Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.683.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.0) 4####.92.62.1:80
- TCP(HTTP/1.0) pis.al####.com:80
- TCP(HTTP/1.1) st####.idax####.org.####.com:80
- TCP(HTTP/1.1) app.idax####.org:80
- TCP(HTTP/1.1) pss.al####.com:80
- TCP(HTTP/1.1) pus.al####.com:80
- TCP(HTTP/1.1) cdn.app.ne####.top:80
- TCP(HTTP/1.1) cdn.app.win####.top:80
- TCP(HTTP/1.1) t####.talking####.net:80
- TCP(HTTP/1.1) 1####.76.224.67:80
- TCP(TLS/1.0) s####.smart####.com:443
- TCP(TLS/1.0) wild####.q####.cn.####.net:443
- TCP(TLS/1.0) pns.al####.com:443
- TCP(TLS/1.0) l####.4####.top:443
- UDP 1####.168.59.254:4466
Запросы DNS:
- app.idax####.org
- cdn.app.ne####.top
- cdn.app.win####.top
- cdn.img.h####.top
- l####.4####.top
- m####.q####.cn
- pis.al####.com
- pns.al####.com
- pss.al####.com
- pus.al####.com
- s####.smart####.com
- st####.idax####.org
- t####.talking####.net
Запросы HTTP GET:
- app.idax####.org/api/v1_0/ad/list
- app.idax####.org/api/v1_0/ad/welcome
- app.idax####.org/api/v1_0/art/info?id=####
- app.idax####.org/api/v1_0/art/list?pageSize=####&page=####
- cdn.app.ne####.top/swenjian/nal
- cdn.app.ne####.top/upload/201806/28/img/20180628185933012.png
- cdn.app.ne####.top/upload/201806/29/img/20180629153445640.png
- cdn.app.win####.top/upload/201806/28/app/20180628185933832.apk
- cdn.app.win####.top/upload/201806/29/app/20180629153450748.apk
- pus.al####.com/kernal/sdkcontrol/vod_android-mobile_x86_9.1.1.1220.jpg
- st####.idax####.org.####.com/1612ab8dd654de66ad661497582953ee_thumb.jpeg
- st####.idax####.org.####.com/2650afb31bc9915f5e7e1c88c72a6ea2_thumb.jpeg
- st####.idax####.org.####.com/4b932d386c30a34b003eebcdbbfd9668_thumb.jpeg
- st####.idax####.org.####.com/674c7b2b56b5bd41dde256a9a7b5a170_thumb.jpeg
- st####.idax####.org.####.com/72c85e8ab88b03f366f85848e2a4f427_thumb.jpeg
- st####.idax####.org.####.com/86be362d3e099bdf3df618a72f72e1a4_thumb.jpeg
- st####.idax####.org.####.com/9893ae6f2c5d6400309b6df2aa8ba692.jpeg
- st####.idax####.org.####.com/9893ae6f2c5d6400309b6df2aa8ba692_thumb.jpeg
- st####.idax####.org.####.com/c4daf0140a7d046931aab7a9a682a26f_thumb.jpeg
- st####.idax####.org.####.com/ca7840c7a32852488f0305be6707666a_thumb.jpeg
- st####.idax####.org.####.com/d16a23d549f7ffec3d37303ccbed1e1c_thumb.jpeg
- st####.idax####.org.####.com/d280b7aff734ef7bf6e940c0dbe1d915_thumb.jpeg
- st####.idax####.org.####.com/d6a27b49792983a3feb8e6458fece608_thumb.jpeg
- st####.idax####.org.####.com/e0633cca5292fe301099538f6a6cf335_thumb.jpeg
- st####.idax####.org.####.com/e78bf36a7c226c3b16c26ee265e8f91e_thumb.jpeg
- st####.idax####.org.####.com/f93189967ca0635fd07df16633900d02_thumb.jpeg
- st####.idax####.org.####.com/fb875f7f0d51225ff62afb3492845c22_thumb.jpeg
Запросы HTTP POST:
- pis.al####.com/p/pcdn/i.php?v=####
- pss.al####.com/iku/log/acc
- pss.al####.com/iku/log/acc?ver=####&flag=####&t=####&mytype=####
- t####.talking####.net/g/d
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/7631f0de-884a-4422-81ee-bb894f4936e1.jar
- /data/data/####/89c2fdf6-3c14-4150-8498-45ee6fa3356b
- /data/data/####/Kj.jar
- /data/data/####/Oo.xml
- /data/data/####/SUBOXLOG_
- /data/data/####/TDtcagent.db
- /data/data/####/TDtcagent.db-journal
- /data/data/####/alldown.xml
- /data/data/####/app_user_agreement_preferences_name.xml
- /data/data/####/be476b9b-49d1-4fc7-afb0-cf0ee2f4e4e9
- /data/data/####/bzwn.db-journal
- /data/data/####/d4601bd5-1e53-4120-8581-b24fe975987f.jar
- /data/data/####/ebn.xml
- /data/data/####/elephant.db-journal
- /data/data/####/idaxiang_app_share_preferences_name.xml
- /data/data/####/libjiagu.so
- /data/data/####/libpcdn_acc.zip
- /data/data/####/libpcdn_acc_new.so
- /data/data/####/pcdnconfigs.xml
- /data/data/####/pcdnconfigs.xml.bak
- /data/data/####/pref_longtime.xml
- /data/data/####/pref_shorttime.xml
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/splash_adv.xml
- /data/data/####/td.lock
- /data/data/####/tdid.xml
- /data/data/####/user_plan.xml
- /data/data/####/webview.db-journal
- /data/media/####/.nomedia
- /data/media/####/.tcookieid
- /data/media/####/0780fe60939179766e3e035c8272b212.apk
- /data/media/####/103hjoe5n5dbg3lt20wzic4xd.0.tmp
- /data/media/####/1nm21ocxqm9zjvlopvy2mfejw.0.tmp
- /data/media/####/2dxju4vch5j95agpf7ozp2k67.0.tmp
- /data/media/####/2xt61be9pkkncr1v9mtbj5ulg.0.tmp
- /data/media/####/3jldzjug51e4ynobbgws4afvu.0.tmp
- /data/media/####/4k4khzxon0bmq2tqqtfzigmx6.0.tmp
- /data/media/####/4krswqpdr7bshlwpdkbt9i7qs.0.tmp
- /data/media/####/4z3d27gs4paxsspfk2qcuvef7.0.tmp
- /data/media/####/5fka0q22rigrdk4smrftu1fee.0.tmp
- /data/media/####/5gbhydb9q9d7ec0v04f3n3y16.0.tmp
- /data/media/####/5rvi1uoxes2v9ft77ctgr5rax.0.tmp
- /data/media/####/6babgrtpz1inhwg192lagik3w.0.tmp
- /data/media/####/6onw5p1dz8s6zjuaaqcpbsj73.0.tmp
- /data/media/####/72h8app4dcpq7a97zxogi69ss.0.tmp
- /data/media/####/76s24ic3ivpfktmmz6zxlvip7.0.tmp
- /data/media/####/7k247dgtbk6wfig4eiiszyx86.0.tmp
- /data/media/####/ap316.tmp
- /data/media/####/c8fb82bc00430
- /data/media/####/f5d1a06386c94
- /data/media/####/im316.tmp
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/lnp0hichptmd7cpbvq5i4d6x.0.tmp
- /data/media/####/myself.dat
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- chmod 777 /storage/emulated/0/instal/0780fe60939179766e3e035c8272b212.apk
- getprop
Загружает динамические библиотеки:
- libjiagu
- libpcdn_acc
- pcdn_acc
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
