Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Plague.1.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) m.c####.com.####.net:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) upd####.8####.cn:80
- TCP(HTTP/1.1) s.c-c####.com.####.net:80
- TCP(TLS/1.0) k####.1####.cn.####.com:443
Запросы DNS:
- a####.a####.com
- a####.u####.com
- a.appj####.com
- ch.bo####.com
- ch1bo####.com
- ch2.bo####.com
- k####.1####.cn
- m.c####.com
- s.c-c####.com
- upd####.8####.cn
Запросы HTTP GET:
- m.c####.com.####.net/restapi/busphp/app/index.php?param=####&method=####...
- s.c-c####.com.####.net/bf.gif?ac=####&d=####&rd=####&jv=####
- s.c-c####.com.####.net/bf.gif?ac=g&d={"c":[400019,"1526454778770.47y134"...
- upd####.8####.cn/checkupdate.php?appver=####
- upd####.8####.cn/checkupdate.php?ctripver=####
- upd####.8####.cn/ctrip/_train_34.zip
Запросы HTTP POST:
- a####.u####.com/app_logs
- a.appj####.com/ad-service/ad/mark
- m.c####.com.####.net/restapi/soa2/10103/json/GetTrainStationV3
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/Safety.png
- /data/data/####/app_mfruzclasses.jar
- /data/data/####/backbone.custom.js
- /data/data/####/backbone.js
- /data/data/####/bank.png
- /data/data/####/booking.html
- /data/data/####/bookingdetails.html
- /data/data/####/bookinglock.html
- /data/data/####/bookingresult.html
- /data/data/####/bridge.js
- /data/data/####/bupiao.png
- /data/data/####/comm_bg.png
- /data/data/####/common.js
- /data/data/####/console.js
- /data/data/####/cpage.css
- /data/data/####/credit.png
- /data/data/####/cui_img.png
- /data/data/####/cvv2.png
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/dbpjjzt-journal
- /data/data/####/fastclick.js
- /data/data/####/file__0.localstorage-journal
- /data/data/####/filter.html
- /data/data/####/include.ga.js
- /data/data/####/include.libs.js
- /data/data/####/include.ubt.js
- /data/data/####/index
- /data/data/####/index.html
- /data/data/####/insuranceexplain.html
- /data/data/####/insureselect.html
- /data/data/####/ionicons.svg
- /data/data/####/iscroll-lite-min.js
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/jquery.js
- /data/data/####/json2.js
- /data/data/####/libjiagu.so
- /data/data/####/libs.js
- /data/data/####/libs_jq_r_1.1.js
- /data/data/####/libs_r.js
- /data/data/####/list.html
- /data/data/####/listnoresult.html
- /data/data/####/load.gif
- /data/data/####/loading4.gif
- /data/data/####/main.css
- /data/data/####/main.js
- /data/data/####/mall.css
- /data/data/####/mall_icon.png
- /data/data/####/mubt.min - ???? .js
- /data/data/####/mubt.min.js
- /data/data/####/myctrip.css
- /data/data/####/pay.css
- /data/data/####/pay_bg.png
- /data/data/####/point_bg.png
- /data/data/####/rcg
- /data/data/####/refund.html
- /data/data/####/refundexplain.html
- /data/data/####/refundresult.html
- /data/data/####/reload.gif
- /data/data/####/require.js
- /data/data/####/require.min.js
- /data/data/####/require.text.js
- /data/data/####/roompic.png
- /data/data/####/sharedPre.xml
- /data/data/####/sockjs-0.3.min.js
- /data/data/####/station.html
- /data/data/####/train.css
- /data/data/####/train.zip
- /data/data/####/train2.png
- /data/data/####/train3.png
- /data/data/####/trainlogin.html
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/un_icon.png
- /data/data/####/un_search.png
- /data/data/####/underscore.js
- /data/data/####/unionpay.png
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/x.html
- /data/data/####/yxq.png
- /data/data/####/zepto.js
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- ecd
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-ECB-PKCS7Padding
- DES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
