Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.2083
- Android.DownLoader.546.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) helptra####.ksmo####.com:80
- TCP(HTTP/1.1) cmtran####.c####.com:80
- TCP(HTTP/1.1) www.pan####.net:8080
Запросы DNS:
- cmtran####.c####.com
- helptra####.ksmo####.com
- www.pan####.net
Запросы HTTP GET:
- cmtran####.c####.com/cloudconfig/cloud_upgrade_setting_ml.json
- cmtran####.c####.com/cloudconfig/cloudcfg_music.json
- cmtran####.c####.com/cloudconfig/cloudcfg_video.json
Запросы HTTP POST:
- cmtran####.c####.com/phone_fast_pass_server/v1/rule/list
- helptra####.ksmo####.com/c/
- www.pan####.net:8080/BackAds/req.action?
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/album_classify.db-journal
- /data/data/####/app_preferences.xml
- /data/data/####/cloud_upgrade_setting_ml.json
- /data/data/####/com.mam.qwtraa.odex
- /data/data/####/com.mam.qwtraa.zip
- /data/data/####/common_preference_name.xml
- /data/data/####/exit.xml
- /data/data/####/kctrl.dat
- /data/data/####/kfmt.dat
- /data/data/####/kinfoc_pref.xml
- /data/data/####/libjiagu.so
- /data/data/####/preference_pull_cloud_notify_setting.xml
- /data/data/####/preference_rule_task.xml
- /data/data/####/preference_upgrade_cloud_setting.xml
- /data/data/####/transfer_show_files_1526563662691.ich
- /data/data/####/transfer_unknow_path_1526563641238.ich
- /data/data/####/transfer_unknow_path_1526563641276.ich
- /data/data/####/transfer_unknow_path_1526563642037.ich
- /data/data/####/transfer_unknow_path_1526563642039.ich
- /data/data/####/transfer_unknow_path_1526563642042.ich
- /data/data/####/transfer_unknow_path_1526563642135.ich
- /data/data/####/trigger_task.xml
- /data/data/####/video_audio_classify.db-journal
- /data/media/####/.nomedia
- /data/media/####/com_android_vending.png
- /data/media/####/com_google_android_gms.png
- /data/media/####/com_google_android_gsf.png
- /data/media/####/com_google_android_gsf_login.png
- /data/media/####/com_mam_qwtraa.png
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/kingdid
- /data/media/####/sjk_cfg
Другие:
Запускает следующие shell-скрипты:
- cat /sys/class/net/wlan0/address
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- mount
Загружает динамические библиотеки:
- kinfoc
- kmq
- libjiagu
Использует следующие алгоритмы для расшифровки данных:
- DES
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Осуществляет доступ к информации о зарегистрированных на устройстве аккаунтах (Google, Facebook и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
