Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.RemoteCode.127.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/0a231bd8575dcf72.txt
- /data/data/####/1b74382e-fa92-4f6c-a944-be70a7e37817
- /data/data/####/1d77ea041509fe06.lock
- /data/data/####/21c22f492aba3de8.lock
- /data/data/####/38760977d7b06b67504bda05af92b2222a16280128520d3....0.tmp
- /data/data/####/3ea583f8-f515-4594-b800-486baa25c064
- /data/data/####/5961011b-1010-4c97-ab35-8da845c9de28
- /data/data/####/5f27968c28564eb70652d4972c744fd7386ac9d7ce6c137....0.tmp
- /data/data/####/7357c45dadbdcc961d806e09d9397ce4ecc46d4d9d88efb....0.tmp
- /data/data/####/8126b298c20d5df3342498d786a5db778462210dd8abb75....0.tmp
- /data/data/####/8eedb5cb2fa51919ad77b406e56232f40880be58a7bef90....0.tmp
- /data/data/####/8ef9c457b3bbb403.lock
- /data/data/####/91e8347d-d099-42dd-bc0b-d7dc94b9609f
- /data/data/####/930a31b34bd52c08.lock
- /data/data/####/943eb3b34298b4d94d36f34b87205b4b6ed8aed97882455....0.tmp
- /data/data/####/951107ecb68e8e7ff44238091e7a96dcaa5e3345fc03433....0.tmp
- /data/data/####/AlibcLinkPartner.xml
- /data/data/####/AlibcLinkPartner.xml (deleted)
- /data/data/####/AlibcLinkPartner.xml.bak
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/FiveClickIndex.xml
- /data/data/####/FourClickIndex.xml
- /data/data/####/JPushSA_Config.xml
- /data/data/####/MultiDex.lock
- /data/data/####/OneClickIndex.xml
- /data/data/####/SGMANAGER_DATA2
- /data/data/####/SGMANAGER_DATA2.tmp
- /data/data/####/ThreeClickIndex.xml
- /data/data/####/TwoClickIndex.xml
- /data/data/####/UTCommon.xml
- /data/data/####/_nohttp_cookies_db.db
- /data/data/####/_nohttp_cookies_db.db-journal
- /data/data/####/a6586110267fa1e20cd658c6ba0056828338104daa2264c....0.tmp
- /data/data/####/aliTradeConfigSP.xml
- /data/data/####/aliTradeConfigSP.xml.bak
- /data/data/####/ap.Lock
- /data/data/####/appPackageNames_v2
- /data/data/####/app_version.xml
- /data/data/####/auth_sdk_device.xml
- /data/data/####/cn.jpush.android.user.profile.xml
- /data/data/####/cn.jpush.preferences.v2.rid.xml
- /data/data/####/cn.jpush.preferences.v2.xml
- /data/data/####/com.android.datamip_preferences.xml
- /data/data/####/core_info
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/debug.conf
- /data/data/####/ee4858c4-ba47-4b41-b849-7d4d2ef44d21
- /data/data/####/f1839470-f7a2-47fb-8ca9-60ff797e7d9e
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/force_update.xml
- /data/data/####/html5_version.xml
- /data/data/####/index
- /data/data/####/journal.tmp
- /data/data/####/jpush_device_info.xml
- /data/data/####/jpush_local_notification.db
- /data/data/####/jpush_local_notification.db-journal
- /data/data/####/jpush_local_notification.db-wal
- /data/data/####/jpush_stat_cache.json
- /data/data/####/jpush_stat_cache_history.json
- /data/data/####/jpush_statistics.db
- /data/data/####/jpush_statistics.db-journal
- /data/data/####/jpush_statistics.db-shm (deleted)
- /data/data/####/jpush_statistics.db-wal
- /data/data/####/libjiagu-893702270.so
- /data/data/####/libsgmainso-5.1.81.so.tmp
- /data/data/####/lock.lock
- /data/data/####/multidex.version.xml
- /data/data/####/onTabClickIndex.xml
- /data/data/####/sobot_chat_20180830_log.txt
- /data/data/####/sobot_config.xml
- /data/data/####/sobot_config.xml.bak
- /data/data/####/sobot_demo_config.xml
- /data/data/####/sp.lock
- /data/data/####/tbs_download_config.xml
- /data/data/####/tbs_download_stat.xml
- /data/data/####/tbscoreinstall.txt
- /data/data/####/tbslock.txt
- /data/data/####/timestamp
- /data/data/####/update_notice.xml
- /data/data/####/ut.db
- /data/data/####/ut.db-journal
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/media/####/.nomedia
- /data/media/####/.push_deviceid
- /data/media/####/6c709c11d2d46a7b
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/dd7893586a493dc3
- /data/media/####/hid.dat
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu-893702270.so
- getprop ro.product.cpu.abi
Загружает динамические библиотеки:
- jcore120
- libjiagu-893702270
- sgmainso-5.1
- ut_c_api
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS7Padding
- RSA-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
