Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Kyview.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) cf.gdata####.net:80
- TCP(TLS/1.0) co####.ad####.cn:443
- TCP(TLS/1.0) sett####.crashly####.com:443
- TCP(TLS/1.0) e.crashly####.com:443
Запросы DNS:
- cf.gdata####.net
- co####.ad####.cn
- e.crashly####.com
- rd.gdata####.net
- sett####.crashly####.com
Запросы HTTP POST:
- cf.gdata####.net/config/update
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/5B7738200157-0001-0826-51506FA1C76B.cls_temp
- /data/data/####/5B7738200157-0001-0826-51506FA1C76BBeginSession.cls_temp
- /data/data/####/5B7738200157-0001-0826-51506FA1C76BSessionApp.cls_temp
- /data/data/####/5B7738200157-0001-0826-51506FA1C76BSessionCrash.cls_temp
- /data/data/####/5B7738200157-0001-0826-51506FA1C76BSessionDevice.cls_temp
- /data/data/####/5B7738200157-0001-0826-51506FA1C76BSessionOS.cls_temp
- /data/data/####/5B7738200157-0001-0826-51506FA1C76BSessionUser.cls_temp
- /data/data/####/5B77382B02CA-0002-0826-51506FA1C76BBeginSession.cls_temp
- /data/data/####/5B77382B02CA-0002-0826-51506FA1C76BSessionApp.cls_temp
- /data/data/####/5B77382B02CA-0002-0826-51506FA1C76BSessionDevice.cls_temp
- /data/data/####/5B77382B02CA-0002-0826-51506FA1C76BSessionOS.cls_temp
- /data/data/####/5B77382C01F0-0001-0870-51506FA1C76B.cls_temp
- /data/data/####/5B77382C01F0-0001-0870-51506FA1C76BBeginSession.cls_temp
- /data/data/####/5B77382C01F0-0001-0870-51506FA1C76BSessionApp.cls_temp
- /data/data/####/5B77382C01F0-0001-0870-51506FA1C76BSessionCrash.cls_temp
- /data/data/####/5B77382C01F0-0001-0870-51506FA1C76BSessionDevice.cls_temp
- /data/data/####/5B77382C01F0-0001-0870-51506FA1C76BSessionOS.cls_temp
- /data/data/####/5B77382C01F0-0001-0870-51506FA1C76BSessionUser.cls_temp
- /data/data/####/5B77382C02B7-0002-0870-51506FA1C76BBeginSession.cls_temp
- /data/data/####/5B77382C02B7-0002-0870-51506FA1C76BSessionApp.cls_temp
- /data/data/####/5B77382C02B7-0002-0870-51506FA1C76BSessionDevice.cls_temp
- /data/data/####/5B77382C02B7-0002-0870-51506FA1C76BSessionOS.cls_temp
- /data/data/####/5B77382C02B7-0002-0870-51506FA1C76BSessionUser.cls_temp
- /data/data/####/5B77382D002D-0001-089C-51506FA1C76B.cls_temp
- /data/data/####/5B77382D002D-0001-089C-51506FA1C76BBeginSession.cls_temp
- /data/data/####/5B77382D002D-0001-089C-51506FA1C76BSessionApp.cls_temp
- /data/data/####/5B77382D002D-0001-089C-51506FA1C76BSessionCrash.cls_temp
- /data/data/####/5B77382D002D-0001-089C-51506FA1C76BSessionDevice.cls_temp
- /data/data/####/5B77382D002D-0001-089C-51506FA1C76BSessionOS.cls_temp
- /data/data/####/5B77382D002D-0001-089C-51506FA1C76BSessionUser.cls_temp
- /data/data/####/5B77382D02EF-0002-089C-51506FA1C76BBeginSession.cls_temp
- /data/data/####/5B77382D02EF-0002-089C-51506FA1C76BSessionApp.cls_temp
- /data/data/####/5B77382D02EF-0002-089C-51506FA1C76BSessionDevice.cls_temp
- /data/data/####/5B77382D02EF-0002-089C-51506FA1C76BSessionOS.cls_temp
- /data/data/####/TwitterAdvertisingInfoPreferences.xml
- /data/data/####/com.crashlytics.prefs.xml
- /data/data/####/com.crashlytics.sdk.android;answers;settings.xml
- /data/data/####/com.crashlytics.settings.json
- /data/data/####/crash_marker
- /data/data/####/dataeye_database_1FE8D30656F211D8C4ED77CBE078B5...ournal
- /data/data/####/dataeye_database_1FE8D30656F211D8C4ED77CBE078B5A8.db
- /data/data/####/dc.1FE8D30656F211D8C4ED77CBE078B5A8.preferences.xml
- /data/data/####/dc.global.prfrerence.xml
- /data/data/####/initialization_marker
- /data/data/####/io.fabric.sdk.android;fabric;a.a.a.a.m.xml
- /data/data/####/libjiagu.so
- /data/data/####/multidex.version.xml
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/sa_0c05caa1-e7cc-4111-ae6e-c7ce26e3e7d1_1534539809329.tap
- /data/data/####/sa_7a06fca9-6cfe-42d9-b1f3-c9a00e29a952_1534539820668.tap
- /data/data/####/sa_c24c60f4-39c4-4a8f-a3ec-ac3e5b4b31de_1534539808608.tap
- /data/data/####/session_analytics.tap
- /data/data/####/session_analytics.tap.tmp
- /data/data/####/sg.1FE8D30656F211D8C4ED77CBE078B5A8.preferences.xml
- /data/media/####/appids.dat
- /data/media/####/uid
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh
- cat /sys/class/net/wlan0/address
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- ls -l /sbin/su
- ls -l /system/bin/su
- ls -l /system/sbin/su
- ls -l /system/xbin/su
- ls -l /vendor/bin/su
Загружает динамические библиотеки:
- gdx
- libjiagu
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Отрисовывает собственные окна поверх других приложений.
