Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Dowgin.14.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) www.gst####.com:80
- TCP(HTTP/1.1) a####.jp:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) afs.googleu####.com:80
- TCP(HTTP/1.1) vi.pi.v####.cn:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) d1lxhc4####.cloudf####.net:80
- TCP(HTTP/1.1) ca.bit####.org:80
- TCP(HTTP/1.1) www.google-####.com:80
- TCP(HTTP/1.1) www.go####.com:80
- TCP(TLS/1.0) ssl.gst####.com:443
- TCP(TLS/1.0) realtim####.clie####.go####.com:443
- TCP(TLS/1.0) lh5.g####.com:443
- TCP(TLS/1.0) sup####.go####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) acco####.go####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) a####.go####.com:443
- TCP(TLS/1.0) f####.google####.com:443
Запросы DNS:
- a####.go####.com
- a####.jp
- a####.u####.com
- a.appj####.com
- acco####.go####.com
- afs.googleu####.com
- ca.bit####.org
- d1lxhc4####.cloudf####.net
- f####.google####.com
- f####.gst####.com
- lh5.g####.com
- realtim####.clie####.go####.com
- ssl.gst####.com
- sup####.go####.com
- vi.pi.v####.cn
- www.go####.com
- www.google-####.com
- www.gst####.com
Запросы HTTP GET:
- a####.jp/favicon.ico
- a####.jp/sp/android/edu/
- a####.jp/track.php?domain=####&caf=####&toggle=####&answer=####&uid=MTU#...
- a####.jp/track.php?domain=####&toggle=####&uid=MTU####
- afs.googleu####.com/dp-teaminternet/uni_blank1.gif
- d1lxhc4####.cloudf####.net/scripts/js3caf.js
- d1lxhc4####.cloudf####.net/themes/MobileCleanDark_b102cc69/img/bg_1c.png
- d1lxhc4####.cloudf####.net/themes/MobileCleanDark_b102cc69/style.css
- www.go####.com/adsense/domains/caf.js
- www.go####.com/afs/ads/i/iframe.html
- www.go####.com/complete/search?hl=####&client=####&q####
- www.go####.com/dp/ads?max_radlink_len=####&r=####&client=####&channel=##...
- www.google-####.com/ga.js
- www.google-####.com/r/__utm.gif?utmwv=####&utms=####&utmn=####&utmhn=###...
- www.gst####.com/domainads/tracking/caf.gif?ts=####&rid=####
Запросы HTTP POST:
- a####.jp/ls.php
- a####.u####.com/app_logs
- a.appj####.com/ad-service/ad/mark
- ca.bit####.org/
- vi.pi.v####.cn/lihsugoaixnaiqiuhs/ea8e/pbf
- vi.pi.v####.cn/lihsugoaixnaiqiuhs/ea8e/qbf
- vi.pi.v####.cn/lihsugoaixnaiqiuhs/ea8e/sbf
- vi.pi.v####.cn/lihsugoaixnaiqiuhs/ea8e/tbf
- vi.pi.v####.cn/lihsugoaixnaiqiuhs/ea8e/wbf
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/_mscomsqgsxshuiqianxiaogushil_r.xml
- /data/data/####/com.sq.Qian.jar
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/libjiagu.so
- /data/data/####/mobclick_agent_header_com.sqgsx.shuiqianxiaogushil.xml
- /data/data/####/mobclick_agent_state_com.sqgsx.shuiqianxiaogushil.xml
- /data/data/####/referrer
- /data/data/####/referrer-journal
- /data/media/####/.nomedia
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/files/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- DES
Использует следующие алгоритмы для расшифровки данных:
- DES
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
