Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.HiddenAds.190.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) sc.smard####.com:80
- TCP(HTTP/1.1) cl####.mid####.com:80
- TCP(HTTP/1.1) waws-pr####.vip.azurewe####.####.net:80
- TCP(HTTP/1.1) h####.tech:80
- TCP(TLS/1.0) ipv6-wi####.appl####.com.####.net:443
- TCP(TLS/1.0) sett####.crashly####.com:443
- TCP(TLS/1.0) t.appsf####.com:443
- TCP(TLS/1.0) 1####.217.20.78:443
Запросы DNS:
- ads.okokc####.com
- api.okokc####.com
- cl####.mid####.com
- h####.tech
- i####.okokc####.com
- okokc####.com
- pag####.yywybxs####.com
- pr####.appl####.com
- sc.smard####.com
- sett####.crashly####.com
- t.appsf####.com
Запросы HTTP GET:
- cl####.mid####.com/mpapi/ad?model=####&fomat=####&mcc=####&os_v=####&dir...
- h####.tech/clean/lite_ms/US.json
- sc.smard####.com/v1/scheme/app?model=####&mcc=####&os_v=####&direction=#...
- waws-pr####.vip.azurewe####.####.net/api/v1/Update?channelName=####&pack...
- waws-pr####.vip.azurewe####.####.net/api/v1/adconfig?countrycode=####&us...
- waws-pr####.vip.azurewe####.####.net/api/v1/ads/click?lid=####&cid=####&...
- waws-pr####.vip.azurewe####.####.net/api/v1/ads/impression?lid=####&cid=...
- waws-pr####.vip.azurewe####.####.net/api/v1/agent?countrycode=####
- waws-pr####.vip.azurewe####.####.net/term.html
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/5BBEE31F0038-0001-0907-14FA2D05BF4CBeginSession.cls_temp
- /data/data/####/5BBEE31F0038-0001-0907-14FA2D05BF4CSessionApp.cls_temp
- /data/data/####/5BBEE31F0038-0001-0907-14FA2D05BF4CSessionDevice.cls_temp
- /data/data/####/5BBEE31F0038-0001-0907-14FA2D05BF4CSessionOS.cls_temp
- /data/data/####/TwitterAdvertisingInfoPreferences.xml
- /data/data/####/ad_config.xml
- /data/data/####/albrp_general_config.xml
- /data/data/####/appsflyer-data.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.crashlytics.prefs.xml
- /data/data/####/com.crashlytics.sdk.android;answers;settings.xml
- /data/data/####/com.crashlytics.settings.json
- /data/data/####/com.mobpower.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/global_data.xml
- /data/data/####/index
- /data/data/####/initialization_marker
- /data/data/####/io.fabric.sdk.android;fabric;io.fabric.sdk.android.t.xml
- /data/data/####/libjiagu-1388746440.so
- /data/data/####/mobclick_agent_cached_com.bpaflxpc.qaspmdgy.ecjwugdh12015
- /data/data/####/mobpower.db-journal
- /data/data/####/mp_agent_log
- /data/data/####/multidex.version.xml
- /data/data/####/sa_591f2e72-41d5-4b70-a77e-b0d1447d1497_1539236639461.tap
- /data/data/####/session_analytics.tap
- /data/data/####/session_analytics.tap.tmp
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu-1388746440.so
Загружает динамические библиотеки:
- EncodeUtil
- libjiagu-1388746440
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
