Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.248.origin
- Android.Triada.309
- Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) gz.bc####.com:80
- TCP(HTTP/1.1) appmark####.cdn.bc####.####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) 1####.25.155.50:80
- TCP(HTTP/1.1) h####.b####.com:80
- TCP(TLS/1.0) sdk.juba####.com:443
Запросы DNS:
- a####.u####.com
- appma####.gz.bc####.com
- appmark####.cdn.bc####.com
- h####.b####.com
- s####.gz.bc####.com
- sdk.juba####.com
Запросы HTTP GET:
- appmark####.cdn.bc####.####.com/buluochongtupojieban/imgicon.png?1535008...
- appmark####.cdn.bc####.####.com/gongjianshoudazuozhanpojieban/imgicon.pn...
- appmark####.cdn.bc####.####.com/guanggao/shanhaiyishou.jpg
- appmark####.cdn.bc####.####.com/huangshizhanzhengpojieban/imgicon.png?15...
- appmark####.cdn.bc####.####.com/jihuangpojieban/imgicon.png?1535008####
- appmark####.cdn.bc####.####.com/jinianbeigu2pojieban/imgicon.png?1535008...
- appmark####.cdn.bc####.####.com/juediqiushengcijizhanchangpojieban/10356...
- appmark####.cdn.bc####.####.com/lvxingqingwapojieban/imgicon.png?1535008...
- appmark####.cdn.bc####.####.com/minishijiepojieban/imgicon.png?1535008####
- appmark####.cdn.bc####.####.com/mofamenguaji/152x152.png?1535008####
- appmark####.cdn.bc####.####.com/qiuqiudazuozhanpojieban/imgicon.png?1535...
- appmark####.cdn.bc####.####.com/shanhaiyishoulupojieban/imgicon.png?1535...
- appmark####.cdn.bc####.####.com/suduyujiqing9pojieban/icon.png?1535008####
- appmark####.cdn.bc####.####.com/tangmumiaoshuishangleyuanpojieban/icon.p...
- appmark####.cdn.bc####.####.com/tianlongmanVban/512x512icon.png?1535008#...
- appmark####.cdn.bc####.####.com/wangzherongyao/imgicon.png?1535008####
- appmark####.cdn.bc####.####.com/wodeanjilapojieban/imgicon.png?1535008####
- appmark####.cdn.bc####.####.com/xiadaofeichepojieban/img01.jpg
- appmark####.cdn.bc####.####.com/xiadaofeichepojieban/img02.jpg
- appmark####.cdn.bc####.####.com/xiadaofeichepojieban/img03.jpg
- appmark####.cdn.bc####.####.com/xiadaofeichepojieban/img04.jpg
- appmark####.cdn.bc####.####.com/xiadaofeichepojieban/imgicon.png?1535008...
- appmark####.cdn.bc####.####.com/xiadaofeichezuiedushipojieban/imgcon.png...
- appmark####.cdn.bc####.####.com/xiadaoliecheshoupojieban/img01.jpg
- appmark####.cdn.bc####.####.com/xiadaoliecheshoupojieban/img02.jpg
- appmark####.cdn.bc####.####.com/xiadaoliecheshoupojieban/img03.jpg
- appmark####.cdn.bc####.####.com/xiadaoliecheshoupojieban/img04.jpg
- appmark####.cdn.bc####.####.com/xiadaoliecheshoupojieban/xperiaicon.png?...
- appmark####.cdn.bc####.####.com/zhiwudazhanjiangshi2pojieban/imgicon.png...
- appmark####.cdn.bc####.####.com/zuiqiangdanyidanpojieban/imgcon.png?1535...
- appmark####.cdn.bc####.####.com/zuiqiangfeidaoshoupojieban/imgcon.png?15...
- appmark####.cdn.bc####.####.com/zuiyouxi3pojieban/imgicon.png?1535008####
- gz.bc####.com/jiubanshangdian/config/xiaojimoniqi-config.properties
- gz.bc####.com/jiubanshangdian/splash/xiaojimoniqi.jpg
- gz.bc####.com/wodeshijieconfig.txt
Запросы HTTP POST:
- a####.u####.com/app_logs
- h####.b####.com/app.gif
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/05125473f5ca9f9ee0dde0e6d740b7f8.0.tmp
- /data/data/####/05125473f5ca9f9ee0dde0e6d740b7f8.1.tmp
- /data/data/####/081885ff918498543775b32c3a326b91.0.tmp
- /data/data/####/081885ff918498543775b32c3a326b91.1.tmp
- /data/data/####/1fd80479e9c03b3ecf1eb843ebbef2c5.0.tmp
- /data/data/####/1fd80479e9c03b3ecf1eb843ebbef2c5.1.tmp
- /data/data/####/2a45dd01fbb9a3cc5eb580247e60589d.0.tmp
- /data/data/####/2a45dd01fbb9a3cc5eb580247e60589d.1.tmp
- /data/data/####/2f1ce40fbeae21840ecf53393fc24528.0.tmp
- /data/data/####/2f1ce40fbeae21840ecf53393fc24528.1.tmp
- /data/data/####/2feddef93f6cbeb5f73bbf05f72f3ff0.0.tmp
- /data/data/####/2feddef93f6cbeb5f73bbf05f72f3ff0.1.tmp
- /data/data/####/3bf9acd170d5641f3a896234fb980b2c.0.tmp
- /data/data/####/3bf9acd170d5641f3a896234fb980b2c.1.tmp
- /data/data/####/3f4e2c454f356cae6c8cf309621816fe.0.tmp
