Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.DownLoader.192.origin
- Android.DownLoader.652
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) mc.mei####.net.####.com:80
- TCP(HTTP/1.1) www.k####.cn:80
- TCP(HTTP/1.1) i.mei####.com:80
- TCP(HTTP/1.1) catf####.dian####.com:80
- TCP(HTTP/1.1) www.mei####.com:80
- TCP(HTTP/1.1) s0.mei####.net.####.com:80
- TCP(HTTP/1.1) me####.mei####.com:80
- TCP(HTTP/1.1) analy####.mei####.net.####.com:80
- TCP(HTTP/1.1) www.dp####.com.####.com:80
- TCP(HTTP/1.1) wre####.mei####.net:80
- TCP(HTTP/1.1) api.appj####.com:80
- TCP(TLS/1.0) s0.mei####.net.####.com:443
- TCP(TLS/1.0) www.dp####.com.####.com:443
- TCP(TLS/1.0) 2####.58.212.206:443
Запросы DNS:
- a.y####.club
- analy####.mei####.net
- api.appj####.com
- awp-as####.mei####.net
- b.y####.club
- bj.mei####.com
- c.y####.club
- catf####.dian####.com
- d.y####.club
- h5.dian####.com
- i.mei####.com
- mc.mei####.net
- me####.mei####.com
- ms0.mei####.net
- p0.mei####.net
- p1.mei####.net
- pc-fl####.mei####.com
- s0.mei####.net
- s1.mei####.net
- wre####.mei####.net
- www.dp####.com
- www.k####.cn
- www.mei####.com
Запросы HTTP GET:
- analy####.mei####.net.####.com/analytics.js
- analy####.mei####.net.####.com/source/stable/mobile.js
- catf####.dian####.com/api/speed?v=####&project=####&pageurl=####&speed=#...
- i.mei####.com/
- mc.mei####.net.####.com/app/adu-track/adunion-track.js
- mc.mei####.net.####.com/hfe/hfe-assets/ravenjs/1.3.0/raven.min.js
- me####.mei####.com/i/deal/32957255
- s0.mei####.net.####.com/bs/css?f=####
- s0.mei####.net.####.com/bs/fe-web-meituan/076a786/css/com_header.css
- s0.mei####.net.####.com/bs/fe-web-meituan/076a786/font/header.ttf?t=####
- s0.mei####.net.####.com/bs/fe-web-meituan/076a786/js/com_header.js
- s0.mei####.net.####.com/bs/fe-web-meituan/34aeb91/js/common.js
- s0.mei####.net.####.com/bs/fe-web-meituan/404d350/img/appicons/dianping....
- s0.mei####.net.####.com/bs/fe-web-meituan/404d350/img/appicons/maoyan.png
- s0.mei####.net.####.com/bs/fe-web-meituan/404d350/img/appicons/waimai.png
- s0.mei####.net.####.com/bs/fe-web-meituan/404d350/img/appicons/zhenguo.png
- s0.mei####.net.####.com/bs/fe-web-meituan/7845e34/js/ie-shim.js
- s0.mei####.net.####.com/bs/fe-web-meituan/ab0d275/css/com_footer.css
- s0.mei####.net.####.com/bs/fe-web-meituan/ab0d275/img/sprites/footer.png
- s0.mei####.net.####.com/bs/fe-web-meituan/e5eeaef/img/appicons/meituan.png
- s0.mei####.net.####.com/bs/fe-web-meituan/e5eeaef/img/logo.png
- s0.mei####.net.####.com/bs/fe-web-meituan/e9d9492/js/fetch.js
- s0.mei####.net.####.com/bs/file/?f=####
- s0.mei####.net.####.com/bs/file?f=####
- s0.mei####.net.####.com/bs/js?f=####
- s0.mei####.net.####.com/bs/knb/v1.5.12/knb.js
- wre####.mei####.net/?d=####&t=####&r=####
- wre####.mei####.net/?d=W3siY####&t=####&r=####
- www.dp####.com.####.com/app/owl/static/owl_1.5.15.js
- www.dp####.com.####.com/app/owl/static/owl_1.6.3.js
- www.dp####.com.####.com/codeman/29ca491ceba32c680f88711a8b80c70d191568.jpg
- www.dp####.com.####.com/deal/d245d3a59e6c902f81d28c6874a3536167156.jpg
- www.dp####.com.####.com/hfe/rohr/1.0.2/rohr.min.js
- www.dp####.com.####.com/jungle/c6dea00274ef4f2e64d65646dce9c7061099.png
- www.dp####.com.####.com/touch/css/eve.a4872f12.css
- www.dp####.com.####.com/touch/css/i/fonts/base14.otf
- www.dp####.com.####.com/touch/css/i/fonts/cate4.otf?v####
- www.dp####.com.####.com/touch/css/iconfont/iconfont.6dae7b05.css
- www.dp####.com.####.com/touch/css/iconfont/iconfont.ttf?t=####
- www.dp####.com.####.com/touch/css/index.1693483c.css
- www.dp####.com.####.com/touch/img/download_banner.png
- www.dp####.com.####.com/touch/module/raven.min.aaeb6c7e.js
- www.dp####.com.####.com/touch/module/truck.a938a845.js
- www.k####.cn/
- www.k####.cn/getLowPriceCalendar/pc/9/kxmb_pc?_token=####&depart=####&ar...
