0) hm.b####.com:443
- TCP(TLS/1.0) k####.onetwo####.top:443
- TCP(TLS/1.0) mobads-####.b####.com:443
Запросы DNS:
- app.onetwo####.top
- cdn.app.h####.top
- cdn.game####.org
- cdn.img.h####.top
- hm.b####.com
- imgc####.qq.com
- k####.onetwo####.top
- mi.g####.qq.com
- mo####.b####.com
- mobads-####.b####.com
- qzones####.g####.cn
- s####.e.qq.com
Запросы HTTP GET:
- app.onetwo####.top.####.com/swenjian/ac
- app.onetwo####.top.####.com/upload/201805/10/app/20180510210304434.apk
- app.onetwo####.top.####.com/upload/201805/10/img/20180510210257372.png
- cdn.game####.org/strategy/base
- cdn.game####.org/strategy/dev_root2
- cdn.game####.org/strategy/loss_4.3
- cdn.game####.org/strategy/sul18
- mi.g####.qq.com/gdt_mview.fcg?posw=####&posh=####&count=####&r=####&data...
- mo####.b####.com/ads/ads.appcache
- mo####.b####.com/ads/css/min/main.css
- mo####.b####.com/ads/index.htm
- mo####.b####.com/ads/js/ads.trunk.exp.ap.js
- mo####.b####.com/ads/js/ads.trunk.js
- mo####.b####.com/ads/js/c.exp.ap.js
- mo####.b####.com/ads/js/c.js
- mo####.b####.com/ads/pa/8/__pasys_remote_banner.php??bdr=####&os=####&v=...
- mo####.b####.com/ads/pa/8/__xadsdk__remote__8.7043.jar
- mo####.b####.com/ads/preload.php
- mo####.b####.com/cpro/ui/mads.php?code2=####&b1526021282837=####
- mo####.b####.com/cpro/ui/mads.php?code2=####&b1526021294409=####
- mobads-####.b####.com/dz.zb?type=####&exps=####
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/ad_logo.png
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/icon-close.png
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/inter_close_lo...
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/popup_ad_car_b...
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/tsa_ad_logo.png
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/images/tsa_logo.png
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/interstitial.appcache
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/interstitial.html
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/js-release/20170821/i...
- p####.tc.qq.com/qzone/biz/gdt/mob/sdk/v2/android01/js/lib/require.js
- p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
Запросы HTTP POST:
- s####.e.qq.com/activate
- s####.e.qq.com/err
- s####.e.qq.com/launch
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/10cace33-318c-44f8-805c-bdca2f3abc01
- /data/data/####/1740c449fc10be62df60ba0f18696c9f
- /data/data/####/2239.yaqcookie
- /data/data/####/2c33e69f-5e82-45d5-bc75-64db1db614d0
- /data/data/####/32edd79a240b5f1e461d069caab1ec3e
- /data/data/####/4238fada-39ff-4fdf-944e-9bc52fd2e6ed
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/BuglySdkInfos.xml
- /data/data/####/GDTSDK.db
- /data/data/####/GDTSDK.db-journal
- /data/data/####/Matrix
- /data/data/####/PxbService.jar
- /data/data/####/PxbService.xml
- /data/data/####/SUBOXLOG_
- /data/data/####/UaeActivity.xml
- /data/data/####/__x_adsdk_agent_header__.xml
- /data/data/####/__xadsdk__remote__final__4d343d6b-acc6-405a-9a2...bb.jar
- /data/data/####/__xadsdk__remote__final__builtin__.jar
- /data/data/####/__xadsdk_downloaded__version__.xml
- /data/data/####/alldown.xml
- /data/data/####/b74a3d85-2d13-4ca9-b5f2-ebed1f2bc649
- /data/data/####/c3ec1c44-bbad-40ae-8f64-166b4e08c14a.jar
- /data/data/####/c8516d28-9ecf-4a21-b401-63512a592bc2
- /data/data/####/com.baidu.mobads.loader.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/ddexe
- /data/data/####/debuggerd
- /data/data/####/devCloudSetting.cfg
- /data/data/####/devCloudSetting.sig
- /data/data/####/device.db
- /data/data/####/dexMethod.75281091.dat
- /data/data/####/ebn.xml
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/fileWork
- /data/data/####/gdt_plugin.dex (deleted)
- /data/data/####/gdt_plugin.jar
- /data/data/####/gdt_plugin.jar.sig
- /data/data/####/gdt_plugin.tmp
- /data/data/####/gdt_plugin.tmp.sig
- /data/data/####/gdt_suid
- /data/data/####/http_mobads.baidu.com_0.localstorage-journal
- /data/data/####/index
- /data/data/####/install-recovery.sh
- /data/data/####/libjiagu.so
- /data/data/####/libyaqbasic.75281091.so
- /data/data/####/libyaqpro.75281091.so
- /data/data/####/pidof
- /data/data/####/pqwn.db-journal
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/root3
- /data/data/####/sdkCloudSetting.cfg
- /data/data/####/sdkCloudSetting.sig
- /data/data/####/su
- /data/data/####/supolicy
- /data/data/####/toolbox
- /data/data/####/update_lc
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromium.db-journal (deleted)
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/data/####/wsroot.sh
- /data/data/####/yaqsdkcookie
- /data/media/####/4cb36fb85bff56d757a092288077c3b0.apk
- /data/media/####/ap314.tmp
- /data/media/####/e82134ad92409
- /data/media/####/im314.tmp
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- chmod 777 /storage/emulated/0/instal/4cb36fb85bff56d757a092288077c3b0.apk
- chmod 777 Matrix ddexe debuggerd device.db fileWork install-recovery.sh pidof root3 su supolicy toolbox wsroot.sh
- chmod 777 Matrix ddexe debuggerd fileWork install-recovery.sh pidof su supolicy toolbox wsroot.sh
- sh
- su
Загружает динамические библиотеки:
- libjiagu
- libyaqbasic.75281091
- libyaqpro.75281091
Использует следующие алгоритмы для шифрования данных:
- AES-ECB-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует повышенные привилегии.
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к интерфейсу камеры.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
