Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Dowgin.14.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) t0.gst####.com:80
- TCP(HTTP/1.1) www.go####.com:80
- TCP(HTTP/1.1) www.a.sh####.com:80
- TCP(HTTP/1.1) ip.ta####.com:80
- TCP(HTTP/1.1) hi.bi.hb####.cn:80
- TCP(HTTP/1.1) fc####.b####.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) go####.com.hk:80
- TCP(HTTP/1.1) wap.b####.com:80
- TCP(HTTP/1.1) m.b####.com:80
- TCP(TLS/1.0) se####.grav####.com:443
- TCP(TLS/1.0) lh3.googleu####.com:443
- TCP(TLS/1.0) tpc.googles####.com:443
- TCP(TLS/1.0) adser####.go####.com.hk:443
- TCP(TLS/1.0) googl####.g.doublec####.net:443
- TCP(TLS/1.0) pag####.googles####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) i####.ap####.com.####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) s####.g.doublec####.net:443
- TCP(TLS/1.0) c####.b####.com:443
- TCP(TLS/1.0) e####.yunj####.com:443
- TCP(TLS/1.0) s####.w.org:443
- TCP(TLS/1.0) adser####.go####.nl:443
- TCP(TLS/1.0) go####.com.hk:443
- TCP(TLS/1.0) f####.google####.com:443
- TCP(TLS/1.0) www.google-####.com:443
- TCP(TLS/1.0) www.ap####.com:443
- TCP(TLS/1.0) adser####.go####.com:443
- TCP(TLS/1.0) cambria####.cdn.bc####.####.com:443
Запросы DNS:
- a.appj####.com
- adser####.go####.com
- adser####.go####.com.hk
- adser####.go####.nl
- c####.b####.com
- c####.baidu####.cn
- cambria####.cdn.bc####.com
- csi.gst####.com
- e####.yunj####.com
- f####.google####.com
- f####.gst####.com
- fc####.b####.com
- go####.com.hk
- googl####.g.doublec####.net
- hi.bi.hb####.cn
- i####.ap####.com
- ip.ta####.com
- lh3.googleu####.com
- m.b####.com
- pag####.googles####.com
- s####.g.doublec####.net
- s####.w.org
- se####.grav####.com
- sp1.b####.com
- t0.gst####.com
- t10.b####.com
- t11.b####.com
- t12.b####.com
- t7.b####.com
- t9.b####.com
- tpc.googles####.com
- wap.b####.com
- www.ap####.com
- www.go####.com
- www.go####.com.hk
- www.google-####.com
- www.gst####.com
Запросы HTTP GET:
- fc####.b####.com/w.gif?baiduid=####&query=####&searchid=####&osid=####&b...
- go####.com.hk/async/irc?vet=####&ved=####&yv=####&q=####&bih=####&biw=##...
- go####.com.hk/blank.html
- go####.com.hk/client_204?&atyp=####&biw=####&bih=####&dpr=####&ei=####
- go####.com.hk/gen_204?atyp=####&ct=####&cad=####&ei=####&t=####&zx=####
- go####.com.hk/gen_204?atyp=####&ct=####&cad=####&ei=####&zx=####
- go####.com.hk/gen_204?atyp=####&ei=####&s=####&astyp=####&ima=####&imn=#...
- go####.com.hk/gen_204?atyp=####&ei=####&s=####&imc=####&imn=####&imp=###...
- go####.com.hk/gen_204?atyp=####&ei=####&s=####&jsi=####&zx=####
- go####.com.hk/gen_204?atyp=####&ei=####&vet=####&zx=####
- go####.com.hk/gen_204?s=####&atyp=####&ei=####&rt=####
- go####.com.hk/images/branding/product/ico/googleg_lodp.ico
- go####.com.hk/images/icons/material/system/1x/email_grey600_24dp.png
- go####.com.hk/images/nav_logo289_hr.webp
- go####.com.hk/images/phd/px.gif
- go####.com.hk/search?q=####
- go####.com.hk/xjs/_/js/k=xjs.qs.nl.Rn7spGbiGdg.O/m=sb_wiz,aa,abd,async,d...
