Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.248.origin
- Android.Triada.309
- Android.Triada.373.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) gz.bc####.com:80
- TCP(HTTP/1.1) appmark####.cdn.bc####.####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) 1####.25.155.50:80
- TCP(HTTP/1.1) h####.b####.com:80
- TCP(TLS/1.0) sdk.juba####.com:443
Запросы DNS:
- a####.u####.com
- appma####.gz.bc####.com
- appmark####.cdn.bc####.com
- h####.b####.com
- s####.gz.bc####.com
- sdk.juba####.com
Запросы HTTP GET:
- appmark####.cdn.bc####.####.com/anheixuetongchaoVban/icon???1024x1024.pn...
- appmark####.cdn.bc####.####.com/buluochongtupojieban/imgicon.png?1535008...
- appmark####.cdn.bc####.####.com/dashengguilaipojieban/imgicon.png?153500...
- appmark####.cdn.bc####.####.com/gongjianshoudazuozhanpojieban/imgicon.pn...
- appmark####.cdn.bc####.####.com/guanggao/shanhaiyishou.jpg
- appmark####.cdn.bc####.####.com/huangshizhanzhengpojieban/imgicon.png?15...
- appmark####.cdn.bc####.####.com/jihuangpojieban/imgicon.png?1535008####
- appmark####.cdn.bc####.####.com/jinianbeigu2pojieban/imgicon.png?1535008...
- appmark####.cdn.bc####.####.com/juediqiushengcijizhanchangpojieban/10356...
- appmark####.cdn.bc####.####.com/lvxingqingwapojieban/imgicon.png?1535008...
- appmark####.cdn.bc####.####.com/mingzhentankenanchunheideemeng/icon_512x...
- appmark####.cdn.bc####.####.com/minishijiepojieban/imgicon.png?1535008####
- appmark####.cdn.bc####.####.com/mofamenguaji/152x152.png?1535008####
- appmark####.cdn.bc####.####.com/qiuqiudazuozhanpojieban/imgicon.png?1535...
- appmark####.cdn.bc####.####.com/shanhaiyishoulupojieban/imgicon.png?1535...
- appmark####.cdn.bc####.####.com/suduyujiqing9pojieban/icon.png?1535008####
- appmark####.cdn.bc####.####.com/tangmumiaoshuishangleyuanpojieban/icon.p...
- appmark####.cdn.bc####.####.com/tianlongmanVban/512x512icon.png?1535008#...
- appmark####.cdn.bc####.####.com/wangzherongyao/imgicon.png?1535008####
- appmark####.cdn.bc####.####.com/wodeanjilapojieban/imgicon.png?1535008####
- appmark####.cdn.bc####.####.com/xiadaofeichepojieban/imgicon.png?1535008...
- appmark####.cdn.bc####.####.com/xiadaofeichezuiedushipojieban/imgcon.png...
- appmark####.cdn.bc####.####.com/xiadaoliecheshoupojieban/xperiaicon.png?...
- appmark####.cdn.bc####.####.com/yaodaoyiwenlu/512.png?1535008####
- appmark####.cdn.bc####.####.com/zhiwudazhanjiangshi2pojieban/imgicon.png...
- appmark####.cdn.bc####.####.com/ziyuetulongpojieban/imgicon.png?1535008#...
- appmark####.cdn.bc####.####.com/zuiqiangdanyidanpojieban/imgcon.png?1535...
- appmark####.cdn.bc####.####.com/zuiqiangfeidaoshoupojieban/imgcon.png?15...
