Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.HiddenAds.4.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) sd####.cm####.com:80
- TCP(HTTP/1.1) wap.cm####.com:7758
- TCP(HTTP/1.1) ark.cocou####.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) oss.cm####.com:80
- TCP(HTTP/1.1) drm.cm####.com:80
- TCP(HTTP/1.1) pala####.punc####.info:80
- TCP(HTTP/1.1) 1####.24.152.239:80
- TCP(TLS/1.0) d####.fl####.com:443
Запросы DNS:
- a.appj####.com
- ark.cocou####.com
- d####.fl####.com
- drm.cm####.com
- oss.cm####.com
- pala####.punc####.info
- sd####.cm####.com
- wap.cm####.com
Запросы HTTP GET:
- ark.cocou####.com/as/s?9=####&8=####&99=####&7=####&47=####&5=####&4=####&
- drm.cm####.com/egsb/authentication/getclientTel
- drm.cm####.com/egsb/otherPay/querySMSLimitMoney
- drm.cm####.com/egsb/recommendGame/gameList?ua=####&clientPlatform=####&c...
- oss.cm####.com/bnmcenter/upload/sdkClient/shortcut/temprecgame/wangyunfa...
- pala####.punc####.info/Common_AutoUpdate/checkUpdate/appid=100138&path=n...
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
- drm.cm####.com/egsb/accountManage/SDKClientVoucher
- drm.cm####.com/egsb/gshare/switches
- drm.cm####.com/egsb/message/queryPushMessages
- drm.cm####.com/egsb/otherPay/querySMSInterceptorConf
- drm.cm####.com/egsb/verification/checkSdkUpdate
- sd####.cm####.com/behaviorLogging/eventLogging/accept?
- wap.cm####.com:7758/normandie/CheckLoginPolicy
- wap.cm####.com:7758/normandie/QueryConfigPolicy
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.YFlurrySenderIndex.info.AnalyticsData_6VNQGK3R...9M_200
- /data/data/####/.YFlurrySenderIndex.info.AnalyticsMain
- /data/data/####/.jg.ic
- /data/data/####/.yflurrydatasenderblock.69a4b782-0129-4157-ab1e...4e27ca
- /data/data/####/.yflurryreport.-7b5bb7ea57063d33
- /data/data/####/AndGame.Sdk.Lib_20130_4E4DB8F73D48429B0A74BED2D59DC7A8.dat
- /data/data/####/FLURRY_SHARED_PREFERENCES.xml
- /data/data/####/appsdk0_.jar
- /data/data/####/c_data_store.dat
- /data/data/####/coco_pref.xml
- /data/data/####/d_data_store.dat
- /data/data/####/iridver.dat
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/kurchina-1848474201mp3
- /data/data/####/libjiagu.so
- /data/data/####/sdk_prefs
- /data/data/####/webview.db-journal
- /data/media/####/1530357738820
- /data/media/####/1530357738825
- /data/media/####/VqsPhone.apk
- /data/media/####/cache
- /data/media/####/clog
- /data/media/####/deviceId.txt
- /data/media/####/msgflag.txt
- /data/media/####/sdk_prefs.txt
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh
- ls -l /sbin/su
- ls -l /system/bin/su
- ls -l /system/sbin/su
- ls -l /system/xbin/su
- ls -l /vendor/bin/su
Загружает динамические библиотеки:
- libjiagu
- libmegbpp_02.02.13_01
- megjb
Использует следующие алгоритмы для шифрования данных:
- DES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- DES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