- /data/data/####/3f4e2c454f356cae6c8cf309621816fe.1.tmp
- /data/data/####/3feb0e4753dc10ba3ba1173ad26acd72.0.tmp
- /data/data/####/3feb0e4753dc10ba3ba1173ad26acd72.1.tmp
- /data/data/####/470d45d85983143e8effa70534bb1757.0.tmp
- /data/data/####/470d45d85983143e8effa70534bb1757.1.tmp
- /data/data/####/500573c208f63ec642ca483e4b0004fe.0.tmp
- /data/data/####/500573c208f63ec642ca483e4b0004fe.1.tmp
- /data/data/####/5009d9d8df4d253abc6f967d70f3881a.0.tmp
- /data/data/####/5009d9d8df4d253abc6f967d70f3881a.1.tmp
- /data/data/####/55f73940c3dc2869d6d2afbf772ea805.0.tmp
- /data/data/####/55f73940c3dc2869d6d2afbf772ea805.1.tmp
- /data/data/####/5c6a3d9437b378e66008ea3443974839.0.tmp
- /data/data/####/5c6a3d9437b378e66008ea3443974839.1.tmp
- /data/data/####/5fe46c3f8b05c49e3c25a5b298c3db5d.0.tmp
- /data/data/####/5fe46c3f8b05c49e3c25a5b298c3db5d.1.tmp
- /data/data/####/78d2c8d03448d9159655adeba390e331.0.tmp
- /data/data/####/78d2c8d03448d9159655adeba390e331.1.tmp
- /data/data/####/7d134d37659cc009f206e289a9e78237.0.tmp
- /data/data/####/7d134d37659cc009f206e289a9e78237.1.tmp
- /data/data/####/7e05bb702dc408ba3b50eb7170cd0177.0.tmp
- /data/data/####/7e05bb702dc408ba3b50eb7170cd0177.1.tmp
- /data/data/####/8da954a5d28431d0d11df55a88bfa81f.0.tmp
- /data/data/####/8da954a5d28431d0d11df55a88bfa81f.1.tmp
- /data/data/####/8fd0ed45c608c063815540110321bb36.0.tmp
- /data/data/####/8fd0ed45c608c063815540110321bb36.1.tmp
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/NmQ5l78rqeicJo7CMn3DAg==.new
- /data/data/####/PrefFirst.xml
- /data/data/####/SvIbios4K7OR5V54_vKY1g==
- /data/data/####/User_Icon.xml
- /data/data/####/User_Id.xml
- /data/data/####/User_Name.xml
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_except_cache.json
- /data/data/####/__local_last_session.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/bIBmx_C3MTtWLg_l
- /data/data/####/c5f2d7cdf61d434646329ab25418fc25.0.tmp
- /data/data/####/c5f2d7cdf61d434646329ab25418fc25.1.tmp
- /data/data/####/cTPIIPhB7iongL8k2-Ljyg==.new
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/ceddba71991341d27857a6b74bc4ce4f.0.tmp
- /data/data/####/ceddba71991341d27857a6b74bc4ce4f.1.tmp
- /data/data/####/d09a59c19ca2f5b6f35c5bfc9ceb7822.0.tmp
- /data/data/####/d09a59c19ca2f5b6f35c5bfc9ceb7822.1.tmp
- /data/data/####/d0a17bfc75b96d0ba7ebe01d959c3ded.0.tmp
- /data/data/####/d0a17bfc75b96d0ba7ebe01d959c3ded.1.tmp
- /data/data/####/d482f62c5e87f89bade0d1fc7922c7cb.0.tmp
- /data/data/####/d482f62c5e87f89bade0d1fc7922c7cb.1.tmp
- /data/data/####/d64b996ffeeadd746a62c3654968069c.0.tmp
- /data/data/####/d64b996ffeeadd746a62c3654968069c.1.tmp
- /data/data/####/db_point_download-journal
- /data/data/####/e3e45f8b23f2da55cdac97ac0ec376f4.0.tmp
- /data/data/####/e3e45f8b23f2da55cdac97ac0ec376f4.1.tmp
- /data/data/####/e422e0946eb81a99a080cd51a3bcf3ed.0.tmp
- /data/data/####/e422e0946eb81a99a080cd51a3bcf3ed.1.tmp
- /data/data/####/e6e731a024ec486b67c04181023b098a.0.tmp
- /data/data/####/e6e731a024ec486b67c04181023b098a.1.tmp
- /data/data/####/eb68421973e022d262589e3cde92c2dd.0.tmp
- /data/data/####/eb68421973e022d262589e3cde92c2dd.1.tmp
- /data/data/####/ec685398dd8b79f6ef7ea3d83ebe86e9.0.tmp
- /data/data/####/ec685398dd8b79f6ef7ea3d83ebe86e9.1.tmp
- /data/data/####/ed6dab693b95d322c1b42a68d5063d63.0.tmp
- /data/data/####/ed6dab693b95d322c1b42a68d5063d63.1.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/fb6094a63a9041276833ef078f4fd702.0.tmp
- /data/data/####/fb6094a63a9041276833ef078f4fd702.1.tmp
- /data/data/####/journal.tmp
- /data/data/####/libjiagu.so
- /data/data/####/pRuwknabiWjsDokH.zip
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/rdata_comeuvnvoilz.new
- /data/data/####/share_date.xml
- /data/data/####/txfcvq_f.zip
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/zhJwzRVSZ0o9JMsIv5FEcw==
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/a.txt
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Отрисовывает собственные окна поверх других приложений.
