Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.2083
- Android.DownLoader.546.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) feed####.jom####.com:80
- TCP(HTTP/1.1) m.ha####.com:80
- TCP(HTTP/1.1) h####.b####.com:80
- TCP(TLS/1.0) statson####.pu####.b####.com:443
- TCP(TLS/1.0) api.tui####.b####.com:443
- TCP(TLS/1.0) s####.map.b####.com:443
- TCP(TLS/1.0) nv####.n.sh####.com:443
- TCP(TLS/1.0) ss0.bdst####.com:443
- TCP(TLS/1.0) g####.bdst####.com:443
- TCP(TLS/1.0) up####.b####.com:443
- TCP sa.tui####.b####.com:5287
Запросы DNS:
- api.tui####.b####.com
- g####.bdst####.com
- h####.b####.com
- ha####.b####.com
- m.ha####.com
- pic.rmb.bdst####.com
- s####.map.b####.com
- sa.tui####.b####.com
- ss0.bdst####.com
- statson####.pu####.b####.com
- up####.b####.com
Запросы HTTP GET:
- feed####.jom####.com/87a6adf487bd7da5bd6325de76dcf205.jpeg
- m.ha####.com/static/img/haokan/640740.jpg
Запросы HTTP POST:
- h####.b####.com/app.gif
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/0b779015947cef09175e457f12207577340d9bfe59a6c38....0.tmp
- /data/data/####/286cb2975e6313afb2437e20119068fe22b6927d9c93f43....0.tmp
- /data/data/####/37945652dbfd7253d49933efa79c4e695d28a5141e38833....0.tmp
- /data/data/####/3a163013a34382b19d7b34daf29527d289c50781c9692ec....0.tmp
- /data/data/####/4550cf3f3d55d73097600ecc509f46f686d32cfb814224d....0.tmp
- /data/data/####/4df104a669c6fb543b209fa46b564004a23c86a0ca38192....0.tmp
- /data/data/####/573b90b4c9ae4ed8bfbda530ab3001ea1cfcd22421cead0....0.tmp
- /data/data/####/594a066cc67fa1e76524a0f1f7f90903d74f408c90f04e0....0.tmp
- /data/data/####/5b9361a08a64cb24a40ab2b3d7622a37c3dee5158194ca2....0.tmp
- /data/data/####/8bfc9aea674273036fbcaf0cf0c578613790e76d1a7c94f....0.tmp
- /data/data/####/95ebcaad277122118663f8a7881cbaa7bc65ea9d714fe18....0.tmp
- /data/data/####/9f99c15838a5077cb900442f584f63d5987bab147f80905....0.tmp
- /data/data/####/COOKIE_VALUE.xml
- /data/data/####/Cookies_Prefs.xml
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_ap_info_cache.json
- /data/data/####/__local_last_session.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/authStatus_com.baidu.jg.haokan.xml
- /data/data/####/authStatus_com.baidu.jg.haokan;bdservice_v1.xml
- /data/data/####/authStatus_com.baidu.jg.haokan;dl.xml
- /data/data/####/b943b4a1b0f511a6871d288b8c6feb6de4f0f1f659f3121....0.tmp
- /data/data/####/ba512ad9966c4fced2111389f76372f5d7ebfd8389aa1da....0.tmp
- /data/data/####/base_shared.xml
- /data/data/####/bddownloads.db-journal
- /data/data/####/bdpush_modeconfig.json
- /data/data/####/be9f0d4ffa2937d2f5f83f5ad4cd13e717dc54371f40b09....0.tmp
- /data/data/####/com.baidu.jg.haokan.odex
- /data/data/####/com.baidu.jg.haokan.push_sync.xml
- /data/data/####/com.baidu.jg.haokan.self_push_sync.xml
- /data/data/####/com.baidu.jg.haokan.zip
- /data/data/####/com.baidu.jg.haokan_preferences.xml
- /data/data/####/com.baidu.pushservice.BIND_CACHE.xml
- /data/data/####/d80eb4ac4a666cb22646da902838a1f5
- /data/data/####/d8d9c306142005057e0c74253397d996bff5dd27b1157e1....0.tmp
- /data/data/####/database.db-journal
- /data/data/####/haokandb.db-journal
- /data/data/####/journal.tmp
- /data/data/####/lcupdatedown.db-journal
- /data/data/####/libcuid.so
- /data/data/####/libjiagu.so
- /data/data/####/log_event_list.xml
- /data/data/####/multidex.version.xml
- /data/data/####/pst.xml
- /data/data/####/pushclient.xml
- /data/data/####/pushinfo.db
- /data/data/####/pushinfo.db-journal
- /data/data/####/pushstat_5.2.0.db
- /data/data/####/pushstat_5.2.0.db-journal
- /data/data/####/sapi_system.xml
- /data/data/####/sapi_system.xml.bak
- /data/data/####/statistic_settings_preference.xml
- /data/data/####/videolog_event_list.xml
- /data/data/####/wappass.baidu.com-passport-login.html
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/6a40e1c52d76ef7929134e4c72a4fd63
- /data/media/####/6a40e1c52d76ef7929134e4c72a4fd63.jpg
- /data/media/####/journal.tmp
- /data/media/####/login.html
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- ls -l /system/bin/su
Загружает динамические библиотеки:
- BaiduMapSDK_base_v3_6_0
- MD5_v1
- base64encoder_v1_4
- bdpush_V2_7
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
