Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.RemoteCode.127.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) up####.sdk.jig####.cn:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) 4####.95.66.205:7500
- TCP(SSL/3.0) s####.j####.cn:443
- TCP(TLS/1.0) sh.wagbr####.alibaba####.com:443
- TCP(TLS/1.0) api.s####.com:443
- TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) s####.j####.cn:443
- TCP(TLS/1.0) t####.j####.cn:443
- TCP(TLS/1.0) www.riyueb####.com:443
- TCP 1####.230.236.23:7001
- UDP s.j####.cn:19000
Запросы DNS:
- a####.u####.com
- api.s####.com
- log.u####.com
- plb####.u####.com
- s####.j####.cn
- s.j####.cn
- t####.j####.cn
- u####.u####.com
- up####.sdk.jig####.cn
- www.riyueb####.com
Запросы HTTP POST:
- a####.u####.com/app_logs
- up####.sdk.jig####.cn/v1/push/sdk/postlist
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/5c73da86e92e8d81bbef6be2f29320fb1ad8e3cb454712b....0.tmp
- /data/data/####/65e489d6cfafd906eb21d579bee6a947982d6a4a14e43bb....0.tmp
- /data/data/####/80bb387cf30d2fcdcc2692b6d639b76ccf76f87444627a0....0.tmp
- /data/data/####/81d89acd-681e-4908-8ac2-6ab40b2a8741
- /data/data/####/916468e28d733179db60e3d280a5b271061b1a2b1400893....0.tmp
- /data/data/####/98c377a4-ff12-446f-9a59-c6abf256a294
- /data/data/####/99167d37c2f59b6c54486d8af73c8473f5b565f4ccf7f42....0.tmp
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/JPushSA_Config.xml
- /data/data/####/a45dac03-d17e-4756-abef-3b0b5176ec75
- /data/data/####/appPackageNames_v2
- /data/data/####/b258ee76be40aed670f4d7f6132657433ec3cf4521580c0....0.tmp
- /data/data/####/b4f3711697405bf6d276191da6ded198970d95f26429c7f....0.tmp
- /data/data/####/b541c97ec4611758f887b50f46c0ca0369dc9371b2d2a07....0.tmp
- /data/data/####/bdba09c4-8ded-4c41-bcad-bcccb98df54f
- /data/data/####/c67f26ae-33ed-4f2f-b36d-75f3a14c5a4d
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/cn.jpush.android.user.profile.xml
- /data/data/####/cn.jpush.preferences.v2.rid.xml
- /data/data/####/cn.jpush.preferences.v2.xml
- /data/data/####/dcf82ae3-4ba4-45bc-a4f1-1db443e30adc
- /data/data/####/e2d6a831-6fdf-4e93-9faa-60f1242d5d49
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/i==1.2.0&&1.4.2_1536942865288_envelope.log
- /data/data/####/info.xml
- /data/data/####/journal.tmp
- /data/data/####/jpush_device_info.xml
- /data/data/####/jpush_stat_cache.json
- /data/data/####/jpush_stat_cache_history.json
- /data/data/####/jpush_statistics.db
- /data/data/####/jpush_statistics.db-journal
- /data/data/####/jpush_statistics.db-shm (deleted)
- /data/data/####/jpush_statistics.db-wal
- /data/data/####/libjiagu1731789286.so
- /data/data/####/share.db
- /data/data/####/share.db-journal
- /data/data/####/sobot_chat_20180914_log.txt
- /data/data/####/sobot_config.xml
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_socialize.xml
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.push_deviceid
- /data/media/####/.umm.dat
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/liming.db-journal
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu1731789286.so
- ps
Загружает динамические библиотеки:
- jcore123
- libjiagu1731789286
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
- AES-ECB-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-ECB-NoPadding
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
