Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Triada.309
- Android.Triada.417.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) lk####.o8####.com:20351
- TCP(HTTP/1.1) wd5.mil####.com:8006
- TCP(HTTP/1.1) z####.heyc####.net:80
- TCP(HTTP/1.1) r####.qq####.cn:80
- TCP(HTTP/1.1) i.s####.ne####.####.cn:10018
- TCP(HTTP/1.1) f6####.zj####.com:20351
- TCP(HTTP/1.1) api.con####.kyli####.com:666
- TCP(HTTP/1.1) MY####.huita####.com:10091
- TCP(HTTP/1.1) p####.cdb####.cn:80
- TCP(HTTP/1.1) f6####.zj####.com:15215
- TCP(HTTP/1.1) as.ju####.com:80
- TCP(TLS/1.0) e####.cdo.oppomo####.com:443
- TCP(TLS/1.0) bj####.ads.oppomo####.com:443
- TCP(TLS/1.0) g####.cdo.oppomo####.com:443
- TCP(TLS/1.0) i####.oppomo####.com:443
- TCP(TLS/1.0) api.cdo.oppomo####.com:443
Запросы DNS:
- MY####.huita####.com
- api.cdo.oppomo####.com
- api.con####.kyli####.com
- as.ju####.com
- bj####.ads.oppomo####.com
- d####.wos####.com
- dl.api.kyli####.com
- e####.cdo.oppomo####.com
- f6####.zj####.com
- g####.cdo.oppomo####.com
- i####.oppomo####.com
- i.s####.ne####.####.cn
- lk####.o8####.com
- p####.cdb####.cn
- r####.qq####.cn
- wd5.mil####.com
- z####.heyc####.net
Запросы HTTP GET:
- as.ju####.com/as?m=####&v=####&av=####&ch=####&k=####&pkg=####&action=##...
- as.ju####.com/as?m=####&v=####&k=####&c=####&pkg=####&json=####
- p####.cdb####.cn/z/2hffjyhfthtr4x.zip
- p####.cdb####.cn/z/2itfggdtgreg4x.zip
- r####.qq####.cn/f/wdvdfvwyf50
Запросы HTTP POST:
- MY####.huita####.com:10091/wisdom/marking
- api.con####.kyli####.com:666/v1/config
- f6####.zj####.com:15215/tr/
- f6####.zj####.com:15215/ts/
- i.s####.ne####.####.cn:10018/statistics/ClientStartUpload
- lk####.o8####.com:20351/ds/
- wd5.mil####.com:8006/bservice/getdata.do
- z####.heyc####.net/getlist
- z####.heyc####.net/xlogin
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/05957d464ed475c39a326969297db9e4.xml
- /data/data/####/13b9ba19083e283e4edadffb653ab3bd.log
- /data/data/####/13b9ba19083e283e4edadffb653ab3bd.log.temp
- /data/data/####/3311414a4523ffb20b8cede0e707b4df
- /data/data/####/53dacd775021052226ce4a5cd8e7186e.log.temp
- /data/data/####/COUNTLY_STORE.xml
- /data/data/####/NearMeSTAT.db-journal
- /data/data/####/acs_st.db-journal
- /data/data/####/acs_st_config.ini
- /data/data/####/app.min.js
- /data/data/####/arrow.png
- /data/data/####/aw.jar
- /data/data/####/book_header_mask.png
- /data/data/####/book_icon_list.png
- /data/data/####/book_icon_more.png
- /data/data/####/btn_go.png
- /data/data/####/com.nearme.gamecenter.open.xml
- /data/data/####/com.oppo.acs.st.prefs.xml
- /data/data/####/default-banner.png
- /data/data/####/default-game.png
- /data/data/####/detail_icon_4.png
- /data/data/####/dpi
- /data/data/####/drhcnlgp.jar
- /data/data/####/empty.png
- /data/data/####/error_sorry.png
- /data/data/####/error_wifi.png
- /data/data/####/game_comment_bg.png
- /data/data/####/game_comment_icon_1.png
- /data/data/####/game_comment_icon_2.png
- /data/data/####/game_comment_icon_3.png
- /data/data/####/gameid
- /data/data/####/gameid.zip
- /data/data/####/hid.db
- /data/data/####/icon-close.png