- go####.com.hk/xjs/_/js/k=xjs.qs.nl.Rn7spGbiGdg.O/m=tnqaT,ish,ivw/am=gEXM...
- go####.com.hk/xjs/_/js/k=xjs.qs.nl.Z30Hc2LVSak.O/m=quantum/am=gEXMyhQICQ...
- go####.com.hk/xjs/_/js/k=xjs.qs.nl.Z30Hc2LVSak.O/m=sx,elog,cdos,hsm,r,qi...
- ip.ta####.com/service/getIpInfo.php?ip=####
- m.b####.com/from=819b_w1/bd_page_type=1/ssid=0/uid=0/pu=usm@2,sz@1320_10...
- m.b####.com/se/static/atom/search-ui/core_21f<SMS Address>b.js
- m.b####.com/se/static/font/pmd/cicon.ttf
- m.b####.com/se/static/img/iphone/input_bearicon.png
- m.b####.com/se/static/img/iphone/logo.png
- m.b####.com/se/static/img/iphone/voice_new.png
- m.b####.com/se/static/js/base/ala/util_e135ec4.js
- m.b####.com/se/static/js/base/atom/atomWrapper_7b6945e.js
- m.b####.com/se/static/js/fusion/deps/fusion.best_5bb531c.js
- m.b####.com/se/static/js/fusion/deps/naboo_a0624f6.js
- m.b####.com/se/static/js/fusion/deps/spark_b19f474.js
- m.b####.com/se/static/js/log/taiji_behavior_bb7d13a.js
- m.b####.com/se/static/js/modules/feedback/feedback_b44a5b3.js
- m.b####.com/se/static/js/uiamd/bdbox/base_9f1bb21.js
- m.b####.com/se/static/js/uiamd/bdbox/follow_496a385.js
- m.b####.com/se/static/js/uiamd/bdbox/util_6a2a9fa.js
- m.b####.com/se/static/pmd/pmd/deps/detect_c8b750a.js
- m.b####.com/se/static/pmd/pmd/share/share_6ff579e.js
- m.b####.com/static/search/clear.png
- m.b####.com/static/search/image_default.png
- m.b####.com/static/searchbox/openjs/share.js?v=####
- t0.gst####.com/images?q=####
- t0.gst####.com/images?q=####&usqp=####
- wap.b####.com/from=819b_w1/s?word=####&rq=####&sa=####&rsf=####&pqid=###...
- wap.b####.com/rec?platform=####&ms=####&lsAble=####&rset=####&word=####&...
- wap.b####.com/s?from=####&vit=####&word=####
- www.a.sh####.com/5b1ZeDe5KgQFm2e88IuM_a/wbcj.gif?pid=####&ts=####&lid=##...
- www.go####.com/complete/search?hl=####&client=####&q=####
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
- hi.bi.hb####.cn/IC/jv/f/l30
- hi.bi.hb####.cn/j/Bx/gd3
- hi.bi.hb####.cn/l/X/G/hef
- hi.bi.hb####.cn/zo/x6f
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/325dd.xml
- /data/data/####/9474757z.jar
- /data/data/####/TemperatureActivity.xml
- /data/data/####/TestSensorActivity.xml
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/libjiagu.so
- /data/data/####/mobclick_agent_cached_org.szuwest.thermometer
- /data/data/####/mobclick_agent_header_org.szuwest.thermometer.xml
- /data/data/####/mobclick_agent_state_org.szuwest.thermometer.xml
- /data/data/####/webview.db-journal
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- logcat -c
- logcat -d -v raw -s AndroidRuntime:E -p <Package>
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- DES
Использует следующие алгоритмы для расшифровки данных:
- DES
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
