Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.192.origin
Перекрывает экран собственным окном, блокируя доступ к графическому интерфейсу.
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) c####.baidust####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) ip.ta####.com:80
- TCP(HTTP/1.1) si####.jom####.com:80
- TCP(HTTP/1.1) mobads-####.b####.com:80
- TCP(HTTP/1.1) mo####.b####.com:80
- TCP(HTTP/1.1) ub####.baidust####.com:80
- TCP(HTTP/1.1) wn.pos.b####.com:80
- TCP(HTTP/1.1) api.appj####.com:80
- TCP(TLS/1.0) mobads-####.b####.com:443
- TCP(TLS/1.0) mo####.b####.com:443
- TCP(TLS/1.0) hm.b####.com:443
- TCP(TLS/1.0) c####.baidust####.com:443
Запросы DNS:
- a####.u####.com
- api.appj####.com
- c####.baidust####.com
- c####.baidust####.com
- c.y####.club
- d.y####.club
- f10.b####.com
- f11.b####.com
- hm.b####.com
- ip.ta####.com
- mo####.b####.com
- mobads-####.b####.com
- ub####.baidust####.com
- wn.pos.b####.com
Запросы HTTP GET:
- c####.baidust####.com/cpro/expire/time2.js
- c####.baidust####.com/cpro/ui/noexpire/img/2.0.1/bd-logo4.png
- c####.baidust####.com/cpro/ui/noexpire/ws/3rd/esl_b150bbf.js
- c####.baidust####.com/cpro/ui/noexpire/ws/css/base_f258e90.css
- c####.baidust####.com/cpro/ui/noexpire/ws/css/ui_b99a586.css
- c####.baidust####.com/cpro/ui/noexpire/ws/images/logo/close_9d33a11.png
- c####.baidust####.com/cpro/ui/noexpire/ws/images/logo/logo-mob_94da672.png
- c####.baidust####.com/cpro/ui/noexpire/ws/js/anticheatMob_776abb3.js
- c####.baidust####.com/cpro/ui/noexpire/ws/widget/logo_94e2e1b.js
- c####.baidust####.com/sync.htm?cproid=####
- ip.ta####.com/service/getIpInfo.php?ip=####
- mo####.b####.com/ads/_dp.htm
- mo####.b####.com/ads/ads.appcache
- mo####.b####.com/ads/css/min/main.css
- mo####.b####.com/ads/index.htm
- mo####.b####.com/ads/js/ads.trunk.js
- mo####.b####.com/ads/js/c.js
- mo####.b####.com/ads/pa/__pasys_remote_banner.jar
- mo####.b####.com/ads/pa/__pasys_remote_banner.php?v=####&tp=####&os=####...
- mo####.b####.com/ads/req/icons.php?code2=####
- mo####.b####.com/cpro/ui/mads.php?code2=####&b1526454777435=####
- mo####.b####.com/cpro/ui/mads.php?code2=####&b1526454778444=####
- mo####.b####.com/cpro/ui/mads.php?code2=####&b1526454781884=####
- mo####.b####.com/cpro/ui/mads.php?code2=####&b1526454808546=####
- mo####.b####.com/cpro/ui/mads.php?code2=####&b1526454838584=####
- mo####.b####.com/logos/03693bf88912113f226b84f5.png
- mo####.b####.com/logos/25f3c7a677c6413ecba53fa5.jpg
- mo####.b####.com/logos/6e7b51a4c3fc113f0d0d3b47.jpg
- mo####.b####.com/logos/ee68f9d7974d813bb2999fc5.jpg
- mobads-####.b####.com/dz.zb?type=####&ap=####&appsid=####&b1526454785153...
- mobads-####.b####.com/dz.zb?type=####&ap=####&appsid=####&b1526454785264...
- si####.jom####.com/it/u=1337334481,1827956017&fm=76
- si####.jom####.com/it/u=2918017891,3305583480&fm=76
- si####.jom####.com/it/u=708248250,3721380693&fm=76
- ub####.baidust####.com/media/v1/0f0005fz9zAv-TcqPOdRp6.jpg
- ub####.baidust####.com/media/v1/0f000FTnLhbY0l4XJiAy46.jpg
- ub####.baidust####.com/media/v1/0f000KHQSO5m_irtU8I350.jpg
- ub####.baidust####.com/media/v1/0f000KLy1mVkLJVSd9V_b0.png
- wn.pos.b####.com/adx.php?c=####
- wn.pos.b####.com/adx.php?c=####&ext=####
Запросы HTTP POST:
- a####.u####.com/app_logs
- api.appj####.com/appjiagu
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/__pasys.apk.tmp.tm
- /data/data/####/__pasys_remote_banner.jar.tm
- /data/data/####/__pasys_remote_banner.tmp.jar
- /data/data/####/__sdk_pasys_pkgs.xml
- /data/data/####/__sdk_pasys_pkgurls.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/http_mobads.baidu.com_0.localstorage-journal
- /data/data/####/iConfig.xml
- /data/data/####/iDownload-journal
- /data/data/####/iLog-journal
- /data/data/####/index
- /data/data/####/jiagu.lock
- /data/data/####/libjiagu.so
- /data/data/####/mobclick_agent_online_setting_com.strawhat.mario.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.iid
- /data/media/####/3661ee6cb8e8f7a87390cb82100179a3.jpg.tm
- /data/media/####/cec54e7726f5729db5e9bc7b1467292d.jpg.tm
- /data/media/####/com.supermareal.dex
- /data/media/####/download.db
- /data/media/####/download.db-journal
- /data/media/####/f47f77e6988fb4d4eab7523f4cf6bab6.png.tm
- /data/media/####/spot_in.png
Другие:
Загружает динамические библиотеки:
- gdx
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CFB-NoPadding
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
