Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.743.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) 7k####.v2.com.####.com:80
- TCP(HTTP/1.1) ur####.anal####.cn:10001
- TCP(HTTP/1.1) ai####.anal####.cn:10001
- TCP(HTTP/1.1) api.shu####.cn:80
- TCP(HTTP/1.1) gl####.w.kunl####.####.com:80
- TCP(HTTP/1.1) 1####.76.224.67:80
- TCP(HTTP/1.1) pss.al####.com:80
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) www.qchann####.cn:80
- TCP(HTTP/1.1) l####.cc:80
- TCP(SSL/3.0) pns.al####.com:443
- TCP(TLS/1.0) api.k####.com:443
- TCP(TLS/1.0) 1####.217.17.78:443
- TCP(TLS/1.0) pns.al####.com:443
- TCP(TLS/1.0) sa.k####.com:443
- TCP(TLS/1.0) l####.4####.top:443
Запросы DNS:
- a####.u####.com
- ai####.anal####.cn
- api.k####.com
- api.shu####.cn
- cdn.app.h####.top
- dai.shu####.cn
- f1.k####.com
- f2.k####.com
- l####.4####.top
- l####.cc
- oc.u####.com
- pns.al####.com
- pss.al####.com
- q####.kuaikan####.com
- sa.k####.com
- ur####.anal####.cn
- www.qchann####.cn
- www.qchann####.cn
Запросы HTTP GET:
- 7k####.v2.com.####.com/FpJqPTAfmWxyunc6Pz_2yMvRLC4D-c.w410.jpg
- 7k####.v2.com.####.com/pwhu-1493880596770p.zip
- gl####.w.kunl####.####.com/image/171206/331fa5csm.webp-c.w70
- l####.cc/i/sdk/is_gal?sign=####&linkedme_key=####&sdk_version=####&retry...
- ti####.c####.l####.####.com/swenjian/321
- ti####.c####.l####.####.com/swenjian/321m
- www.qchann####.cn/n/dpz/?app=####&uid=####&appver=####&osver=####&cver=#...
Запросы HTTP POST:
- a####.u####.com/app_logs
- ai####.anal####.cn:10001/
- api.shu####.cn/report?v=####&c=####&e=####
- l####.cc/i/sdk/install
- pss.al####.com/iku/log/acc
- ur####.anal####.cn:10001/
- www.qchann####.cn/center/adj?ak=####&uid=####&offline=####
- www.qchann####.cn/center/adj?appkey=####&uid=####&sdk=####&did=####&type...
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/7ed4b4bf-6437-4621-b377-be45f3788509
- /data/data/####/DINCond-Medium.otf
- /data/data/####/JPushSA_Config.xml
- /data/data/####/LKME_Server_Request_Queue.xml
- /data/data/####/Nkil.xml
- /data/data/####/QT.xml
- /data/data/####/SUBOXLOG_
- /data/data/####/WInfo.xml
- /data/data/####/Yj.jar
- /data/data/####/Yj.xml
- /data/data/####/arch.xml
- /data/data/####/b4c6d010-0eca-4f6f-b56f-f0b02f3f74f4.jar
- /data/data/####/bzwn.db-journal
- /data/data/####/cn.jpush.android.user.profile.xml
- /data/data/####/cn.jpush.preferences.v2.xml
- /data/data/####/com.sansehum.com
- /data/data/####/com.sansehum.com-journal
- /data/data/####/com.sansehum.com_dna.xml
- /data/data/####/com.sansehum.com_preferences.xml
- /data/data/####/com.sansehum.com_prefs.xml
- /data/data/####/com.sensorsdata.analytics.android.sdk.SensorsDataAPI.xml
- /data/data/####/com_kuaikan_comic_account.xml
- /data/data/####/com_kuaikan_comic_android.xml
- /data/data/####/com_kuaikan_comic_android.xml.bak (deleted)
- /data/data/####/com_kuaikan_comic_config_android.xml
- /data/data/####/config
- /data/data/####/config.gz
- /data/data/####/config.json
- /data/data/####/du.lock
- /data/data/####/ebn.xml
- /data/data/####/ebn.xml.bak
- /data/data/####/eguan.db-journal
- /data/data/####/exchangeIdentity.json
- /data/data/####/jg_so_upgrade_setting.xml
- /data/data/####/jpush_stat_cache.json
- /data/data/####/kkmh.db-journal
- /data/data/####/libjiagu.so
- /data/data/####/linkedme_referral_shared_pref.xml
- /data/data/####/linkedme_referral_shared_pref.xml.bak
- /data/data/####/linkedme_referral_shared_pref.xml.bak (deleted)
- /data/data/####/loadfail.png
- /data/data/####/mobclick_agent_cached_com.sansehum.com60200
- /data/data/####/multidex.version.xml
- /data/data/####/offline.png
- /data/data/####/onlineconfig_agent_online_setting_com.sansehum.com.xml
- /data/data/####/p-1.png
- /data/data/####/p-2.png
- /data/data/####/p-3.png
- /data/data/####/ph.png
