Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Waps.5.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 99####.5a1.xyz:80
- TCP(HTTP/1.1) ads.w####.cn:80
- TCP(HTTP/1.1) weib####.g####.sina####.com:80
- TCP(HTTP/1.1) ws####.su####.com:80
- TCP(HTTP/1.1) th####.com:80
- TCP(HTTP/1.1) t####.qq.com:14000
- TCP(HTTP/1.1) t####.qq.com:80
- TCP(HTTP/1.1) ap####.w####.cn.####.com:80
- TCP(HTTP/1.1) w####.bo####.cn:80
- TCP(HTTP/1.1) app.w####.cn:80
- TCP(HTTP/1.1) h####.b####.com:80
- TCP(HTTP/1.1) tac-p1-####.cos.ap-shan####.####.com:80
- TCP(TLS/1.0) 1####.217.17.110:443
- TCP(TLS/1.0) i.l####.net:443
- TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
- TCP t####.qq.com:80
- TCP t####.qq.com:14000
Запросы DNS:
- 99####.5a1.xyz
- ads.w####.cn
- ap####.w####.cn
- app.w####.cn
- h####.b####.com
- i.l####.net
- log.u####.com
- pi####.qq.com
- q####.su####.com
- s####.u####.com
- t####.qq.com
- tac-p1-####.cos.ap-shan####.####.com
- th####.com
- w####.bo####.cn
- ww3.sin####.cn
- wx1.sin####.cn
- wx3.sin####.cn
- wx4.sin####.cn
Запросы HTTP GET:
- ads.w####.cn/action/ad/show?app_id=####&udid=####&imsi=####&net=####&bas...
- ads.w####.cn/action/pop_ad/ad?app_id=####&udid=####&imsi=####&net=####&b...
- ap####.w####.cn.####.com/appfile/offer/js/jquery.min.js
- app.w####.cn/action/account/getinfo?app_id=####&udid=####&imsi=####&net=...
- app.w####.cn/action/connect/active?app_id=####&udid=####&imsi=####&net=#...
- tac-p1-####.cos.ap-shan####.####.com/zps/update/update1.txt
- th####.com/t6/362/1535213867x1822611365.jpg
- th####.com/t6/362/1535214123x-1376440240.jpg
- th####.com/t6/362/1535214178x1822611365.jpg
- th####.com/t6/362/1535214225x-1376440240.jpg
- th####.com/t6/362/1535214277x-1404775443.jpg
- th####.com/t6/362/1535214321x-1376440156.jpg
- th####.com/t6/362/1535214360x-1566688712.jpg
- w####.bo####.cn/v/api_zb/t_pt.php
- weib####.g####.sina####.com/large/87c01ec7gy1frc0qchto4j20e80e9wgd.jpg
- weib####.g####.sina####.com/mw690/0060lm7Tly1fun3xw5md7j304h04d0sp.jpg
- weib####.g####.sina####.com/mw690/0060lm7Tly1fun3yc8s47j307404vt90.jpg
- weib####.g####.sina####.com/mw690/0060lm7Tly1fupd3m6rkfj307i06zwei.jpg
- weib####.g####.sina####.com/mw690/0060lm7Tly1fupe5f1jjtj304103owee.jpg
- weib####.g####.sina####.com/mw690/0060lm7Tly1fupeab1tqzj303d03dt8m.jpg
- weib####.g####.sina####.com/mw690/0060lm7Tly1fuzv9vl6nnj3046046gli.jpg
- weib####.g####.sina####.com/mw690/0060lm7Tly1fuzva6m3ovj3046046dfr.jpg
- ws####.su####.com/getSysTime.do
Запросы HTTP POST:
- 99####.5a1.xyz/mysql/openapi_unsafe.php
- app.w####.cn/action/user_info
- h####.b####.com/app.gif
- t####.qq.com/203.205.146.122:80/
- t####.qq.com:14000/203.205.146.122:14000/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.tpns.xml.xml
- /data/data/####/01c9a7670896c0ecd0b6402e8719ee4c.0.tmp
- /data/data/####/01c9a7670896c0ecd0b6402e8719ee4c.1.tmp
- /data/data/####/024e3cba5de6995b77db3d165f692302.0.tmp
- /data/data/####/024e3cba5de6995b77db3d165f692302.1.tmp
- /data/data/####/0660e0a99565f0cec908d1b1d9b0d433.0.tmp
- /data/data/####/0660e0a99565f0cec908d1b1d9b0d433.1.tmp
- /data/data/####/07221b913f39a35146a98a2caa7482e4.0.tmp
- /data/data/####/07221b913f39a35146a98a2caa7482e4.1.tmp
- /data/data/####/10c10154cf7c3d6bba74a0d6244862d9.0.tmp
- /data/data/####/10c10154cf7c3d6bba74a0d6244862d9.1.tmp
- /data/data/####/1a4902f6494d985d15868b22af7f164d.0.tmp
- /data/data/####/1a4902f6494d985d15868b22af7f164d.1.tmp
- /data/data/####/205a4106d7204756d3884de2551543e9.0.tmp
- /data/data/####/205a4106d7204756d3884de2551543e9.1.tmp
- /data/data/####/2e219b4036ffe169cacf7880e0c96069.0.tmp
