Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.683.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.0) 4####.92.62.1:80
- TCP(HTTP/1.0) pis.al####.com:80
- TCP(HTTP/1.1) 1####.76.224.67:80
- TCP(HTTP/1.1) cdn.app.h####.top:80
- TCP(HTTP/1.1) multime####.nos.net####.com:80
- TCP(HTTP/1.1) cgi.con####.qq.com:80
- TCP(HTTP/1.1) pus.al####.com:80
- TCP(HTTP/1.1) nos.net####.com:80
- TCP(HTTP/1.1) cdn.app.win####.top:80
- TCP(HTTP/1.1) pss.al####.com:80
- TCP(HTTP/1.1) mr.da.net####.com:80
- TCP(HTTP/1.1) api.lof####.net####.com:80
- TCP(HTTP/1.1) pi####.qq.com:80
- TCP(HTTP/1.1) ap####.multim####.net####.com:80
- TCP(TLS/1.0) l####.4####.top:443
- TCP(TLS/1.0) regi####.xm####.xi####.com:443
- TCP(TLS/1.0) pns.al####.com:443
- UDP 1####.168.72.254:4466
Запросы DNS:
- ap####.multim####.net####.com
- api.lof####.net####.com
- cdn.app.h####.top
- cdn.app.win####.top
- cdn.img.h####.top
- cgi.con####.qq.com
- l####.4####.top
- mr.da.net####.com
- multime####.nos.net####.com
- nos.net####.com
- pi####.qq.com
- pis.al####.com
- pns.al####.com
- pss.al####.com
- pus.al####.com
- regi####.xm####.xi####.com
Запросы HTTP GET:
- api.lof####.net####.com/Server/getFilterTeamMaxVersion
- cdn.app.h####.top/swenjian/321
- cdn.app.h####.top/swenjian/321m
- cdn.app.h####.top/upload/201806/29/img/20180629153445640.png
- cdn.app.win####.top/upload/201806/29/app/20180629153450748.apk
- cgi.con####.qq.com/qqconnectopen/openapi/policy_conf?sdkv=####&appid=###...
- multime####.nos.net####.com/4da11263-6e7a-47f5-9fd0-d4872e516073
- nos.net####.com/loftcam-photo/ASFP1006?NOSAccessKeyId=####&Expires=####&...
- nos.net####.com/loftcam-photo/ASFP1007?NOSAccessKeyId=####&Expires=####&...
- nos.net####.com/loftcam-photo/ASFP1008?NOSAccessKeyId=####&Expires=####&...
- nos.net####.com/loftcam-photo/ASFP1009?NOSAccessKeyId=####&Expires=####&...
- nos.net####.com/loftcam-photo/ASFP1010?NOSAccessKeyId=####&Expires=####&...
- nos.net####.com/loftcam-photo/ASH1006?NOSAccessKeyId=####&Expires=####&S...
- nos.net####.com/loftcam-photo/ASH1007?NOSAccessKeyId=####&Expires=####&S...
- nos.net####.com/loftcam-photo/ASH1008?NOSAccessKeyId=####&Expires=####&S...
- nos.net####.com/loftcam-photo/ASH1009?NOSAccessKeyId=####&Expires=####&S...
- nos.net####.com/loftcam-photo/ASH1010?NOSAccessKeyId=####&Expires=####&S...
- pus.al####.com/kernal/sdkcontrol/vod_android-mobile_x86_9.1.1.1220.jpg
Запросы HTTP POST:
- ap####.multim####.net####.com/api/ad/get/1001
- ap####.multim####.net####.com/api/ad/get/1005
- ap####.multim####.net####.com/api/version/check
- api.lof####.net####.com/Server/FilterTeams
- mr.da.net####.com/receiver
- pi####.qq.com/mstat/report
- pis.al####.com/p/pcdn/i.php?v=####
- pss.al####.com/iku/log/acc
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/05a79db829f286b53862dcd0c45908ce92dfd3b04f2be80....0.tmp
- /data/data/####/07a6d84be8b8739f2834616e2d35e4b7681716ba4c47657....0.tmp
- /data/data/####/09ea8a459647271516f4e4fe5a519a753fad35b72e396e5....0.tmp
- /data/data/####/0da34699464225f27990a24420e38ee58edff235313eec5....0.tmp
- /data/data/####/0f6d34ba3ff02b1f4f2121e0fad444e5bdadafec801052a....0.tmp
- /data/data/####/11e7a4448ec390408b7008eb44600a1de8e49b33e5c8761....0.tmp
- /data/data/####/12a22011b3ff96480d95973678140fcd37b3be5ba0fd118....0.tmp
- /data/data/####/1dbcbc6be4d936e1a736d9c6e19732a9ccec3d64c01385b....0.tmp
- /data/data/####/1e3ea98512c67c633f708d92eca594c7d0e2dd352f7169b....0.tmp
- /data/data/####/219140379edcf73c7e05ce41bb2af4b81362538ab76f5ec....0.tmp
- /data/data/####/25e1884a15df4791bdf1f73a22554231bb972fa85edd536....0.tmp
- /data/data/####/29fa6e37a93bb0fd439d0e2efdd9ffcaf6f265bbcbbf857....0.tmp
- /data/data/####/2adff175e832dd2cf6df0db8e09ab203a2c8ffdecb6ffe7....0.tmp
- /data/data/####/3a339bd4d9daea07e31de8f3a1de502162f8c1ed3f02176....0.tmp
- /data/data/####/4186aa7c5c6fea3598788dc893d5d1a5dbadfaaf46599ab....0.tmp
- /data/data/####/47e59202b26c290abfe9f48b97877f62b4c915f101dd4fe....0.tmp
