Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.RemoteCode.127.origin
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) www.z####.com.####.com:80
- TCP(HTTP/1.1) o####.b####.cn.####.com:80
- TCP(HTTP/1.1) m.z####.com:80
- TCP(TLS/1.0) o####.b####.cn.####.com:443
- TCP(TLS/1.0) ps-app####.k####.rocks:8888
Запросы DNS:
- m.z####.com
- o####.b####.cn
- ps-app####.k####.rocks
- www.z####.com
Запросы HTTP GET:
- m.z####.com/clienth5.do?transactionType=####&pageNo=####&pageSize=####&b...
- www.z####.com.####.com/khd/zx/tt/gdlb/19865531.shtml
- www.z####.com.####.com/upload/resources/image/1120015.jpg
- www.z####.com.####.com/upload/resources/image/2018/09/16/1115524.jpg
- www.z####.com.####.com/upload/resources/image/2018/10/11/1120216.png
- www.z####.com.####.com/upload/resources/image/2018/10/11/1120262.jpg
Запросы HTTP POST:
- o####.b####.cn.####.com/8/init
- o####.b####.cn.####.com/8/secret
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/04e097d91d124771111a9dbe4ebfcc1d079edb677b249d8....0.tmp
- /data/data/####/50fb906d8642ae43ebc194162d1713050a9bb40869265c1....0.tmp
- /data/data/####/526b7b7f96a37a29c20f5725fcf23e221588455e8dfd945....0.tmp
- /data/data/####/5d8298fb3538009a1a954846e226fc392601613d1af2041....0.tmp
- /data/data/####/5f4bd5a557445de4b55251252e58908aecf84253c41652e....0.tmp
- /data/data/####/7dcc313745e99eafb9281f9b11c094ac8ec5183bb12fff8....0.tmp
- /data/data/####/8c957a36f26692beefb4e600688099aaa4d205bf3810d9c....0.tmp
- /data/data/####/MessageStore.db-journal
- /data/data/####/MsgLogStore.db-journal
- /data/data/####/MultiDex.lock
- /data/data/####/aa1a8c5632287dab0f55eaf4cfab654405554a928a06819....0.tmp
- /data/data/####/bmob_sp.xml
- /data/data/####/c53642455975a3a78ee11ca9f4ff686c6ba2ecb81cc92bb....0.tmp
- /data/data/####/com.goodcpn.cpn_preferences.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/dso_deps
- /data/data/####/dso_lock
- /data/data/####/dso_manifest
- /data/data/####/dso_state
- /data/data/####/f_000001
- /data/data/####/index
- /data/data/####/journal.tmp
- /data/data/####/key_app_configuration.xml
- /data/data/####/libjiagu1282013558.so
- /data/data/####/multidex.version.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu1282013558.so
Загружает динамические библиотеки:
- bmob
- libjiagu1282013558
- tpnsSecurity
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Осуществляет доступ к информации о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