- /data/data/####/2e219b4036ffe169cacf7880e0c96069.1.tmp
- /data/data/####/30db80a0c95f8c0bb54e97086d5e72b0.0.tmp
- /data/data/####/30db80a0c95f8c0bb54e97086d5e72b0.1.tmp
- /data/data/####/3a21771b33ac29c3ed8a14b7cf29cf16.0.tmp
- /data/data/####/3a21771b33ac29c3ed8a14b7cf29cf16.1.tmp
- /data/data/####/507d36860205430da186908df0d2bce1.0.tmp
- /data/data/####/507d36860205430da186908df0d2bce1.1.tmp
- /data/data/####/51f65c63c4d07d50d05845fed6cbdbf8.0.tmp
- /data/data/####/51f65c63c4d07d50d05845fed6cbdbf8.1.tmp
- /data/data/####/69aad85e7876c23ef4eff7605fcd4c33.0.tmp
- /data/data/####/69aad85e7876c23ef4eff7605fcd4c33.1.tmp
- /data/data/####/720f624f82ac473d49cc07dedd08e3b6.0.tmp
- /data/data/####/720f624f82ac473d49cc07dedd08e3b6.1.tmp
- /data/data/####/74f874c25716155bfcd500d3a130f371.0.tmp
- /data/data/####/74f874c25716155bfcd500d3a130f371.1.tmp
- /data/data/####/9185fca0f62ea3ce29e1f801ac2567d4.0.tmp
- /data/data/####/9185fca0f62ea3ce29e1f801ac2567d4.1.tmp
- /data/data/####/95ab50c2ad35caa28c39827529753a68.0.tmp
- /data/data/####/95ab50c2ad35caa28c39827529753a68.1.tmp
- /data/data/####/AppSettings.xml
- /data/data/####/CacheTime.dat
- /data/data/####/ShowAdFlag.xml
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_ap_info_cache.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/cd123753d669abda6811a7ea56623ee9.0.tmp
- /data/data/####/cd123753d669abda6811a7ea56623ee9.1.tmp
- /data/data/####/com.com.android.jiujiu_preferences.xml
- /data/data/####/d7ce054fb41199749e96c6f23993bba6.0.tmp
- /data/data/####/d7ce054fb41199749e96c6f23993bba6.1.tmp
- /data/data/####/d8906fa87fb4d5eb99dd1dc945f13546.0.tmp
- /data/data/####/d8906fa87fb4d5eb99dd1dc945f13546.1.tmp
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/dc325b0186dd4283c9ca1df02438f977.0.tmp
- /data/data/####/dc325b0186dd4283c9ca1df02438f977.1.tmp
- /data/data/####/device_id.xml
- /data/data/####/dex1
- /data/data/####/e07848b06b2b7f3f65179bad2e74a315.0.tmp
- /data/data/####/e07848b06b2b7f3f65179bad2e74a315.1.tmp
- /data/data/####/ee7199a51598e47a84fbd84c35ad1fc7.0.tmp
- /data/data/####/ee7199a51598e47a84fbd84c35ad1fc7.1.tmp
- /data/data/####/f46adce507db01a02666624ac16cbb0b.0.tmp
- /data/data/####/f46adce507db01a02666624ac16cbb0b.1.tmp
- /data/data/####/f_000001
- /data/data/####/faf7889a94d11d2ef8110397c7ff6d97.0.tmp
- /data/data/####/faf7889a94d11d2ef8110397c7ff6d97.1.tmp
- /data/data/####/index
- /data/data/####/journal.tmp
- /data/data/####/libjiagu-1638025623.so
- /data/data/####/pri_tpush_tencent_analysis.db_com.com.android.j...ournal
- /data/data/####/tpush_tencent_analysis.db_com.com.android.jiuji...ournal
- /data/data/####/umeng_socialize.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/-1207435337.tmp
- /data/media/####/-1379284692.tmp
- /data/media/####/-1396741310.tmp
- /data/media/####/-1411417619.tmp
- /data/media/####/-1543476356.tmp
- /data/media/####/-1771608451.tmp
- /data/media/####/-1881601266.tmp
- /data/media/####/-1925927454.tmp
- /data/media/####/-2073497405.tmp
- /data/media/####/-825683611.tmp
- /data/media/####/.confd
- /data/media/####/.confd-journal
- /data/media/####/.config
- /data/media/####/.cuid
- /data/media/####/1739726620.tmp
- /data/media/####/1906194050.tmp
- /data/media/####/971910220.tmp
- /data/media/####/AppPackage.dat
- /data/media/####/CacheTime.dat
- /data/media/####/UnPackage.dat
- /data/media/####/android
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu-1638025623.so
Загружает динамические библиотеки:
- libjiagu-1638025623
- tpnsSecurity
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
