Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.192.origin
- Android.DownLoader.652
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) api.appj####.com:80
- TCP(HTTP/1.1) adm.qqba####.com:80
- TCP(HTTP/1.1) www.qqba####.com:80
- TCP(HTTP/1.1) www.go####.com:80
- TCP(HTTP/1.1) ope####.mob####.360.cn:80
- TCP(TLS/1.0) ssl.gst####.com:443
- TCP(TLS/1.0) st####.doublec####.net:443
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) p####.go####.com:443
- TCP(TLS/1.0) acco####.go####.com:443
- TCP(TLS/1.0) 2####.58.212.206:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) i.y####.com:443
- TCP(TLS/1.0) www.go####.nl:443
- TCP(TLS/1.0) adser####.go####.com:443
- TCP(TLS/1.0) www.you####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) a####.go####.com:443
- TCP(TLS/1.0) googl####.g.doublec####.net:443
- TCP(TLS/1.0) f####.google####.com:443
Запросы DNS:
- a####.go####.com
- a.y####.club
- acco####.go####.com
- adm.qqba####.com
- adser####.go####.com
- api.appj####.com
- b.y####.club
- c.y####.club
- d.y####.club
- f####.google####.com
- f####.gst####.com
- googl####.g.doublec####.net
- i.y####.com
- m.qqba####.com
- ope####.mob####.360.cn
- p####.go####.com
- poli####.go####.com
- s.y####.com
- sh####.360t####.com
- ssl.gst####.com
- st####.doublec####.net
- up.qqba####.com
- www.go####.com
- www.go####.nl
- www.google-####.com
- www.gst####.com
- www.qqba####.com
- www.you####.com
Запросы HTTP GET:
- adm.qqba####.com/statics/qinbaov1/3g/btn_main_img.png
- adm.qqba####.com/statics/qinbaov1/3g/index_tips.png
- adm.qqba####.com/statics/qinbaov1/3g/indexnav.png
- adm.qqba####.com/statics/qinbaov1/3g/jquery.js
- adm.qqba####.com/statics/qinbaov1/3g/logo.png
- adm.qqba####.com/statics/qinbaov1/3g/public.css
- adm.qqba####.com/statics/qinbaov1/3g/public.js
- adm.qqba####.com/statics/qinbaov1/3g/touch.css
- adm.qqba####.com/statics/qinbaov1/3g/touch.js
- adm.qqba####.com/statics/qinbaov1/3g/user.png
- ope####.mob####.360.cn/index/d/sid/101521
- www.go####.com/complete/search?hl=####&client=####&q=####
- www.qqba####.com/
- www.qqba####.com/201606/4f20895dde.jpg
- www.qqba####.com/201606/9294cdb8a1.jpg
- www.qqba####.com/201606/cc5d8cd4db.jpg
- www.qqba####.com/201608/821dab2b7c.png
- www.qqba####.com/201608/e85645a0c8.png
- www.qqba####.com/201608/eed1eb629e.png
- www.qqba####.com/201609/3ad9fbe968.jpg
- www.qqba####.com/201609/49b2688847.jpg
- www.qqba####.com/201609/68e42233f2.jpg
- www.qqba####.com/201609/6f06c6b88b.png
- www.qqba####.com/201610/0387f64aca.png
- www.qqba####.com/201702/656cd12264.png
- www.qqba####.com/201704/1fe3b8e264.jpg
- www.qqba####.com/201704/4bd01d53e2.jpg
- www.qqba####.com/201704/5b8fb6b5e1.jpg
- www.qqba####.com/201704/8cdcd857f4.jpg
- www.qqba####.com/201704/9373ec4302.jpg
- www.qqba####.com/201705/7479cb4f6e.jpg
- www.qqba####.com/201705/dec896bac4.jpg
- www.qqba####.com/201707/572615b6a4.jpg
- www.qqba####.com/201707/aeb3038339.jpg
- www.qqba####.com/201708/01d2f9687e.png
- www.qqba####.com/201708/1b82366f66.jpg
- www.qqba####.com/201708/1f4581b59b.jpg
- www.qqba####.com/201708/af63a9ae69.jpg
- www.qqba####.com/201708/d8a7686f6c.jpg
- www.qqba####.com/201708/e03a9a1b23.jpg
- www.qqba####.com/201806/877f24f082.png
- www.qqba####.com/201806/ca4c8c56b0.png
- www.qqba####.com/201806/f7e12d9be6.png
- www.qqba####.com/201809/6f3349d2a0.jpeg
- www.qqba####.com/home/load
- www.qqba####.com/index.php?c=####&m=####&mobile=####&format=####&rd=####...
- www.qqba####.com/index.php?s=####&c=####&m=####&width=####&height=####
- www.qqba####.com/shidian/huodongzixun/256365.html
- www.qqba####.com/statics/qinbaov1/img/m_app01.png
- www.qqba####.com/statics/qinbaov1/img/m_app02.png
- www.qqba####.com/statics/qinbaov1/img/m_app03.png
- www.qqba####.com/statics/qinbaov1/img/m_app04.png
Запросы HTTP POST:
- api.appj####.com/appjiagu
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/Download-journal
- /data/data/####/Downloado
- /data/data/####/Downloado-journal
- /data/data/####/Log-journal
- /data/data/####/Logo
- /data/data/####/Logo-journal
- /data/data/####/config.xml
- /data/data/####/configo.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/f_00000c
- /data/data/####/f_00000d
- /data/data/####/f_00000e
- /data/data/####/f_00000f
- /data/data/####/f_000010
- /data/data/####/f_000011
- /data/data/####/f_000012
- /data/data/####/f_000013
- /data/data/####/f_000014
- /data/data/####/f_000015
- /data/data/####/f_000016
- /data/data/####/f_000017
- /data/data/####/f_000018
- /data/data/####/f_000019
- /data/data/####/f_00001a
- /data/data/####/f_00001b
- /data/data/####/f_00001c
- /data/data/####/f_00001d
- /data/data/####/f_00001e
- /data/data/####/f_00001f
- /data/data/####/f_000020
- /data/data/####/index
- /data/data/####/jiagu.lock
- /data/data/####/libjiagu.so
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.android.dat
- /data/media/####/.android.dat-journal
- /data/media/####/.nomedia
- /data/media/####/bin.ceminsiqwesif.dex
- /data/media/####/id
- /data/media/####/logo.png
- /data/media/####/nim.adafmisdnci.dex
Другие:
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CFB-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
