Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.SkyMobi.5.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ads.w####.cn:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) o####.b####.cn.####.com:80
- TCP(HTTP/1.1) im####.w####.cn.####.com:80
- TCP(HTTP/1.1) wap####.w####.cn.####.net:80
- TCP(HTTP/1.1) aserver####.m.ta####.com:80
- TCP(HTTP/1.1) 100app####.oss-cn-####.aliy####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) app.w####.cn:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5227
Запросы DNS:
- 100app####.oss-cn-####.aliy####.com
- 7j####.c####.z0.####.com
- a####.u####.com
- ads.w####.cn
- apm-col####.qte####.com
- app.w####.cn
- c####.g####.ig####.com
- c-h####.g####.com
- im####.w####.cn
- loc.map.b####.com
- o####.b####.cn
- o####.y####.com
- pub-####.qin####.com
- sdk.c####.ig####.com
- sdk.o####.i####.####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- v.i5####.com
- wap####.w####.cn
Запросы HTTP GET:
- 100app####.oss-cn-####.aliy####.com/qa_host.txt
- ads.w####.cn/action/miniad/ad?app_id=####&udid=####&imsi=####&net=####&b...
- app.w####.cn/action/connect/active?app_id=####&udid=####&imsi=####&net=#...
- aserver####.m.ta####.com/sdk/version_update?client_id=####&version=####&...
- im####.w####.cn.####.com/appfile/stuff/02d680c3e652bafc56d79a78381c3f1d/...
- im####.w####.cn.####.com/appfile/stuff/17f86dcbfbb8524e3581cfb3d90d29f0/...
- im####.w####.cn.####.com/appfile/stuff/1d10224a038e5edf5712a9bc1e9f6232/...
- im####.w####.cn.####.com/appfile/stuff/45ce8e131cdf8c3af17b77ce9bd0e16f/...
- im####.w####.cn.####.com/appfile/stuff/480974b9981db89376952eb02502c9db/...
- im####.w####.cn.####.com/appfile/stuff/4f107bda894d5f390100c536bd5a50f6/...
- im####.w####.cn.####.com/appfile/stuff/56a0c8a2f42eb409ab464ee971f610d9/...
- im####.w####.cn.####.com/appfile/stuff/5a1ad8889e75a162b89a156158bcbc29/...
- im####.w####.cn.####.com/appfile/stuff/5d4146f964f9aae24652921480293d81/...
- im####.w####.cn.####.com/appfile/stuff/5ee3623197e100697973213dad187a08/...
- im####.w####.cn.####.com/appfile/stuff/78859789d1e159ead82f536bfeab08d0/...
- im####.w####.cn.####.com/appfile/stuff/88adb9de2934fce8705e3df43519141a/...
- im####.w####.cn.####.com/appfile/stuff/aca7647416c86eaa44cf94e8ae9619d8/...
- im####.w####.cn.####.com/appfile/stuff/da92931c9f5ebb20d47e3973048509ce/...
- im####.w####.cn.####.com/appfile/stuff/e9ff9e5bd57e5b2e3454ddee63601db6/...
- im####.w####.cn.####.com/appfile/stuff/f96e545911d70bc089b411abf2273a18/...
- t####.c####.q####.####.com/tdata_EDT356
- t####.c####.q####.####.com/tdata_gCF347
- t####.c####.q####.####.com/tdata_wkF366
- ti####.c####.l####.####.com/config/hz-hzv3.conf
- wap####.w####.cn.####.net/appfile/stuff/8895a8cf946279f2c9cec1dc5655bb35...
Запросы HTTP POST:
- a####.u####.com/app_logs
- app.w####.cn/action/user_info
- c-h####.g####.com/api.php?format=####&t=####
- loc.map.b####.com/sdk.php
- o####.b####.cn.####.com/7/find
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jiagu.ls
- /data/data/####/6f2dd30f9258
- /data/data/####/AppSettings.xml
- /data/data/####/CacheTime.dat
- /data/data/####/PlayerUIApk.apk
- /data/data/####/ShowAdFlag.xml
- /data/data/####/TestinCrash.xml
- /data/data/####/analytics_agent_header_.xml
- /data/data/####/bmob_sp.xml
- /data/data/####/com.yt.edu.sccjt_preferences.xml
- /data/data/####/com.yt.edu.sccjt_preferences.xml (deleted)
- /data/data/####/crashannals.db
- /data/data/####/crashannals.db-journal
- /data/data/####/firll.dat
- /data/data/####/gdaemon_20161017
- /data/data/####/gx_sp.xml
- /data/data/####/increment.db-journal
- /data/data/####/init.pid
- /data/data/####/libjiagu.so
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/tdata_gCF347.jar
- /data/data/####/tdata_gCF347.tmp
- /data/data/####/tdata_wkF366.jar
- /data/data/####/tdata_wkF366.tmp
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/xUtils.db-journal
- /data/media/####/.nomedia
- /data/media/####/02b9313d25db38d27a98ab49cb131de2
- /data/media/####/0db174e566f0042df6d4e6a0bef7b194
- /data/media/####/13245f6d9d203cac520491a8aec6f84a
- /data/media/####/1bd3083ecce02a02aa358d41b5e0b6b7
- /data/media/####/1fae5c14022873a3e85a1b6caa2f3c49
- /data/media/####/4618744d4b79dfa08b985ab32c6d0bef
- /data/media/####/46438af8107a26f8f63e5964efb81612
- /data/media/####/52d8db79bb433b4fd2be2bcb05e6f6d6
- /data/media/####/58d1760d15d7e7be6f869dc136eb6963
- /data/media/####/6119f79a1fdcb4fee304cb38a5d683d2
- /data/media/####/6e3c747518ef67456d6ce3f9ff018579
- /data/media/####/817baff03e6bb3559b9b3ef577c53b6e
- /data/media/####/82c1780bcc852cc1c8f5eaa427b698c3
- /data/media/####/AppPackage.dat
- /data/media/####/CacheTime.dat
- /data/media/####/UnPackage.dat
- /data/media/####/android
- /data/media/####/app.db
- /data/media/####/beeb38a8a7f290df57b2643f89a40ef6
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.yt.edu.sccjt.db
- /data/media/####/conlts.dat
- /data/media/####/d8ec419691d0b780e9130ef03ce97223
- /data/media/####/de81494ac02e499dda0027c961a6976b
- /data/media/####/ec985a17475a503a60627b1a0cac5b4b
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/tdata_gCF347
- /data/media/####/tdata_wkF366
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24547 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- mount
Загружает динамические библиотеки:
- accstub
- android_safe
- libjiagu
- locSDK5
- luajava
Использует следующие алгоритмы для шифрования данных:
- AES-CFB-NoPadding
- DES-CBC-PKCS5Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CFB-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