- /data/data/####/qtsession.xml
- /data/data/####/rank-new.html
- /data/data/####/rank-over.html
- /data/data/####/rank-week.html
- /data/data/####/require.js
- /data/data/####/sa_web_sdk.js
- /data/data/####/shuzilm.db
- /data/data/####/sputil.xml
- /data/data/####/sputil.xml.bak
- /data/data/####/storage.js
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/underscore.js
- /data/data/####/vue-lazyload.js
- /data/data/####/vue-rank-new.css
- /data/data/####/vue-rank-new.js
- /data/data/####/vue-resource.min.js
- /data/data/####/vue-tap.min.js
- /data/data/####/vue.min.js
- /data/data/####/wave.png
- /data/media/####/._android.dat
- /data/media/####/._driver.dat
- /data/media/####/._system.dat
- /data/media/####/.lm_device_id
- /data/media/####/.nomedia
- /data/media/####/0870efc6857c5acaa2545577087e3142
- /data/media/####/206a8675f204a03fcfeaefa2a1372654
- /data/media/####/244d24a46d9fbbfdd0bf03f1c9cf4147
- /data/media/####/38b11ab8176be36e5823372fd8166dc8.0.tmp
- /data/media/####/38b11ab8176be36e5823372fd8166dc8.1.tmp
- /data/media/####/_android.dat
- /data/media/####/_driver.dat
- /data/media/####/_system.dat
- /data/media/####/app
- /data/media/####/c01e10b29ce51be4d627add5d8335a44.0.tmp
- /data/media/####/c01e10b29ce51be4d627add5d8335a44.1.tmp
- /data/media/####/fdc7d5cae74944ae13d5245d87fac60e
- /data/media/####/hybrid_11008.zip
- /data/media/####/journal.tmp
- /data/media/####/qt.csv.1538651930086.txt
- /data/media/####/uuid
Другие:
Запускает следующие shell-скрипты:
- cat /proc/cpuinfo
- cat /sys/class/net/wlan0/address
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- date
- df
- ls /dev/socket
- ls /system/fonts
- mkdir -p <SD-Card>/../../../../../..<SD-Card>/Android/Data/System/local/
- ps
- ps -P
- sh -c cat /proc/meminfo
- sh -c cat /proc/sys/kernel/random/boot_id
- sh -c cat /proc/sys/kernel/random/uuid
- sh -c cat /proc/uptime
- sh -c cat /sys/block/mmcblk0/device/cid
- sh -c cat /sys/class/net/eth0/address
- sh -c cat /sys/class/net/eth1/address
- sh -c cat /sys/class/net/eth2/address
- sh -c cat <SD-Card>/../../../../../..<SD-Card>/._driver.dat
- sh -c cat <SD-Card>/../../../../../..<SD-Card>/._system.dat
- sh -c cat <SD-Card>/../../../../../..<SD-Card>/.aio.dat
- sh -c cat <SD-Card>/../../../../../..<SD-Card>/Android/Data/System/local/_driver.dat
- sh -c cat <SD-Card>/../../../../../..<SD-Card>/Android/Data/System/local/aio.dat
- sh -c cd /proc/;cat cpuinfo
- sh -c cd /proc/net/ && cat arp
- sh -c cd /proc/self/;cat status
- sh -c cd /sys/class/net/eth0/ && cat address
- sh -c cd /sys/class/net/wlan0/ && cat address
- sh -c echo MDlEMDgzM0VENDdCRkQ3OUY4MUI5MTUwMTlCQ0NDMEQyODYzMzI6NjM4MjlFOkNCNDhGOA== > <SD-Card>/../../../../../..<SD-Card>/._android.dat
- sh -c echo MDlEMDgzM0VENDdCRkQ3OUY4MUI5MTUwMTlCQ0NDMEQyODYzMzI6NjM4MjlFOkNCNDhGOA== > <SD-Card>/../../../../../..<SD-Card>/Android/Data/System/local/_android.dat
- sh -c echo NTFCMzVBNEQwM0NFNzYwNEY1MEE1QTM5MDMzNTUwRjZGRUVGQUM6N0ZDRTY2OkIwNEVGQQ== > <SD-Card>/../../../../../..<SD-Card>/._driver.dat
- sh -c echo NTFCMzVBNEQwM0NFNzYwNEY1MEE1QTM5MDMzNTUwRjZGRUVGQUM6N0ZDRTY2OkIwNEVGQQ== > <SD-Card>/../../../../../..<SD-Card>/Android/Data/System/local/_driver.dat
- sh -c echo QjU4NUVFQTBCMEQ3MkI1Mzg5QjM5ODQ1MzQ1NUNFMDMzQzdBQjU6ODg2Qzc4OjI3RERDMw== > <SD-Card>/../../../../../..<SD-Card>/._system.dat
- sh -c echo QjU4NUVFQTBCMEQ3MkI1Mzg5QjM5ODQ1MzQ1NUNFMDMzQzdBQjU6ODg2Qzc4OjI3RERDMw== > <SD-Card>/../../../../../..<SD-Card>/Android/Data/System/local/_system.dat
Загружает динамические библиотеки:
- du
- jpush213
- libjiagu
- pcdn_acc
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- DES-CBC-PKCS5Padding
- RSA
Использует следующие алгоритмы для расшифровки данных:
- DES-CBC-PKCS5Padding
- RSA
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
