Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Waps.5.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 99####.5a1.xyz:80
- TCP(HTTP/1.1) ads.w####.cn:80
- TCP(HTTP/1.1) tac-p1-####.cos.ap-shan####.####.com:80
- TCP(HTTP/1.1) ws####.su####.com:80
- TCP(HTTP/1.1) th####.com:80
- TCP(HTTP/1.1) t####.qq.com:80
- TCP(HTTP/1.1) ap####.w####.cn.####.com:80
- TCP(HTTP/1.1) w####.bo####.cn:80
- TCP(HTTP/1.1) app.w####.cn:80
- TCP(HTTP/1.1) h####.b####.com:80
- TCP(HTTP/1.1) t####.qq.com:443
- TCP(TLS/1.0) 2####.58.212.142:443
- TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
- TCP t####.qq.com:80
- TCP t####.qq.com:443
Запросы DNS:
- 99####.5a1.xyz
- ads.w####.cn
- ap####.w####.cn
- app.w####.cn
- h####.b####.com
- log.u####.com
- pi####.qq.com
- q####.su####.com
- s####.u####.com
- t####.qq.com
- tac-p1-####.cos.ap-shan####.####.com
- th####.com
- w####.bo####.cn
Запросы HTTP GET:
- ads.w####.cn/action/ad/show?app_id=####&udid=####&imsi=####&net=####&bas...
- ads.w####.cn/action/pop_ad/ad?app_id=####&udid=####&imsi=####&net=####&b...
- ap####.w####.cn.####.com/appfile/offer/js/jquery.min.js
- app.w####.cn/action/account/getinfo?app_id=####&udid=####&imsi=####&net=...
- app.w####.cn/action/connect/active?app_id=####&udid=####&imsi=####&net=#...
- tac-p1-####.cos.ap-shan####.####.com/zps/update/update1.txt
- th####.com/t6/362/1535213771x-1404817850.jpg
- th####.com/t6/362/1535214123x-1376440240.jpg
- th####.com/t6/362/1535214178x1822611365.jpg
- th####.com/t6/362/1535214225x-1376440240.jpg
- th####.com/t6/362/1535214277x-1404775443.jpg
- th####.com/t6/362/1535214321x-1376440156.jpg
- th####.com/t6/362/1535214360x-1566688712.jpg
- w####.bo####.cn/v/api_zb/t_pt.php
- ws####.su####.com/getSysTime.do
Запросы HTTP POST:
- 99####.5a1.xyz/mysql/openapi_unsafe.php
- app.w####.cn/action/user_info
- h####.b####.com/app.gif
- t####.qq.com/203.205.211.75:80/
- t####.qq.com:443/203.205.211.75:443/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.tpns.xml.xml
- /data/data/####/1df530da9ea7b498f79fdaf75fc09067.0.tmp
- /data/data/####/1df530da9ea7b498f79fdaf75fc09067.1.tmp
- /data/data/####/205a4106d7204756d3884de2551543e9.0.tmp
- /data/data/####/205a4106d7204756d3884de2551543e9.1.tmp
- /data/data/####/21c5da68275450f4ba26ebca6c41ce96.0.tmp
- /data/data/####/21c5da68275450f4ba26ebca6c41ce96.1.tmp
- /data/data/####/2e219b4036ffe169cacf7880e0c96069.0.tmp
- /data/data/####/2e219b4036ffe169cacf7880e0c96069.1.tmp
- /data/data/####/30db80a0c95f8c0bb54e97086d5e72b0.0.tmp
- /data/data/####/30db80a0c95f8c0bb54e97086d5e72b0.1.tmp
- /data/data/####/528c4b2331063f9aa00d25cfe8559ec2.0.tmp
- /data/data/####/528c4b2331063f9aa00d25cfe8559ec2.1.tmp
- /data/data/####/8a275df7a6b0eed5d94cd4a584aa2593.0.tmp
- /data/data/####/8a275df7a6b0eed5d94cd4a584aa2593.1.tmp
- /data/data/####/8c56ce10c549e9734293f6d9e43d6c4f.0.tmp
- /data/data/####/8c56ce10c549e9734293f6d9e43d6c4f.1.tmp
- /data/data/####/95ab50c2ad35caa28c39827529753a68.0.tmp
- /data/data/####/95ab50c2ad35caa28c39827529753a68.1.tmp
- /data/data/####/AppSettings.xml
- /data/data/####/CacheTime.dat
- /data/data/####/ShowAdFlag.xml
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_ap_info_cache.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/com.com.android.jiujiu_preferences.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/device_id.xml
- /data/data/####/dex1
- /data/data/####/e1cd63f7281d88c66272d37818388b19.0.tmp
- /data/data/####/e1cd63f7281d88c66272d37818388b19.1.tmp
- /data/data/####/ee7199a51598e47a84fbd84c35ad1fc7.0.tmp
- /data/data/####/ee7199a51598e47a84fbd84c35ad1fc7.1.tmp
- /data/data/####/f46adce507db01a02666624ac16cbb0b.0.tmp
- /data/data/####/f46adce507db01a02666624ac16cbb0b.1.tmp
- /data/data/####/f_000001
- /data/data/####/faf7889a94d11d2ef8110397c7ff6d97.0.tmp
- /data/data/####/faf7889a94d11d2ef8110397c7ff6d97.1.tmp
- /data/data/####/index
- /data/data/####/journal.tmp
- /data/data/####/libjiagu-1638025623.so
- /data/data/####/pri_tpush_tencent_analysis.db_com.com.android.j...ournal
- /data/data/####/tpush_tencent_analysis.db_com.com.android.jiuji...ournal
- /data/data/####/umeng_socialize.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.confd
- /data/media/####/.confd-journal
- /data/media/####/.config
- /data/media/####/.cuid
- /data/media/####/AppPackage.dat
- /data/media/####/CacheTime.dat
- /data/media/####/UnPackage.dat
- /data/media/####/android
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu-1638025623.so
Загружает динамические библиотеки:
- libjiagu-1638025623
- tpnsSecurity
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
