Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Airpush.31.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) appo####.air####.com.####.net:80
- TCP(HTTP/1.1) googl####.g.doublec####.net:80
- TCP(TLS/1.0) ssl.gst####.com:443
- TCP(TLS/1.0) www.google-####.com:443
- TCP(TLS/1.0) l####.chartb####.com:443
- TCP(TLS/1.0) www.go####.nl:443
- TCP(TLS/1.0) acco####.go####.com:443
- TCP(TLS/1.0) lh3.googleu####.com:443
- TCP(TLS/1.0) a3.chartb####.com:443
- TCP(TLS/1.0) www.googlet####.com:443
- TCP(TLS/1.0) a####.google####.com:443
- TCP(TLS/1.0) www.you####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) adser####.go####.com:443
- TCP(TLS/1.0) s####.g.doublec####.net:443
- TCP(TLS/1.0) googl####.g.doublec####.net:443
- TCP(TLS/1.0) f####.google####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) v5.chartb####.com:443
Запросы DNS:
- a####.google####.com
- a3.chartb####.com
- acco####.go####.com
- adser####.go####.com
- appo####.air####.com
- f####.google####.com
- f####.gst####.com
- googl####.g.doublec####.net
- l####.chartb####.com
- lh3.googleu####.com
- s####.g.doublec####.net
- s.y####.com
- ssl.gst####.com
- t3.chartb####.com
- v5.chartb####.com
- www.go####.com
- www.go####.nl
- www.google-####.com
- www.googlet####.com
- www.gst####.com
- www.you####.com
Запросы HTTP GET:
- appo####.air####.com.####.net/ep/url
- googl####.g.doublec####.net/mads/static/mad/sdk/native/sdk-core-v40-load...
- googl####.g.doublec####.net/mads/static/mad/sdk/native/sdk-core-v40.html
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/ApplicationCache.db-journal
- /data/data/####/ads-169384074.jar
- /data/data/####/ap_app_details.xml
- /data/data/####/cbPrefs.xml
- /data/data/####/cb_previous_session_info
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/http_googleads.g.doubleclick.net_0.localstorage-journal
- /data/data/####/index
- /data/data/####/libjiagu-564039048.so
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/sdkPrefs.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.adId
- /data/media/####/46fdf29ee38d09b6819c03142fdee9f55878afaa
- /data/media/####/46fdf29ee38d09b6819c03142fdee9f55878afaa.jpeg
- /data/media/####/57e649d004b016251663a3c5.114
- /data/media/####/57e649d004b016251663a3c5.114.png
- /data/media/####/5995b5c643150f6c63e3d6f3_320-1502983623.mp4
- /data/media/####/5995b6baf6cd457ba1bbe6d7_320-1502983866.mp4
- /data/media/####/59a9772243150f415b449af0_320-1504278306.mp4
- /data/media/####/59a980c3f6cd457b1231ed9a_320-1504280771.mp4
- /data/media/####/5a1b825648abff0c3bbbca94_320-1511752279.mp4
- /data/media/####/5a2a401628e8070d283d7e1d_320-1512718358.mp4
- /data/media/####/5b51d7fa922b7c0c3d59bf50.114
- /data/media/####/5b51d7fa922b7c0c3d59bf50.114.png
- /data/media/####/6fd2a699961d5a5aa0d89812a4671926f41c81f3
- /data/media/####/6fd2a699961d5a5aa0d89812a4671926f41c81f3.jpeg
- /data/media/####/87a37fa77dcdffd5d20c52e83ef59f19f708f433
- /data/media/####/87a37fa77dcdffd5d20c52e83ef59f19f708f433.jpeg
- /data/media/####/c988ada4b226c6948d943ee37e91f93551059216
- /data/media/####/c988ada4b226c6948d943ee37e91f93551059216.jpeg
- /data/media/####/download
- /data/media/####/download.png
- /data/media/####/good-job
- /data/media/####/good-job.mp4
- /data/media/####/replay_white_small
- /data/media/####/replay_white_small.png
- /data/media/####/video-486x864
- /data/media/####/video-486x864.png
- /data/media/####/video-864x486
- /data/media/####/video-864x486.png
- /data/media/####/video-v2-03_WhiteXButtonWithCircleRight--704354156
- /data/media/####/video-v2-06_CBButton60x60Left--161929709
- /data/media/####/webview-30x30
- /data/media/####/webview-30x30.png
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu-564039048.so
Загружает динамические библиотеки:
- game
- libjiagu-564039048
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Отрисовывает собственные окна поверх других приложений.