- www.k####.cn/homepage/pc/discount?_token=####&departCityCode=####&queryI...
- www.k####.cn/quote/pc/flightList?_token=####&departCode=####&arriveCode=...
- www.mei####.com/
- www.mei####.com/flight/
- www.mei####.com/flight/_nuxt/app.1ed6c4976b97b9f1cf25.js
- www.mei####.com/flight/_nuxt/img/loading-mt.9692e61.gif
- www.mei####.com/flight/_nuxt/layouts/default.57eb5f95dd423a8f28ac.js
- www.mei####.com/flight/_nuxt/manifest.93d1c9aa1febe93eecb1.js
- www.mei####.com/flight/_nuxt/pages/index.d2c4dbb89d9028049a2b.js
- www.mei####.com/flight/_nuxt/pages/list/_condition.3cab9fb1f9348cd84752.js
- www.mei####.com/flight/_nuxt/vendor.a7371931837660002c87.js
- www.mei####.com/flight/api/activity/getCityCodeById?_token=####
- www.mei####.com/ptapi/getLoginedUserInfo
Запросы HTTP POST:
- api.appj####.com/appjiagu
- catf####.dian####.com/api/batch?v=####&sdk=####
- catf####.dian####.com/api/log?v=####&sdk=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/Download-journal
- /data/data/####/Downloado
- /data/data/####/Downloado-journal
- /data/data/####/Log-journal
- /data/data/####/Logo
- /data/data/####/Logo-journal
- /data/data/####/config.xml
- /data/data/####/configo.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/f_00000c
- /data/data/####/f_00000d
- /data/data/####/f_00000e
- /data/data/####/f_00000f
- /data/data/####/f_000010
- /data/data/####/f_000011
- /data/data/####/f_000012
- /data/data/####/f_000013
- /data/data/####/f_000014
- /data/data/####/f_000015
- /data/data/####/f_000016
- /data/data/####/f_000017
- /data/data/####/f_000018
- /data/data/####/f_000019
- /data/data/####/f_00001a
- /data/data/####/f_00001b
- /data/data/####/f_00001c
- /data/data/####/f_00001d
- /data/data/####/f_00001e
- /data/data/####/f_00001f
- /data/data/####/f_000020
- /data/data/####/f_000021
- /data/data/####/f_000022
- /data/data/####/f_000023
- /data/data/####/f_000024
- /data/data/####/f_000025
- /data/data/####/index
- /data/data/####/jiagu.lock
- /data/data/####/libjiagu.so
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.android.dat
- /data/media/####/.android.dat-journal
- /data/media/####/com.erganadf.dex
- /data/media/####/com.erganadf.dex (deleted)
- /data/media/####/id
- /data/media/####/logo.png
- /data/media/####/rnak.pksgens.dex
Другие:
Загружает динамические библиотеки:
- jiagu
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CFB-NoPadding
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о геолокации.
Осуществляет доступ к информации о сети.
Осуществляет доступ к информации о телефоне (номер, imei и тд.).
Осуществляет доступ к информации об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
