Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Dowgin.14.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.net:80
- TCP(HTTP/1.1) at.al####.com:80
- TCP(HTTP/1.1) oc.u####.com:80
- TCP(HTTP/1.1) p####.ico####.com:80
- TCP(HTTP/1.1) a####.exc.mob.com:80
- TCP(HTTP/1.1) api.s####.mob.com:80
- TCP(HTTP/1.1) m.many####.cn:80
- TCP(HTTP/1.1) ip.ta####.com:80
- TCP(HTTP/1.1) t.p####.ico####.com:80
- TCP(HTTP/1.1) si.hi.shpan####.cn:80
- TCP(TLS/1.0) as.alipayo####.com:443
- TCP(TLS/1.0) gl####.w.kunl####.####.com:443
- TCP(TLS/1.0) q####.a####.com:443
- TCP(TLS/1.0) hm.b####.com:443
- TCP(TLS/1.0) cdn.boo####.com.####.com:443
- TCP(TLS/1.0) c####.cloudf####.com:443
Запросы DNS:
- a####.exc.mob.com
- a####.u####.com
- api.s####.mob.com
- as.alipayo####.com
- at.al####.com
- c####.cloudf####.com
- c####.comi####.cn
- cdn.boo####.com
- cdn.ico####.com
- hm.b####.com
- ip.ta####.com
- m.many####.cn
- oc.u####.com
- p####.ico####.com
- si.hi.shpan####.cn
- t.p####.ico####.com
- u####.comi####.cn
Запросы HTTP GET:
- at.al####.com/t/font_637283_qbe8i9q3v1.css
- ip.ta####.com/service/getIpInfo.php?ip=####
- m.many####.cn/activity/comic/down?stat_from=####&stat_area_id=####&ct=####
- m.many####.cn/static/css/main.f7a29b80.css
- m.many####.cn/static/js/main.6cbc29ce.js
- t####.c####.q####.####.net/10150_ccover_hp_500ebd03e6326fac.jpg?imageVi#...
- t####.c####.q####.####.net/10934_ccover_hp_bba5332631925fa4.jpg?imageVi#...
- t####.c####.q####.####.net/10991_ccover_hp_230e68252df79db6.jpg?imageVi#...
- t####.c####.q####.####.net/11024_ccover_hp_84ad99f8f50ca144.jpg?imageVi#...
- t####.c####.q####.####.net/11405_ccover_hp_36bbb386cb5df1c0.jpg?imageVi#...
- t####.c####.q####.####.net/11406_ccover_hp_4a26d5d66eb601ed.jpg?imageVi#...
- t####.c####.q####.####.net/11651_ccover_hp_d6265eb81c63927a.jpg?imageVi#...
- t####.c####.q####.####.net/11940_ccover_hp_be444c325dbeb3d5.jpg?imageVi#...
- t####.c####.q####.####.net/1200_ccover_hp_0453b2eef992e490.jpg?imageVi####
- t####.c####.q####.####.net/12015_22_acover_c28568c268290d05.jpg?imageVi#...
- t####.c####.q####.####.net/12015_23_acover_efa3bc54c786c279.jpg?imageVi#...
- t####.c####.q####.####.net/12015_24_acover_5e295843b0333fd3.jpg?imageVi#...
- t####.c####.q####.####.net/12015_25_acover_cb175ee16d6091d4.jpg?imageVi#...
- t####.c####.q####.####.net/12015_26_acover_f3d54a60e74cc0eb.jpg?imageVi#...
- t####.c####.q####.####.net/12015_27_acover_118e2eb74533daec.jpg?imageVi#...
- t####.c####.q####.####.net/12015_28_acover_69471959b34c5de3.jpg?imageVi#...
- t####.c####.q####.####.net/12015_29_acover_b6f2bd9277d58be5.jpg?imageVi#...
- t####.c####.q####.####.net/12015_30_acover_6874a7cf5f0a077d.jpg?imageVi#...
- t####.c####.q####.####.net/12015_31_acover_7060803c30009747.jpg?imageVi#...
- t####.c####.q####.####.net/12015_32_acover_9308d10f2d40e97e.jpg?imageVi#...
- t####.c####.q####.####.net/12015_33_acover_d27fc937d836bcef.jpg?imageVi#...
- t####.c####.q####.####.net/12015_ccover_ab8503e99986e681.jpg?imageVi####
- t####.c####.q####.####.net/12015_ccover_hl_b8834ad1a01bff5d.jpg?imageVi#...