- appmark####.cdn.bc####.####.com/zuiyouxi3pojieban/imgicon.png?1535008####
- gz.bc####.com/jiubanshangdian/config/huluxia-config.properties
- gz.bc####.com/jiubanshangdian/splash/huluxia.jpg
- gz.bc####.com/wodeshijieconfig.txt
Запросы HTTP POST:
- a####.u####.com/app_logs
- h####.b####.com/app.gif
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/05bbfe5f89349c35020540184008cd9e.0.tmp
- /data/data/####/05bbfe5f89349c35020540184008cd9e.1.tmp
- /data/data/####/1fd80479e9c03b3ecf1eb843ebbef2c5.0.tmp
- /data/data/####/1fd80479e9c03b3ecf1eb843ebbef2c5.1.tmp
- /data/data/####/2feddef93f6cbeb5f73bbf05f72f3ff0.0.tmp
- /data/data/####/2feddef93f6cbeb5f73bbf05f72f3ff0.1.tmp
- /data/data/####/3f4e2c454f356cae6c8cf309621816fe.0.tmp
- /data/data/####/3f4e2c454f356cae6c8cf309621816fe.1.tmp
- /data/data/####/4217204de6b9dd2bf5e8cb82da7c8344.0.tmp
- /data/data/####/4217204de6b9dd2bf5e8cb82da7c8344.1.tmp
- /data/data/####/470d45d85983143e8effa70534bb1757.0.tmp
- /data/data/####/470d45d85983143e8effa70534bb1757.1.tmp
- /data/data/####/500573c208f63ec642ca483e4b0004fe.0.tmp
- /data/data/####/500573c208f63ec642ca483e4b0004fe.1.tmp
- /data/data/####/5009d9d8df4d253abc6f967d70f3881a.0.tmp
- /data/data/####/5009d9d8df4d253abc6f967d70f3881a.1.tmp
- /data/data/####/53cefab1547164378268e42d5794d675.0.tmp
- /data/data/####/53cefab1547164378268e42d5794d675.1.tmp
- /data/data/####/55f73940c3dc2869d6d2afbf772ea805.0.tmp
- /data/data/####/55f73940c3dc2869d6d2afbf772ea805.1.tmp
- /data/data/####/5c6a3d9437b378e66008ea3443974839.0.tmp
- /data/data/####/5c6a3d9437b378e66008ea3443974839.1.tmp
- /data/data/####/5fe46c3f8b05c49e3c25a5b298c3db5d.0.tmp
- /data/data/####/5fe46c3f8b05c49e3c25a5b298c3db5d.1.tmp
- /data/data/####/7d134d37659cc009f206e289a9e78237.0.tmp
- /data/data/####/7d134d37659cc009f206e289a9e78237.1.tmp
- /data/data/####/7e05bb702dc408ba3b50eb7170cd0177.0.tmp
- /data/data/####/7e05bb702dc408ba3b50eb7170cd0177.1.tmp
- /data/data/####/7v-O4ySDx_3R9NPj.zip
- /data/data/####/8da954a5d28431d0d11df55a88bfa81f.0.tmp
- /data/data/####/8da954a5d28431d0d11df55a88bfa81f.1.tmp
- /data/data/####/90dwoojdxhVektVf
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/Oq2F_NMQ8LojM80IxgXdMQ==
- /data/data/####/PrefFirst.xml
- /data/data/####/User_Icon.xml
- /data/data/####/User_Id.xml
- /data/data/####/User_Name.xml
- /data/data/####/V22LGTQocExP0sTPO68j1Q==.new
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_last_session.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/c5f2d7cdf61d434646329ab25418fc25.0.tmp
- /data/data/####/c5f2d7cdf61d434646329ab25418fc25.1.tmp
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/ceddba71991341d27857a6b74bc4ce4f.0.tmp
- /data/data/####/ceddba71991341d27857a6b74bc4ce4f.1.tmp
- /data/data/####/d0a17bfc75b96d0ba7ebe01d959c3ded.0.tmp
- /data/data/####/d0a17bfc75b96d0ba7ebe01d959c3ded.1.tmp
- /data/data/####/d482f62c5e87f89bade0d1fc7922c7cb.0.tmp
- /data/data/####/d482f62c5e87f89bade0d1fc7922c7cb.1.tmp
- /data/data/####/d64b996ffeeadd746a62c3654968069c.0.tmp
- /data/data/####/d64b996ffeeadd746a62c3654968069c.1.tmp
- /data/data/####/db_point_download-journal
- /data/data/####/dljUcZm9mzvBeKDaezVleQ==.new
- /data/data/####/e3e45f8b23f2da55cdac97ac0ec376f4.0.tmp
- /data/data/####/e3e45f8b23f2da55cdac97ac0ec376f4.1.tmp
- /data/data/####/e422e0946eb81a99a080cd51a3bcf3ed.0.tmp
- /data/data/####/e422e0946eb81a99a080cd51a3bcf3ed.1.tmp
- /data/data/####/ec685398dd8b79f6ef7ea3d83ebe86e9.0.tmp
- /data/data/####/ec685398dd8b79f6ef7ea3d83ebe86e9.1.tmp
- /data/data/####/ed6dab693b95d322c1b42a68d5063d63.0.tmp
- /data/data/####/ed6dab693b95d322c1b42a68d5063d63.1.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/fb6094a63a9041276833ef078f4fd702.0.tmp
- /data/data/####/fb6094a63a9041276833ef078f4fd702.1.tmp
- /data/data/####/journal.tmp
- /data/data/####/libjiagu.so
- /data/data/####/m_XfFHnGnA_qH2THzqlU6Q==
- /data/data/####/rdata_comeuvnvoilz.new
- /data/data/####/share_date.xml
- /data/data/####/txfcvq_f.zip
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/a.txt
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Отрисовывает собственные окна поверх других приложений.