- /data/data/####/icon_detail_nomessage.png
- /data/data/####/icon_evaluation.png
- /data/data/####/icon_list.png
- /data/data/####/icon_more.png
- /data/data/####/icon_pointer_right.png
- /data/data/####/icon_strategy.png
- /data/data/####/icon_title.png
- /data/data/####/icon_video.png
- /data/data/####/index.html
- /data/data/####/jgssmijq.jar
- /data/data/####/jqze.png
- /data/data/####/kk_spf.xml
- /data/data/####/left_bg.png
- /data/data/####/libjiagu-525813070.so
- /data/data/####/libonlywechat_plugin.so
- /data/data/####/libqefx.so
- /data/data/####/libqefx.so-32
- /data/data/####/libqefx.so-64
- /data/data/####/libs.min.js
- /data/data/####/middle_bg.png
- /data/data/####/nearme_func_com.sod.cuterfrut.nearme.gamecenter.xml
- /data/data/####/nearme_setting_0.xml
- /data/data/####/nearme_setting_com.sod.cuterfrut.nearme.gamecenter.xml
- /data/data/####/no_more_left_icon.png
- /data/data/####/no_more_right_icon.png
- /data/data/####/num_bg.png
- /data/data/####/oppo_game_service_201004.apk_temp
- /data/data/####/oppo_spinner_black_16.png
- /data/data/####/oppo_spinner_black_48.png
- /data/data/####/plugin_framework.xml
- /data/data/####/qcutkmli.jar
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/report_control.xml
- /data/data/####/rhniljen.jar
- /data/data/####/round_bg1.png
- /data/data/####/rws_sp.xml
- /data/data/####/smile_face.png
- /data/data/####/smonegvs.jar
- /data/data/####/sp_rvp.xml
- /data/data/####/sp_rvp2.xml
- /data/data/####/style.css
- /data/data/####/table_bg.png
- /data/data/####/version
- /data/data/####/vip_tag.png
- /data/data/####/webview.db-journal
- /data/data/####/yd_config_c.xml
- /data/media/####/.Og.meta
- /data/media/####/.mdowid
- /data/media/####/.nid
- /data/media/####/.nomedia
- /data/media/####/1d094ebaee02f1a340eaaabdc1dd2272.0.tmp
- /data/media/####/5d7f5a7c19621cb923bb0691d9ac892d.0.tmp
- /data/media/####/658cacc067a2171f5ec1aacb5fe490b8.0.tmp
- /data/media/####/7c296e14eab6ea9bff425c31850d3273.0.tmp
- /data/media/####/a3f314a94d78c27ce3da2c66484ccea4.0.tmp
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/mcs_msg.ini
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/sh
- cat /proc/version
- cat /sys/class/android_usb/android0/iManufacturer
- cat /sys/class/android_usb/android0/iProduct
- cat /sys/class/android_usb/android0/iSerial
- cat /sys/class/android_usb/android0/idProduct
- cat /sys/class/android_usb/android0/idVendor
- cat /sys/class/net/wlan0/address
- chmod 755 <Package Folder>/.jiagu/libjiagu-525813070.so
- getprop
- getprop ro.board.platform
- getprop ro.product.cpu.abi
- ls -l /dev
- ls -l /dev/block
- ls -l /dev/block/vold
- ls -l /dev/com.android.settings.daemon
- ls -l /dev/cpuctl
- ls -l /dev/cpuctl/apps
- ls -l /dev/cpuctl/apps/bg_non_interactive
- ls -l /dev/graphics
- ls -l /dev/input
- ls -l /dev/log
- ls -l /dev/pts
- ls -l /dev/snd
- ls -l /dev/socket
- ps
Загружает динамические библиотеки:
- cocos2dlua
- libjiagu-525813070
- libqefx
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к интерфейсу камеры.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
