Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.2083
- Android.DownLoader.546.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) adcon####.rcplatf####.net:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) googl####.g.doublec####.net:80
- TCP(HTTP/1.1) mi####.rcplatf####.net:80
- TCP(HTTP/1.1) d####.fl####.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(TLS/1.0) ssl.google-####.com:443
- TCP(TLS/1.0) googl####.g.doublec####.net:443
Запросы DNS:
- a####.u####.com
- a.appj####.com
- adcon####.rcplatf####.net
- d####.fl####.com
- f####.rcplatf####.net
- googl####.g.doublec####.net
- mi####.rcplatf####.net
- mor####.rcplatf####.net
- ssl.google-####.com
Запросы HTTP GET:
- googl####.g.doublec####.net/mads/static/sdk/native/sdk-core-v40.js
- mi####.rcplatf####.net/moreapp/1471414751937_b530bb_r.png
- mi####.rcplatf####.net/moreapp/1471414758155_6669b1_s.jpg
- mi####.rcplatf####.net/moreapp/1471416234745_92fdec_r.png
- mi####.rcplatf####.net/moreapp/1471416241562_ba09f4_s.jpg
- mi####.rcplatf####.net/moreapp/1471416396064_cb9ddc_r.jpg
- mi####.rcplatf####.net/moreapp/1471416401573_9a6337_s.jpg
- mi####.rcplatf####.net/moreapp/1471416499186_dfcffc_r.jpg
- mi####.rcplatf####.net/moreapp/1471416504288_def893_s.jpg
- mi####.rcplatf####.net/moreapp/1471416674170_265d0c_r.png
- mi####.rcplatf####.net/moreapp/1471416681203_4b15d9_s.jpg
- mi####.rcplatf####.net/moreapp/1471416948642_a3fee9_r.png
- mi####.rcplatf####.net/moreapp/1471416953313_a47957_s.jpg
- mi####.rcplatf####.net/moreapp/1471417086233_389e38_r.jpg
- mi####.rcplatf####.net/moreapp/1471417094394_dbc709_s.jpg
- mi####.rcplatf####.net/moreapp/1471417287078_7a3a27_r.png
- mi####.rcplatf####.net/moreapp/1471417293069_6f3493_s.jpg
- mi####.rcplatf####.net/moreapp/1471417351826_de7caa_r.jpg
- mi####.rcplatf####.net/moreapp/1471417356056_2f96e4_s.jpg
- mi####.rcplatf####.net/moreapp/1471594086990_9348d4_r.jpg
- mi####.rcplatf####.net/moreapp/1471594111557_353288_s.jpg
- mi####.rcplatf####.net/moreapp/1474946939581_aa94ed_r.jpg
- mi####.rcplatf####.net/moreapp/1474947018896_6833fb_s.jpg
Запросы HTTP POST:
- a####.u####.com/app_logs
- a.appj####.com/ad-service/ad/mark
- a.appj####.com/jiagu/check/upgrade
- adcon####.rcplatf####.net/AdlayoutBossWeb/platform/getRcAdvConrolNew.do
- adcon####.rcplatf####.net/multiplatresweb/external/getFontMaxidV1.do
- adcon####.rcplatf####.net/pbweb/app/getAndroidAppList.do
- adcon####.rcplatf####.net/pbweb/app/getAppConfig.do
- adcon####.rcplatf####.net/pbweb/app/sendAdvLog.do
- d####.fl####.com/aap.do
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.FlurrySenderIndex.info.AnalyticsData_TPS3SWFHS...WJ_158
- /data/data/####/.FlurrySenderIndex.info.AnalyticsMain
- /data/data/####/.flurryagent.-3cd93bfd
- /data/data/####/.flurrydatasenderblock.05b17037-99ca-439e-a72f-...d34c10
- /data/data/####/.flurrydatasenderblock.6674dcc1-befa-43cd-ba47-...bb343a
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/ads268238024.jar
- /data/data/####/app_init_.xml
- /data/data/####/com.rcaorm.hsattoo.odex
- /data/data/####/com.rcaorm.hsattoo.zip
- /data/data/####/custom_ad_preference.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/db_more_apps-journal
- /data/data/####/f_000001
- /data/data/####/font_update.xml
- /data/data/####/gaClientId
- /data/data/####/google_analytics_v4.db-journal
- /data/data/####/http_googleads.g.doubleclick.net_0.localstorage-journal
- /data/data/####/index
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/libjiagu.so
- /data/data/####/mobclick_agent_cached_com.rcaorm.hsattoo101
- /data/data/####/mobclick_agent_online_setting_com.rcaorm.hsattoo.xml
- /data/data/####/more_apps.xml
- /data/data/####/photocollage.db
- /data/data/####/photocollage.db-journal
- /data/data/####/prefs.xml
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_general_config.xml.bak (deleted)
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/-12949137
- /data/media/####/-1327997995
- /data/media/####/-1414913602
- /data/media/####/-1445938584
- /data/media/####/-1528838993
- /data/media/####/-1646056676
- /data/media/####/-1701840445
- /data/media/####/-1769217588
- /data/media/####/-213664997
- /data/media/####/-42130676
- /data/media/####/-779343845
- /data/media/####/.nomedia
- /data/media/####/1288938117
- /data/media/####/1384953114
- /data/media/####/1525671774403.jpg
- /data/media/####/1643840088
- /data/media/####/1663683815
- /data/media/####/1941688397
- /data/media/####/2120214902
- /data/media/####/275653401
- /data/media/####/405369356
- /data/media/####/581780462
- /data/media/####/727820578
- /data/media/####/809584753
- /data/media/####/Always In My Heart.ttf
- /data/media/####/Blazed.ttf
- /data/media/####/Carrington.ttf
- /data/media/####/CloisterBlack.ttf
- /data/media/####/Cutie Patootie.ttf
- /data/media/####/Death in the Shadow.ttf
- /data/media/####/DoubleFeature20.ttf
- /data/media/####/Feathergraphy-Clean.ttf
- /data/media/####/Feathergraphy2.ttf
- /data/media/####/Gothtqrg.ttf
- /data/media/####/HAMBH.ttf
- /data/media/####/Incised Black.ttf
- /data/media/####/Magnolia.ttf
- /data/media/####/Mirage final.ttf
- /data/media/####/New-Gothic-Textura.ttf
- /data/media/####/OldLondon.ttf
- /data/media/####/Plain Black.ttf
- /data/media/####/Shadowed Black.ttf
- /data/media/####/cheddar jack.ttf
- /data/media/####/diagoth.ttf
- /data/media/####/olivier-demo.ttf
- /data/media/####/simplicity.ttf
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Отрисовывает собственные окна поверх других приложений.
