Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.MulDrop.1112
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) res.play####.com:80
- TCP(HTTP/1.1) analy####.ray####.com:80
- TCP(HTTP/1.1) fk-k8s-####.ray####.com:80
- TCP(HTTP/1.1) st####.play####.com:80
- TCP(HTTP/1.1) 1####.205.163.87:80
- TCP(HTTP/1.1) statis####.play####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) ai####.anal####.cn:8089
- TCP(HTTP/1.1) ur####.anal####.cn:8089
- TCP(HTTP/1.1) ip.ta####.com:80
- TCP(HTTP/1.1) cdn-st####.play####.com:80
- TCP(TLS/1.0) msg.umengc####.com:443
- TCP openj####.m.ta####.com:443
- TCP 1####.205.160.76:443
Запросы DNS:
- a####.u####.com
- ag####.m.ta####.com
- ai####.anal####.cn
- analy####.ray####.com
- cdn-st####.play####.com
- ip.ta####.com
- loc.map.b####.com
- msg.umengc####.com
- res.play####.com
- set####.ray####.com
- st####.play####.com
- statis####.play####.com
- umengj####.m.ta####.com
- ur####.anal####.cn
Запросы HTTP GET:
- cdn-st####.play####.com/doc/static/get_busi_config.html
- fk-k8s-####.ray####.com/setting?app_id=####&sign=####&platform=####&os_v...
- ip.ta####.com/service/getIpInfo2.php?ip=####
- res.play####.com/upload/haogame/20170506/15/1496733318052.webp
- st####.play####.com/doc/static/channels.html
- st####.play####.com/doc/static/welcome_adv.html
Запросы HTTP POST:
- a####.u####.com/app_logs
- ai####.anal####.cn:8089/
- analy####.ray####.com/
- loc.map.b####.com/offline_loc
- loc.map.b####.com/sdk.php
- statis####.play####.com/statistics/init.json
- ur####.anal####.cn:8089/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/ACCS_BIND.xml
- /data/data/####/ACCS_SDK.xml
- /data/data/####/ACCS_SDK_CHANNEL.xml
- /data/data/####/AGOO_BIND.xml
- /data/data/####/AdFilter.db-journal
- /data/data/####/Agoo_AppStore.xml
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/DaemonServer
- /data/data/####/MessageStore.db-journal
- /data/data/####/MsgLogStore.db-journal
- /data/data/####/WInfo.xml
- /data/data/####/accs.db-journal
- /data/data/####/ad_filter.db-journal
- /data/data/####/ad_filter_config.xml
- /data/data/####/agoo.pid
- /data/data/####/app_config.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.syezon.wifi_preferences.xml
- /data/data/####/com.syezon.wifi_preferences.xml.bak
- /data/data/####/eguan.db
- /data/data/####/eguan.db-journal
- /data/data/####/eudemon
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/ext_info_flow_ad_config.xml
- /data/data/####/ext_push_config.xml
- /data/data/####/file_download.db-journal
- /data/data/####/firll.dat
- /data/data/####/installPackageNameLists
- /data/data/####/libcuid.so
- /data/data/####/libjiagu-1126224412.so
- /data/data/####/location_config.xml
- /data/data/####/message_accs_db
- /data/data/####/message_accs_db-journal
- /data/data/####/mobvista.msdk.db-journal
- /data/data/####/mobvista.xml
- /data/data/####/multidex.version.xml
- /data/data/####/ofl.config
- /data/data/####/ofl_location.db
- /data/data/####/ofl_location.db-journal
- /data/data/####/ofl_statistics.db
- /data/data/####/ofl_statistics.db-journal
- /data/data/####/share_date.xml
- /data/data/####/sp_replace_flag.sp
- /data/data/####/sp_replace_flag.sp.bak
- /data/data/####/splash_config.xml
- /data/data/####/sputil.sp
- /data/data/####/sputil.sp.bak
- /data/data/####/syezon_agent_online_setting_com.android.settings.xml
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/media/####/.cuid2
- /data/media/####/.nomedia
- /data/media/####/2699ac809ef349d7b05c1d232e9b691e
- /data/media/####/3ca6aed14c2e430ab68b470e2a95472f
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/Unlock
- /data/media/####/accs_election
- /data/media/####/b9bee1d9fe1c45c3a1bf888f9947ec25
- /data/media/####/conlts.dat
- /data/media/####/deviceToken
- /data/media/####/flowadd
- /data/media/####/ller.dat
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/test.0
- /data/media/####/wifi_logo_1228.temp
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/DaemonServer -s <Package Folder>/lib/ -n runServer -p startservice -n <Package>/com.taobao.accs.ChannelService --user 0 -f <Package Folder> -t 600 -c agoo.pid -P <Package Folder> -K 1009527 -U tb_accs_eudemon_1.1.3 -L http://agoodm.m.taobao.com/agoo/report -D {"package":"<Package>","appKey":"umeng:56cfdc2567e58eb021002106","utdid":"W7oKBK4R/IgDAGdzx1EWcEA4","sdkVersion":"212"} -I agoodm.m.taobao.com -O 80 -T -Z
- chmod 500 <Package Folder>/files/DaemonServer
- chmod 755 <Package Folder>/.jiagu/libjiagu-1126224412.so
- sh
- su
Загружает динамические библиотеки:
- libjiagu-1126224412
- locSDK6a
- tnet-3.1
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
Использует повышенные привилегии.
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
