Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.414.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ser####.j####.360.cn:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) d####.fl####.com:80
- TCP(TLS/1.0) sett####.crashly####.com:443
- TCP t1.jz####.com:7101
- TCP t1.jz####.com:7102
- TCP t1.jz####.com:7103
Запросы DNS:
- a.appj####.com
- d####.fl####.com
- feed####.u####.com
- ser####.j####.360.cn
- sett####.crashly####.com
- t1.jz####.com
- t2.jz####.com
- t3.jz####.com
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
- d####.fl####.com/aap.do
- ser####.j####.360.cn/jiagu/check/upgrade
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.FlurrySenderIndex.info.Data_ZXZCX8FQRQM33HN2F5J2_151
- /data/data/####/.FlurrySenderIndex.info.Main
- /data/data/####/.flurryagent.7707c387
- /data/data/####/.flurrydatasenderblock.063a792e-2359-4069-aa07-...8c419f
- /data/data/####/.flurrydatasenderblock.34688089-26f8-4a80-944c-...eab742
- /data/data/####/.flurrydatasenderblock.49a22d0e-4495-4d9b-b084-...74e383
- /data/data/####/.jg.ic
- /data/data/####/13565070593518951.db-journal
- /data/data/####/152985937657501529859376575.jar
- /data/data/####/152985943269701529859432697.jar
- /data/data/####/5B2FCD3001EF-0001-081D-9E3D580DCA80.cls_temp
- /data/data/####/5B2FCD3001EF-0001-081D-9E3D580DCA80BeginSession.cls_temp
- /data/data/####/5B2FCD3001EF-0001-081D-9E3D580DCA80SessionApp.cls_temp
- /data/data/####/5B2FCD3001EF-0001-081D-9E3D580DCA80SessionCrash.cls_temp
- /data/data/####/5B2FCD3001EF-0001-081D-9E3D580DCA80SessionDevice.cls_temp
- /data/data/####/5B2FCD3001EF-0001-081D-9E3D580DCA80SessionOS.cls_temp
- /data/data/####/5B2FCD3001EF-0001-081D-9E3D580DCA80SessionUser.cls_temp
- /data/data/####/5B2FCD67007B-0002-081D-9E3D580DCA80BeginSession.cls_temp
- /data/data/####/5B2FCD67007B-0002-081D-9E3D580DCA80SessionApp.cls_temp
- /data/data/####/5B2FCD67007B-0002-081D-9E3D580DCA80SessionDevice.cls_temp
- /data/data/####/5B2FCD67007B-0002-081D-9E3D580DCA80SessionOS.cls_temp
- /data/data/####/RecommendAppRecord.xml
- /data/data/####/TwitterAdvertisingInfoPreferences.xml
- /data/data/####/com.crashlytics.prefs.xml
- /data/data/####/com.crashlytics.sdk.android;answers;com.crashly...rs.xml
- /data/data/####/com.crashlytics.settings.json
- /data/data/####/crash_marker
- /data/data/####/fappInfo_f_356507059351895.xml
- /data/data/####/fconf_f_356507059351895.xml
- /data/data/####/fconf_f_356507059351895.xml.bak
- /data/data/####/ftrategy_f_356507059351895.xml
- /data/data/####/i.xml
- /data/data/####/initialization_marker
- /data/data/####/io.fabric.sdk.android;fabric;io.fabric.sdk.andr...ng.xml
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/libjiagu.so
- /data/data/####/material_cache_time.xml
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/sa_4b2bad91-04ca-4d22-b5e3-383d62d9c317_1529859377679.tap
- /data/data/####/session_analytics.tap
- /data/data/####/session_analytics.tap.tmp
- /data/data/####/temp.xml
- /data/data/####/umeng_feedback_conversations.xml
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/files/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-ECB-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- DES
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
