Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Adware.Waps.5.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ads.w####.cn:80
- TCP(HTTP/1.1) weib####.g####.sina####.com:80
- TCP(HTTP/1.1) h####.b####.com:80
- TCP(HTTP/1.1) ws####.su####.com:80
- TCP(HTTP/1.1) www.youq####.com:80
- TCP(HTTP/1.1) youq####.com:80
- TCP(HTTP/1.1) th####.com:80
- TCP(HTTP/1.1) t####.qq.com:14000
- TCP(HTTP/1.1) t####.qq.com:80
- TCP(HTTP/1.1) ap####.w####.cn.####.com:80
- TCP(HTTP/1.1) w####.bo####.cn:80
- TCP(HTTP/1.1) app.w####.cn:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) 99####.5a1.xyz:80
- TCP(HTTP/1.1) tac-p1-####.cos.ap-shan####.####.com:80
- TCP(TLS/1.0) 1####.217.17.142:443
- TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
- TCP(TLS/1.0) 2####.58.212.206:443
- TCP t####.qq.com:80
- TCP t####.qq.com:14000
Запросы DNS:
- 99####.5a1.xyz
- ads.w####.cn
- ap####.w####.cn
- app.w####.cn
- h####.b####.com
- log.u####.com
- pi####.qq.com
- q####.su####.com
- s####.u####.com
- t####.qq.com
- tac-p1-####.cos.ap-shan####.####.com
- th####.com
- w####.bo####.cn
- ww3.sin####.cn
- www.youq####.com
- xz.l####.cn
- youq####.com
Запросы HTTP GET:
- ads.w####.cn/action/ad/show?app_id=####&udid=####&imsi=####&net=####&bas...
- ads.w####.cn/action/pop_ad/ad?app_id=####&udid=####&imsi=####&net=####&b...
- ap####.w####.cn.####.com/appfile/offer/js/jquery.min.js
- app.w####.cn/action/account/getinfo?app_id=####&udid=####&imsi=####&net=...
- app.w####.cn/action/connect/active?app_id=####&udid=####&imsi=####&net=#...
- tac-p1-####.cos.ap-shan####.####.com/zps/update/update2.txt
- th####.com/t6/362/1535213771x-1404817850.jpg
- th####.com/t6/362/1535214123x-1376440240.jpg
- th####.com/t6/362/1535214178x1822611365.jpg
- th####.com/t6/362/1535214225x-1376440240.jpg
- th####.com/t6/362/1535214277x-1404775443.jpg
- th####.com/t6/362/1535214321x-1376440156.jpg
- th####.com/t6/362/1535214360x-1566688712.jpg
- ti####.c####.l####.####.com/20180924010300.png
- w####.bo####.cn/v/api_zb/t_pt.php
- w####.bo####.cn/v/api_zb/zb.php?pt=####
- weib####.g####.sina####.com/large/87c01ec7gy1frc0qchto4j20e80e9wgd.jpg
- ws####.su####.com/getSysTime.do
- www.youq####.com/api/upload//avatar/20180926/05912870195942873.png
- www.youq####.com/api/upload//avatar/20181001/05917144517529610.png
- youq####.com/api/upload//avatar/20180925/05912347078295491.png
- youq####.com/api/upload//avatar/20180926/05912870195942873.png
- youq####.com/api/upload//avatar/20180930/05916527059810119.png
- youq####.com/api/upload//avatar/20180930/05916530970580043.png
- youq####.com/api/upload//avatar/20181001/05917246689403293.png
- youq####.com/api/upload//avatar/20181001/05917286386279901.png
- youq####.com/api/upload//thumb/20181001/05917427906763914.png
- youq####.com/api/upload//thumb/20181001/05917429530374708.png
Запросы HTTP POST:
- 99####.5a1.xyz/mysql/openapi_unsafe.php
- app.w####.cn/action/user_info
- h####.b####.com/app.gif
- t####.qq.com/203.205.146.122:80/
- t####.qq.com:14000/203.205.146.122:14000/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.tpns.xml.xml
- /data/data/####/0a7e0622e6234c92dd81503aa4641f00.0.tmp
- /data/data/####/0a7e0622e6234c92dd81503aa4641f00.1.tmp