- t####.c####.q####.####.net/12081_ccover_hp_64e637d33625601e.jpg?imageVi#...
- t####.c####.q####.####.net/12457_ccover_hp_b482666855e0f855.jpg?imageVi#...
- t####.c####.q####.####.net/1348_ccover_hp_474892424370bb5f.jpg?imageVi####
Запросы HTTP POST:
- a####.exc.mob.com/errconf
- a####.u####.com/app_logs
- api.s####.mob.com/conf4
- api.s####.mob.com/conn
- api.s####.mob.com/data2
- api.s####.mob.com/log4
- api.s####.mob.com/snsconf
- oc.u####.com/v2/check_config_update
- oc.u####.com/v2/get_update_time
- p####.ico####.com/categorylist
- p####.ico####.com/handshake
- p####.ico####.com/homepage
- si.hi.shpan####.cn/9101/gde
- si.hi.shpan####.cn/9101/h10
- si.hi.shpan####.cn/9101/le9
- si.hi.shpan####.cn/9101/x10
- si.hi.shpan####.cn/9101/z10
- t.p####.ico####.com/comicdetail
- t.p####.ico####.com/getcomments2
- t.p####.ico####.com/getextinfo
- t.p####.ico####.com/splashinfo
- t.p####.ico####.com/syncextinfo
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/6167433z.jar
- /data/data/####/73706.xml
- /data/data/####/Alvin2.xml
- /data/data/####/AppStore.xml
- /data/data/####/ContextData.xml
- /data/data/####/ICOMICO_PREFERENCE.xml
- /data/data/####/ThrowalbeLog.db-journal
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/icomico_db-journal
- /data/data/####/index
- /data/data/####/libjiagu.so
- /data/data/####/mobclick_agent_cached_com.air.comics.beibei452
- /data/data/####/mobclick_agent_online_setting_com.air.comics.beibei.xml
- /data/data/####/share_sdk_1.xml
- /data/data/####/sharesdk.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_message_state.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.ba
- /data/media/####/.dk
- /data/media/####/.lock
- /data/media/####/174sw1hm7v4y1doul8bfo0i80.0.tmp
- /data/media/####/18q3p9v3lttfns0rx0fkbyvaf.0.tmp
- /data/media/####/1hin01oqyef81v7czq02zutia.0.tmp
- /data/media/####/1iro8qsrwzjyw79o66thlalxs.0.tmp
- /data/media/####/2m31o2nnu1ovo9qqlll2o36on.0.tmp
- /data/media/####/2mvs5cquddy5of0i0vhhynoxh.0.tmp
- /data/media/####/2pspyhvgii1qkll11ukgz5mp6.0.tmp
- /data/media/####/30r97gi5wsribdqm6xb1gka1.0.tmp
- /data/media/####/33mq8oq785ctpyu7d8wta0osi.0.tmp
- /data/media/####/3z0v919zz62w1gqjagybf78ot.0.tmp
- /data/media/####/46qnaascch0oosd8bisnsg7m0.0.tmp
- /data/media/####/47642k76r20fcmp2dcyn88f92.0.tmp
- /data/media/####/4y3epof0dfl4zp27c7j8oesdd.0.tmp
- /data/media/####/5183ky4hta5emhjxo3ply7rnt.0.tmp
- /data/media/####/51ncjaqijasr18e453d44kh33.0.tmp
- /data/media/####/5jr4avnxvrp0gk8nb5bjj4yah.0.tmp
- /data/media/####/5lef4kmp2odp5nxgpevmxlrbm.0.tmp
- /data/media/####/67h47ejo68auphcrcpi1iccqy.0.tmp
- /data/media/####/686701k443u55zowjv51bx5vb.0.tmp
- /data/media/####/6ltuorrr7dlam1ea97k7ee8f6.0.tmp
- /data/media/####/6ssr9dtvakhasjhwwnjrcu0m4.0.tmp
- /data/media/####/6zhg2rma072bxen4gc8s2gmw8.0.tmp
- /data/media/####/70y0mhp5q7x9uocryvlngrey9.0.tmp
- /data/media/####/714v0znflzw7f2seg1wy4k9i0.0.tmp
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/j72gqqztwzffuu61ogtzwxbw.0.tmp
- /data/media/####/jexisk0euywdvyekjdann5hn.0.tmp
- /data/media/####/journal.tmp
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
- neh
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS7Padding
- DES
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-NoPadding
- DES
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
