Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Kyview.2.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 47.1####.140.194:8080
- TCP(HTTP/1.1) rd.gdata####.net:80
- TCP(HTTP/1.1) cf.gdata####.net:80
- TCP(HTTP/1.1) 47.1####.140.194:80
- TCP(TLS/1.0) rep####.crashly####.com:443
- TCP(TLS/1.0) co####.ad####.cn:443
- TCP(TLS/1.0) sett####.crashly####.com:443
Запросы DNS:
- cf.gdata####.net
- co####.ad####.cn
- rd.gdata####.net
- rep####.crashly####.com
- sett####.crashly####.com
Запросы HTTP POST:
- cf.gdata####.net/config/update
- rd.gdata####.net/dc/sync_adr
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/5B98549800F0-0001-0827-EF3C324C72A2.cls_temp
- /data/data/####/5B98549800F0-0001-0827-EF3C324C72A2BeginSession.cls_temp
- /data/data/####/5B98549800F0-0001-0827-EF3C324C72A2SessionApp.cls_temp
- /data/data/####/5B98549800F0-0001-0827-EF3C324C72A2SessionCrash.cls_temp
- /data/data/####/5B98549800F0-0001-0827-EF3C324C72A2SessionDevice.cls_temp
- /data/data/####/5B98549800F0-0001-0827-EF3C324C72A2SessionOS.cls_temp
- /data/data/####/5B98549800F0-0001-0827-EF3C324C72A2SessionUser.cls_temp
- /data/data/####/5B9854C50235-0002-0827-EF3C324C72A2BeginSession.cls_temp
- /data/data/####/5B9854C50235-0002-0827-EF3C324C72A2SessionApp.cls_temp
- /data/data/####/5B9854C50235-0002-0827-EF3C324C72A2SessionDevice.cls_temp
- /data/data/####/5B9854C50235-0002-0827-EF3C324C72A2SessionOS.cls_temp
- /data/data/####/SDK20171203120752s5mgerrvu7vr2do_spread.xml
- /data/data/####/TwitterAdvertisingInfoPreferences.xml
- /data/data/####/com.crashlytics.prefs.xml
- /data/data/####/com.crashlytics.sdk.android;answers;settings.xml
- /data/data/####/com.crashlytics.settings.json
- /data/data/####/config.xml
- /data/data/####/crash_marker
- /data/data/####/daemon
- /data/data/####/dataeye_database_C3988CF37C65D4A4B518A1E7EBC166...ournal
- /data/data/####/dataeye_database_C3988CF37C65D4A4B518A1E7EBC166AE.db
- /data/data/####/dc.C3988CF37C65D4A4B518A1E7EBC166AE.preferences.xml
- /data/data/####/dc.global.prfrerence.xml
- /data/data/####/destiny.apk
- /data/data/####/initialization_marker
- /data/data/####/io.fabric.sdk.android;fabric;io.fabric.sdk.andr...ng.xml
- /data/data/####/libjiagu-1741839663.so
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/sa_14c492e7-3d77-46b2-a4bd-19c2ded6936a_1536709784344.tap
- /data/data/####/session_analytics.tap
- /data/data/####/session_analytics.tap.tmp
- /data/data/####/sg.C3988CF37C65D4A4B518A1E7EBC166AE.preferences.xml
- /data/media/####/LD32D
- /data/media/####/appids.dat
- /data/media/####/uid
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh
- cat /sys/class/net/wlan0/address
- chmod 755 <Package Folder>/.jiagu/libjiagu-1741839663.so
- chmod 777 <Package Folder>/app_bin/daemon
- ls -l /sbin/su
- ls -l /system/bin/su
- ls -l /system/sbin/su
- ls -l /system/xbin/su
- ls -l /vendor/bin/su
Загружает динамические библиотеки:
- libjiagu-1741839663
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Отрисовывает собственные окна поверх других приложений.
