Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.743.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.0) pis.al####.com:80
- TCP(HTTP/1.1) zh.wikip####.org:80
- TCP(HTTP/1.1) f####.ef####.cn:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) img.plantp####.cn:80
- TCP(HTTP/1.1) da####.c####.qini####.com:80
- TCP(HTTP/1.1) pus.al####.com:80
- TCP(HTTP/1.1) i####.51.la:80
- TCP(HTTP/1.1) www.ef####.cn:80
- TCP(HTTP/1.1) js.u####.51.la:80
- TCP(HTTP/1.1) 1####.76.224.67:80
- TCP(HTTP/1.1) pss.al####.com:80
- TCP(HTTP/1.1) www.plantp####.cn:80
- TCP(TLS/1.0) zh.m.wikip####.org:443
- TCP(TLS/1.0) zh.wikip####.org:443
- TCP(TLS/1.0) up####.wikim####.org:443
- TCP(TLS/1.0) api.leanc####.cn:443
- TCP(TLS/1.0) pns.al####.com:443
- TCP(TLS/1.0) l####.4####.top:443
- UDP 1####.168.108.254:4466
Запросы DNS:
- a####.u####.com
- api.leanc####.cn
- cdn.app.4####.top
- f####.ef####.cn
- i####.51.la
- img.plantp####.cn
- js.u####.51.la
- l####.4####.top
- l####.wikim####.org
- pis.al####.com
- pns.al####.com
- pss.al####.com
- pus.al####.com
- up####.wikim####.org
- www.ef####.cn
- www.plantp####.cn
- zh.m.wikip####.org
- zh.wikip####.org
Запросы HTTP GET:
- da####.c####.qini####.com/swenjian/you
- f####.ef####.cn/QRCode.ashx?id=####
- f####.ef####.cn/css/highslide.css
- f####.ef####.cn/css/jquery.autocomplete.css
- f####.ef####.cn/css/style.css
- f####.ef####.cn/frps/Clerodendrum cyrtophyllum
- f####.ef####.cn/highslide/highslide.js
- f####.ef####.cn/images/bk_foot_02.jpg
- f####.ef####.cn/images/bk_top_2.jpg
- f####.ef####.cn/images/bk_yy_lv.jpg
- f####.ef####.cn/images/bk_zhi_01.jpg
- f####.ef####.cn/images/creativecommons.png
- f####.ef####.cn/images/logo_eflora_124.png
- f####.ef####.cn/images/logo_frps_0.png
- f####.ef####.cn/images/logo_frps_2.png
- f####.ef####.cn/images/tb_dh_lb_100.jpg
- f####.ef####.cn/images/tb_dh_lb_bk.jpg
- f####.ef####.cn/js/autoajax.js
- f####.ef####.cn/js/frpskey.js
- f####.ef####.cn/js/jquery-1.7.2.js
- f####.ef####.cn/js/jquery.autocomplete.js
- f####.ef####.cn/js/menujs.js
- f####.ef####.cn/js/textcon.js
- i####.51.la/go1?id=####&rt=####&rl=####&lang=####&ct=####&pf=####&ins=##...
- img.plantp####.cn/Scripts/jquery-1.7.1.js
- img.plantp####.cn/css/fenye.css
- img.plantp####.cn/image2/b/469020
- img.plantp####.cn/image2/i/106638
- img.plantp####.cn/image2/i/1195907
- img.plantp####.cn/image2/i/1195909
- img.plantp####.cn/image2/i/1195911
- img.plantp####.cn/image2/i/1235500
- img.plantp####.cn/image2/i/1648939
- img.plantp####.cn/image2/i/225806
- img.plantp####.cn/image2/i/234283
- img.plantp####.cn/image2/i/234495
- img.plantp####.cn/image2/i/234496
- img.plantp####.cn/image2/i/266954
- img.plantp####.cn/image2/i/457477
- img.plantp####.cn/image2/i/469020
- img.plantp####.cn/image2/i/498983
- img.plantp####.cn/image2/i/506692
- img.plantp####.cn/images/star12.png
- img.plantp####.cn/imgf/b/1279363
- img.plantp####.cn/imgf/l/1279363
- img.plantp####.cn/listphoto.aspx?l=####
- js.u####.51.la/2864513.js
- pus.al####.com/kernal/sdkcontrol/vod_android-mobile_x86_9.1.1.1220.jpg
- www.ef####.cn/cnpcinfo.ashx?t=####&latin=####&callbackparam=####&_=####
- www.ef####.cn/favicon.ico
- www.ef####.cn/highslide/graphics/outlines/drop-shadow.png
- www.ef####.cn/highslide/graphics/undefined
- www.ef####.cn/images/eflora_logo_c.png
- www.ef####.cn/images/iplant_c.png
- www.ef####.cn/js/e_top.js
- www.plantp####.cn/Scripts/jquery-1.7.2.min.js
- www.plantp####.cn/Scripts/rater-star.js
- www.plantp####.cn/css/rater-star.css
- www.plantp####.cn/pingfen.aspx?id=####&m=####
- zh.wikip####.org/wiki/大青
Запросы HTTP POST:
- a####.u####.com/app_logs
- f####.ef####.cn/getppbcphoto.ashx
- pis.al####.com/p/pcdn/i.php?v=####
- pss.al####.com/iku/log/acc
- pss.al####.com/iku/log/acc?ver=####&flag=####&t=####&mytype=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/AV_CLOUD_API_VERSION_KEY_ZONE.xml
- /data/data/####/SUBOXLOG_
- /data/data/####/avoscloud_server_host_zone.xml
- /data/data/####/b4ee3028-d678-469b-81c5-586f2ff3a1a0.jar
- /data/data/####/com.asderft.zxcgyu_preferences.xml
- /data/data/####/e8d9ced4-477c-440c-b36f-ca07c9375e1d
- /data/data/####/h.jar
- /data/data/####/h.xml
- /data/data/####/libjiagu-265084522.so
- /data/data/####/libpcdn_acc.zip
- /data/data/####/libpcdn_acc_new.so
- /data/data/####/mivmi.xml
- /data/data/####/pcdnconfigs.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/vmeni.db-journal
- /data/data/####/xguide.db
- /data/data/####/xguide.db-journal
- /data/media/####/.nomedia
- /data/media/####/myself.dat
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu-265084522.so
Загружает динамические библиотеки:
- libjiagu-265084522
- libpcdn_acc
- pcdn_acc
- sqlite3_jni
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
