Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.2083
- Android.DownLoader.546.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(TLS/1.0) a####.neuralp####.com:443
- TCP(TLS/1.0) g####.neuralp####.com:443
- TCP(TLS/1.0) api.face####.com:443
- TCP(TLS/1.0) 1####.217.17.78:443
- TCP(TLS/1.0) sett####.crashly####.com:443
- TCP(TLS/1.0) g####.accoun####.com:443
- TCP(TLS/1.0) api####.neuralp####.com:443
Запросы DNS:
- a####.neuralp####.com
- a.appj####.com
- api####.neuralp####.com
- g####.accoun####.com
- g####.face####.com
- g####.neuralp####.com
- g####.neuralp####.com
- g####.neuralp####.com
- g####.neuralp####.com
- g####.neuralp####.com
- g####.neuralp####.com
- sett####.crashly####.com
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/23f33042df2714d015255905029ac99a.0.tmp
- /data/data/####/23f33042df2714d015255905029ac99a.1.tmp
- /data/data/####/2fdd741a2539dc9863850b42e313ead72da90557b641d0d....0.tmp
- /data/data/####/33153032fb1f53649115e5e3f08a7f4ed579bfe2ed133dd....0.tmp
- /data/data/####/3fc9314251413b75c68011c820c19cea64a02ce3e54d561....0.tmp
- /data/data/####/45941fcd2ad935975812449f9364d21e.0.tmp
- /data/data/####/45941fcd2ad935975812449f9364d21e.1.tmp
- /data/data/####/6d251d782b04db50009fc1898d9aad780233a9f6759449d....0.tmp
- /data/data/####/84c625a0a804afe4f9b69b99fb8ebe50.0.tmp
- /data/data/####/84c625a0a804afe4f9b69b99fb8ebe50.1.tmp
- /data/data/####/89eedfe40c43840ef9100ba9436f626035979a71de027ad....0.tmp
- /data/data/####/96b63e190553a4e503ba3bb59d30e6d9.0.tmp
- /data/data/####/96b63e190553a4e503ba3bb59d30e6d9.1.tmp
- /data/data/####/AppEventsLogger.persistedevents
- /data/data/####/Prisma.xml
- /data/data/####/TwitterAdvertisingInfoPreferences.xml
- /data/data/####/a5631547632627e52ae352f907b62bfc6ead4f6273c5290....0.tmp
- /data/data/####/ab03b28cd8d16bd51d2f6409fb69fc39.0.tmp
- /data/data/####/ab03b28cd8d16bd51d2f6409fb69fc39.1.tmp
- /data/data/####/analytics_queue.tmp
- /data/data/####/com.crashlytics.prefs.xml
- /data/data/####/com.crashlytics.sdk.android;answers;settings.xml
- /data/data/####/com.crashlytics.settings.json
- /data/data/####/com.facebook.accountkit.sdk.appEventPreferences.xml
- /data/data/####/com.facebook.internal.preferences.APP_SETTINGS.xml
- /data/data/####/com.facebook.sdk.appEventPreferences.xml
- /data/data/####/com.facebook.sdk.attributionTracking.xml
- /data/data/####/com.google.android.gms.appid-no-backup
- /data/data/####/com.google.android.gms.appid.xml
- /data/data/####/com.google.android.gms.measurement.prefs.xml
- /data/data/####/com.neuralprismablo.odex
- /data/data/####/com.neuralprismablo.zip
- /data/data/####/com.neuralprismablo_preferences.xml
- /data/data/####/e3549e142eb1557db7dbe1398dcdf40c.0.tmp
- /data/data/####/e3549e142eb1557db7dbe1398dcdf40c.1.tmp
- /data/data/####/e78dbcaad06a406381864dfb98189a2ea14ea3045e78b49....0.tmp
- /data/data/####/f1bbec1e5d42aef2c7f9f0d14ca6aaee.0.tmp
- /data/data/####/f1bbec1e5d42aef2c7f9f0d14ca6aaee.1.tmp
- /data/data/####/f488625a1c5dfe4dbd188d1a898068d893f16866b95d74f....0.tmp
- /data/data/####/google_app_measurement_local.db
- /data/data/####/google_app_measurement_local.db-journal
- /data/data/####/install_tracker.xml
- /data/data/####/io.fabric.sdk.android;fabric;c.a.a.a.m.xml
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/journal.tmp
- /data/data/####/libjiagu.so
- /data/data/####/multidex.version.xml
- /data/data/####/persisted_config
- /data/data/####/sa_018ace35-d00b-4b9c-b7e1-65394fd0f508_1526415460110.tap
- /data/data/####/session_analytics.tap
- /data/data/####/session_analytics.tap.tmp
- /data/data/####/session_tracker.xml
- /data/data/####/statistics.xml
- /data/media/####/IMG_20180515_201801.jpg
- /data/media/####/IMG_20180515_201806.jpg
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к интерфейсу камеры.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
