Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.RemoteCode.127.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/1002
- /data/data/####/1004
- /data/data/####/1d2b904cbeadfb72ed9546111a231c85.0
- /data/data/####/24c110e1f76093b35c3c2df1927aab79.0
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/JPushSA_Config.xml
- /data/data/####/UM_PROBE_DATA.xml
- /data/data/####/UTCommon.xml
- /data/data/####/ap.Lock
- /data/data/####/appPackageNames_v2
- /data/data/####/bugly_db_-journal
- /data/data/####/cn.jpush.android.user.profile.xml
- /data/data/####/cn.jpush.preferences.v2.rid.xml
- /data/data/####/cn.jpush.preferences.v2.xml
- /data/data/####/com.ps.recycling2c-journal
- /data/data/####/com.ps.recycling2c.BETA_VALUES.xml
- /data/data/####/com.ps.recycling2c_preferences.xml
- /data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
- /data/data/####/com_alibaba_aliyun_crash_defend_sdk_info
- /data/data/####/crashrecord.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/disk_entries_list_image_cache_2031277328.xml
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/hmdb
- /data/data/####/hmdb-journal
- /data/data/####/i==1.2.0&&1.3.0_1533232496224_envelope.log
- /data/data/####/index
- /data/data/####/info.xml
- /data/data/####/journal
- /data/data/####/journal.tmp
- /data/data/####/jpush_device_info.xml
- /data/data/####/jpush_stat_cache.json
- /data/data/####/jpush_stat_cache_history.json
- /data/data/####/jpush_statistics.db
- /data/data/####/jpush_statistics.db-journal
- /data/data/####/jpush_statistics.db-shm (deleted)
- /data/data/####/jpush_statistics.db-wal
- /data/data/####/libjiagu-2014313409.so
- /data/data/####/local_crash_lock
- /data/data/####/logdb.db
- /data/data/####/logdb.db-journal
- /data/data/####/native_record_lock
- /data/data/####/pref.xml
- /data/data/####/security_info
- /data/data/####/sensorsdata.xml
- /data/data/####/setting_flags.xml
- /data/data/####/share.db-journal
- /data/data/####/sobot_chat_20180802_log.txt
- /data/data/####/sobot_config.xml
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/data/####/ut.db
- /data/data/####/ut.db-journal
- /data/data/####/wakeup_cache.json
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.push_deviceid
- /data/media/####/.umm.dat
- /data/media/####/1533232499589.db
- /data/media/####/54miq8dDjRGrwvXyvNYBhf4HXBA.216409774.tmp
- /data/media/####/6vjkkW8Zy-FYnMDvygH2ueS5JZE.-2013664191.tmp
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/LT8px9aeLYUmStZmH_UtFKuiJdE.-1494987182.tmp
- /data/media/####/MdW8D7UskFc6_KhX_cyMYtsnIbw.1423419306.tmp
- /data/media/####/NpeauZOzlX5YHYfJ0lZdpS49e68.326981355.tmp
- /data/media/####/RCVT5xgV_iF27LNeei578QiWmmg.-1775620241.tmp
- /data/media/####/TIMGCuaF5sFUR6b47zSvH5t4oSQ.2034615167.tmp
- /data/media/####/TZ4CHAd0nKPZ4pRQwJJWr7968Xk.-1035615855.tmp
- /data/media/####/Vw84bpt3cRpDaGY2Z-TP9aQGwiY.1072661094.tmp
- /data/media/####/aEmQxyQ9NYdz-z3bLmPsZHAA3xU.78713113.tmp
- /data/media/####/alsn20170807.db
- /data/media/####/alsn20170807.db-journal
- /data/media/####/ibFdx747deHAQhRG1yhp4V5yU8w.-2132370940.tmp
- /data/media/####/me2_qWs2095wHaNN9U5AxU2nlNA.-704849189.tmp
- /data/media/####/s0R1rNPtxn7Sq09ApSoC9rwywNE.-288552183.tmp
- /data/media/####/tPaLXUHQu-ygyq3wOYZq0oFl17M.-1959865254.tmp
- /data/media/####/tZYey4GGl9xsGKQuUk-EgBtC8fA.790036705.tmp
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- /system/bin/sh -c getprop
- /system/bin/sh -c type su
- chmod 755 <Package Folder>/.jiagu/libjiagu-2014313409.so
- getprop
- ls /
- ls /sys/class/thermal
Загружает динамические библиотеки:
- Bugly
- imagepipeline
- jcore119
- libjiagu-2014313409
- ut_c_api
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS7Padding
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-NoPadding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
