Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.Xiny.20
Загружает из Интернета следующие детектируемые угрозы:
- Android.Xiny.20
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) tr####.mobitec####.xyz:80
- TCP(HTTP/1.1) s####.x####.com:6789
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) do.soi####.com:80
- TCP(HTTP/1.1) gdv.a.s####.com:80
- TCP(HTTP/1.1) s.api.s####.cn:80
- TCP(HTTP/1.1) ediv####.g####.sina####.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) 45.33.1####.193:6789
- TCP(HTTP/1.1) app.mifen####.cn:80
- TCP(HTTP/1.1) ask.iv####.s####.####.cn:80
- TCP(HTTP/1.1) yes.yuchan####.com.cn:80
- TCP(HTTP/1.1) 1####.171.140.85:80
- TCP(TLS/1.0) 1####.217.20.110:443
- TCP(TLS/1.0) tr####.mobitec####.xyz:443
- TCP(TLS/1.0) and####.cli####.go####.com:443
Запросы DNS:
- a####.u####.com
- a.appj####.com
- and####.cli####.go####.com
- app.mifen####.cn
- ask.iv####.s####.####.cn
- do.soi####.com
- e####.iv####.s####.####.cn
- pv.s####.com
- r.eli####.cn
- s####.x####.com
- s.api.s####.cn
- tr####.mobitec####.xyz
- yes.yuchan####.com.cn
Запросы HTTP GET:
- 45.33.1####.193:6789/api/service_hash?country_code=####&language_code=##...
- app.mifen####.cn/lupload/2016-09/2016-09-27/chajian/Android.apk
- ask.iv####.s####.####.cn/v_play_wap.php?ssl=####&vid=####&ran=####&p=###...
- do.soi####.com/2011/gou.jar
- ediv####.g####.sina####.com/142259297.mp4?KID=####&Expires=####&ssig=####
- gdv.a.s####.com/cityjson?ie=####
- s####.x####.com:6789/adrules/dist/xb_core_rule.txt
- s####.x####.com:6789/resource/pull?user_id=####&res_type=####&version_co...
- s####.x####.com:6789/service_data/browser.ad_rule-1905614654716340666-15...
- s####.x####.com:6789/service_data/browser.cmd-2769823927119687422-153830...
- s####.x####.com:6789/service_data/browser.conf-3034092968252335600-14955...
- s####.x####.com:6789/service_data/browser.h5store-3342977967324234288-14...
- s####.x####.com:6789/service_data/browser.qa-3862115360876556084-1538301...
- s####.x####.com:6789/service_data/browser.resource_map-24881455254517792...
- s####.x####.com:6789/service_data/browser.sug.topsite-236571920574946703...
- s####.x####.com:6789/user_event/query?user_id=####
- s.api.s####.cn/video_location/index?table_id=####&cid=####&did=####&vt=#...
- tr####.mobitec####.xyz/mobitech/trends?p_key=####&user_id=####&c=####
- yes.yuchan####.com.cn/k2?protocol=####&version=####&cid=####
Запросы HTTP POST:
- a####.u####.com/app_logs
- a.appj####.com/ad-service/ad/mark
- a.appj####.com/jiagu/check/upgrade
- yes.yuchan####.com.cn/k1?requestId=####&g=####&ua=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/W_Key.xml
- /data/data/####/WebpageIcons.db-journal
- /data/data/####/a.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.jcfdcab.a86d58_preferences.xml
- /data/data/####/com.jcfdcab.a86d58_preferences.xml.bak
- /data/data/####/downloadswc
- /data/data/####/downloadswc-journal
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/firsttime.xml
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/libjiagu.so
- /data/data/####/mbrowser-journal
- /data/data/####/mcms_services.xml
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/st.xml
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/media/####/164469322
- /data/media/####/2075508793
- /data/media/####/241751171
- /data/media/####/398379508
- /data/media/####/4.8_gou.jar.tmp
- /data/media/####/504259364
- /data/media/####/571478910
- /data/media/####/709289280
- /data/media/####/858884604
- /data/media/####/929549284
- /data/media/####/b.tmp
- /data/media/####/restime.dat
- /data/media/####/test.mp4
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- ela
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