- /data/data/####/4ab157ec67a28c896a3d902c016d9d99b0c1cb36dbc7871....0.tmp
- /data/data/####/4d76853c5517e92fdaa3bcec07d666843c49c1dd69a7bc8....0.tmp
- /data/data/####/4fdcc8ab327fd87681f487e117b714d26f8a45010f26cfe....0.tmp
- /data/data/####/5167f739801cf04dd5fd14b0c8610014125f1e394699b02....0.tmp
- /data/data/####/5a1e04bdd76979bfaecd67a41fcdf648d99453240a5da76....0.tmp
- /data/data/####/68c4b7094e355a6ab00a70bf3d865e8d1313995977a7313....0.tmp
- /data/data/####/698bf6405359b231e61c284974b72fbdb6b97993e9aa5f4....0.tmp
- /data/data/####/71166b03b5354ca403fdaca7205b3f866efa98e8514cd4d....0.tmp
- /data/data/####/72be3cc8420227552c7bbbc5c1bb632c0b325a96bf58644....0.tmp
- /data/data/####/73d8a5d6fdbceb178c24202af32e62e185cf8d2fb8228a6....0.tmp
- /data/data/####/79867d56a54c682967cad6a96bff7f118333d6a4fe0e58b....0.tmp
- /data/data/####/7ba18af1b85ae9c5f680a3c07c8755ffbacade16897cda9....0.tmp
- /data/data/####/86ecae08a0b8e1124849e1067de93c46a6ad165bba178e9....0.tmp
- /data/data/####/8734789b2ca161713b3a82e4eed277be6a8882f34bc3444....0.tmp
- /data/data/####/93c884ef3fb02c6b4f88e6ef08f0cc557878a06f88487ea....0.tmp
- /data/data/####/9d42a9a8e54d4523029f2ad8cd6d5f87ca9f6bc464d59e8....0.tmp
- /data/data/####/Ky.jar
- /data/data/####/Ky.xml
- /data/data/####/NELoginConfig.xml
- /data/data/####/NEW_TAG.xml
- /data/data/####/Ovx.xml
- /data/data/####/SUBOXLOG_
- /data/data/####/alldown.xml
- /data/data/####/ba0e6755-882c-40b0-8bcf-63c186dd65e4.jar
- /data/data/####/bzwn.db-journal
- /data/data/####/c227e500b7e328b9b5dd08fb8dff62cb81c75393150a2fd....0.tmp
- /data/data/####/c8dad9db34dec5b032c26fea4021a0c9dc82418751c205a....0.tmp
- /data/data/####/com.netease.loftercam.activity.xml
- /data/data/####/com.tencent.open.config.json.1103463136
- /data/data/####/d23772054fb45a42d1b97696054aab08b8901d48bcd1ac7....0.tmp
- /data/data/####/d888b4cd7d1da95ea5211618711c7d450a7d07b94b2b726....0.tmp
- /data/data/####/dd84eafef9a3f6e06668bb272f4babb2c9fa3ed92a275e6....0.tmp
- /data/data/####/e40c4ca1b901b4e0b990ff89dddbec48308f1bd452fd4f5....0.tmp
- /data/data/####/eb16d2131a98e4cdb8e1dd06e2d139febd5288492f7c91f....0.tmp
- /data/data/####/ebn.xml
- /data/data/####/ed26e5755243e0a4be3aa05b7f27cadeb9f91d3bbe66cf8....0.tmp
- /data/data/####/eebe26b3dded7643a648357bec4848c34a12392474b585e....0.tmp
- /data/data/####/f40c94baf0bf3adf37bc1ac4171a115a8b20403b140a3a7....0.tmp
- /data/data/####/fad31ef7c280a8cc7a6c02e8fbad5d760816a9d7b630fb9....0.tmp
- /data/data/####/ff04d624f763fc62c972835d7200d7a2ac47f88d8a5270b....0.tmp
- /data/data/####/ff0b8c68-2043-47aa-92e1-931d2e0747f4
- /data/data/####/filters.db
- /data/data/####/filters.db-journal
- /data/data/####/jg_so_upgrade_setting.xml
- /data/data/####/journal.tmp
- /data/data/####/libjiagu.so
- /data/data/####/libpcdn_acc.zip
- /data/data/####/libpcdn_acc_new.so
- /data/data/####/mipush.xml
- /data/data/####/mipush_extra.xml
- /data/data/####/mobidroid.sqlite-journal
- /data/data/####/pcdnconfigs.xml
- /data/data/####/pcdnconfigs.xml.bak
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/qws.fd.xdf_preferences.xml
- /data/data/####/tencent_analysis.db-journal
- /data/media/####/.mid.txt
- /data/media/####/.nomedia
- /data/media/####/3cd1c6816a596cfb0fd65939a1577199.apk
- /data/media/####/c8fb82bc00430
- /data/media/####/cl.tmp
- /data/media/####/com.tencent.mobileqq_connectSdk.18.06.29.10.log
- /data/media/####/dv.tmp
- /data/media/####/dv.tmp (deleted)
- /data/media/####/log.lock
- /data/media/####/log1.txt
- /data/media/####/myself.dat
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- chmod 777 /storage/emulated/0/instal/3cd1c6816a596cfb0fd65939a1577199.apk
Загружает динамические библиотеки:
- MtaNativeCrash
- libjiagu
- libpcdn_acc
- pcdn_acc
- pl_droidsonroids_gif
- ursandroidcore
Использует следующие алгоритмы для шифрования данных:
- AES-ECB-PKCS5Padding
- AES-ECB-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
