Техническая информация
Вредоносные функции:
Загружает на исполнение код следующих детектируемых угроз:
- Android.MulDrop.1115
Осуществляет доступ к приватному интерфейсу телефонии (ITelephony).
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) f####.xda-dev####.com:80
- TCP(HTTP/1.1) dl.xp####.info:80
- TCP(SSL/3.0) p####.mgr.cons####.org:443
- TCP(SSL/3.0) pciins####.insc####.net:443
- TCP(TLS/1.0) c####.xda-dev####.com:443
- TCP(TLS/1.0) middyc####.akam####.net.####.net:443
- TCP(TLS/1.0) yield-m####.browsi####.com:443
- TCP(TLS/1.0) p####.adsafep####.com:443
- TCP(TLS/1.0) dsn.9lktu1####.api.####.net:443
- TCP(TLS/1.0) con####.face####.net:443
- TCP(TLS/1.0) wild####.b####.com.####.net:443
- TCP(TLS/1.0) pciins####.insc####.net:443
- TCP(TLS/1.0) st####.cr####.net:443
- TCP(TLS/1.0) a####.cloudf####.com:443
- TCP(TLS/1.0) c####.cloudf####.com:443
- TCP(TLS/1.0) sb.scoreca####.com.####.net:443
- TCP(TLS/1.0) tpc.googles####.com:443
- TCP(TLS/1.0) cdn.vig####.com:443
- TCP(TLS/1.0) googl####.g.doublec####.net:443
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) pag####.googles####.com:443
- TCP(TLS/1.0) lh3.googleu####.com:443
- TCP(TLS/1.0) st####.adsafep####.com:443
- TCP(TLS/1.0) f####.xda-dev####.com:443
- TCP(TLS/1.0) p####.mgr.cons####.org:443
- TCP(TLS/1.0) s####.g.doublec####.net:443
- TCP(TLS/1.0) f####.xda####.com:443
- TCP(TLS/1.0) cdn.perfd####.com:443
- TCP(TLS/1.0) gum.cr####.com:443
- TCP(TLS/1.0) t####.blu####.com.####.net:443
- TCP(TLS/1.0) api.vig####.com:443
- TCP(TLS/1.0) dt.adsafep####.com:443
- TCP(TLS/1.0) cas.av####.perfd####.com:443
- TCP(TLS/1.0) f####.google####.com:443
- TCP(TLS/1.0) www.google-####.com:443
- TCP(TLS/1.0) a####.google####.com:443
- TCP(TLS/1.0) 1####.217.17.78:443
- TCP(TLS/1.0) ads.serv####.com:443
- TCP(TLS/1.0) www.googlet####.com:443
- TCP(TLS/1.0) a####.serv####.com:443
- TCP(TLS/1.0) clie####.go####.com:443
- TCP(TLS/1.0) cdn-####.xda-dev####.com:443
- TCP(TLS/1.0) securep####.g.doublec####.net:443
- TCP(TLS/1.0) www.go####.com:443
Запросы DNS:
- 9lktu1t####.alg####.net
- a####.cloudf####.com
- a####.google####.com
- a####.serv####.com
- ads.serv####.com
- adser####.go####.com
- api.vig####.com
- c####.cloudf####.com
- c####.xda-dev####.com
- cas.av####.perfd####.com
- cdn-####.xda-dev####.com
- cdn-####.xda-dev####.com
- cdn-####.xda-dev####.com
- cdn-####.xda-dev####.com
- cdn.dig####.st
- cdn.perfd####.com
- cdn.vig####.com
- clie####.go####.com
- con####.face####.net
- cp.g####.cn
- dl.xp####.info
- dt.adsafep####.com
- ev####.browsi####.com
- f####.google####.com
- f####.gst####.com
- f####.xda####.com
- f####.xda-dev####.com
- googl####.g.doublec####.net
- gum.cr####.com
- lh3.googleu####.com
- middyc####.akam####.net
- p####.adsafep####.com
- p####.mgr.cons####.org
- pag####.googles####.com
- s####.blu####.com
- s####.g.doublec####.net
- sb.scoreca####.com
- securep####.g.doublec####.net
- st####.adsafep####.com
- st####.cr####.net
- t####.b####.com
- t####.blu####.com
- tpc.googles####.com
- www.go####.com
- www.google-####.com
- www.googlet####.com
- yield-m####.browsi####.com
Запросы HTTP GET:
- dl.xp####.info/repo/full.xml.gz
- f####.xda-dev####.com/member.php?u=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/app_process
- /data/data/####/de.robv.android.xposed.installer_preferences.xml
- /data/data/####/download_cache.xml
- /data/data/####/jobernowl.xml
- /data/data/####/libjiagu1025705534.so
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/repo.xml
- /data/data/####/repo_cache.db-journal
- /data/data/####/repo_dd96f9bdefc717b66d877cc361ffcbc5.xml.gz
- /data/media/####/.nomedia
- /data/media/####/peigenqq2663496795.mp3
- /data/media/####/peigenqq2663496795.mp4
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/cache/app_process --xposedversion
- chmod 755 <Package Folder>/.jiagu/libjiagu1025705534.so
- setprop persist.sys.usb.config none
- sh
- su
Загружает динамические библиотеки:
- libjiagu1025705534
Использует повышенные привилегии.
Использует специальную библиотеку для скрытия исполняемого байткода.
Осуществляет доступ к информации о телефоне (номер, IMEI и т. д.).
Осуществляет доступ к информации об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