- /data/data/####/0edae51ae8452f76adf6a841ad54ab1e.0.tmp
- /data/data/####/0edae51ae8452f76adf6a841ad54ab1e.1.tmp
- /data/data/####/136f2effbe9e7eb1b55d6af14a453364.0.tmp
- /data/data/####/136f2effbe9e7eb1b55d6af14a453364.1.tmp
- /data/data/####/205a4106d7204756d3884de2551543e9.0.tmp
- /data/data/####/205a4106d7204756d3884de2551543e9.1.tmp
- /data/data/####/2e219b4036ffe169cacf7880e0c96069.0.tmp
- /data/data/####/2e219b4036ffe169cacf7880e0c96069.1.tmp
- /data/data/####/30db80a0c95f8c0bb54e97086d5e72b0.0.tmp
- /data/data/####/30db80a0c95f8c0bb54e97086d5e72b0.1.tmp
- /data/data/####/51f65c63c4d07d50d05845fed6cbdbf8.0.tmp
- /data/data/####/51f65c63c4d07d50d05845fed6cbdbf8.1.tmp
- /data/data/####/528c4b2331063f9aa00d25cfe8559ec2.0.tmp
- /data/data/####/528c4b2331063f9aa00d25cfe8559ec2.1.tmp
- /data/data/####/7e134887765f78d5b16e97f3aa4479f7.0.tmp
- /data/data/####/7e134887765f78d5b16e97f3aa4479f7.1.tmp
- /data/data/####/9329f4f2c6e09e144b9270d26329e15d.0.tmp
- /data/data/####/9329f4f2c6e09e144b9270d26329e15d.1.tmp
- /data/data/####/95ab50c2ad35caa28c39827529753a68.0.tmp
- /data/data/####/95ab50c2ad35caa28c39827529753a68.1.tmp
- /data/data/####/AppSettings.xml
- /data/data/####/CacheTime.dat
- /data/data/####/ShowAdFlag.xml
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_ap_info_cache.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/a3c67c05fe735b1404bb907693102793.0.tmp
- /data/data/####/a3c67c05fe735b1404bb907693102793.1.tmp
- /data/data/####/ccdaf988189b1496504363a62df70e19.0.tmp
- /data/data/####/ccdaf988189b1496504363a62df70e19.1.tmp
- /data/data/####/com.live.liuxing_preferences.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/device_id.xml
- /data/data/####/dex1
- /data/data/####/e94dc477e77835b53fdaa3468177c538.0.tmp
- /data/data/####/e94dc477e77835b53fdaa3468177c538.1.tmp
- /data/data/####/ee7199a51598e47a84fbd84c35ad1fc7.0.tmp
- /data/data/####/ee7199a51598e47a84fbd84c35ad1fc7.1.tmp
- /data/data/####/f30948016a85acc401e229bb5ee168e3.0.tmp
- /data/data/####/f30948016a85acc401e229bb5ee168e3.1.tmp
- /data/data/####/f46adce507db01a02666624ac16cbb0b.0.tmp
- /data/data/####/f46adce507db01a02666624ac16cbb0b.1.tmp
- /data/data/####/f_000001
- /data/data/####/faf7889a94d11d2ef8110397c7ff6d97.0.tmp
- /data/data/####/faf7889a94d11d2ef8110397c7ff6d97.1.tmp
- /data/data/####/index
- /data/data/####/journal.tmp
- /data/data/####/libjiagu677237653.so
- /data/data/####/pri_tpush_tencent_analysis.db_com.live.liuxing;...ournal
- /data/data/####/tpush_tencent_analysis.db_com.live.liuxing;xg_s...ournal
- /data/data/####/umeng_socialize.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/-1881601266.tmp
- /data/media/####/.confd
- /data/media/####/.confd-journal
- /data/media/####/.config
- /data/media/####/.cuid
- /data/media/####/971910220.tmp
- /data/media/####/AppPackage.dat
- /data/media/####/CacheTime.dat
- /data/media/####/UnPackage.dat
- /data/media/####/android
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu677237653.so
Загружает динамические библиотеки:
- libjiagu677237653
- tpnsSecurity
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации о настроках APN.
Осуществляет доступ к информации об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
