Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.HiddenAds.311.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) sh.wagbr####.aliyun####.com:80
- TCP(HTTP/1.1) useract####.91.com:80
- TCP(HTTP/1.1) amdc####.m.ta####.com:80
- TCP(HTTP/1.1) et2-na6####.wagbr####.ali####.####.com:80
- TCP(HTTP/1.1) www.5idoun####.com:80
- TCP(TLS/1.0) 2####.107.1.97:443
- TCP(TLS/1.0) et2-na6####.wagbr####.ali####.####.com:443
- TCP ope####.m.ta####.com:443
Запросы DNS:
- a####.man.aliy####.com
- amdc####.m.ta####.com
- log.u####.com
- plb####.u####.com
- u####.u####.com
- umen####.m.ta####.com
- useract####.91.com
- www.5idoun####.com
Запросы HTTP GET:
- et2-na6####.wagbr####.ali####.####.com/bar/get/541405c2fd98c50b3606281c/...
- www.5idoun####.com/test.html
Запросы HTTP POST:
- amdc####.m.ta####.com/amdc/mobileDispatch?appkey=####&deviceId=####&plat...
- sh.wagbr####.aliyun####.com/man/api?ak=####&s=####
- useract####.91.com/call.ashx
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/ACCS_BINDumeng;541405c2fd98c50b3606281c.xml
- /data/data/####/ACCS_SDK.xml
- /data/data/####/AGOO_BIND.xml
- /data/data/####/Agoo_AppStore.xml
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/MessageStore.db-journal
- /data/data/####/MsgLogStore.db-journal
- /data/data/####/a==7.5.3&&3.3.5_1542236866121_envelope.log
- /data/data/####/accs.db-journal
- /data/data/####/com.puerlink.igo.xml
- /data/data/####/d==7.5.3&&3.3.5_1542236866386_envelope.log
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQyMjM2ODY1NTkw;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQyMjM2ODc5OTI3;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQyMjM2ODczODk2;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQyMjM2ODg1NjUz;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQyMjM2ODk4NTMz;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQyMjM2ODkyMjA0;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQyMjM2OTA0NjA2;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQyMjM2OTE2NjIz;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQyMjM2OTEwODU4;
- /data/data/####/dW1weF9pbnRlcm5hbF8xNTQyMjM2OTIyMzk5;
- /data/data/####/dW1weF9wdXNoX3JlZ2lzdGVyXzE1NDIyMzY4Njg3NjU=;
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/httpdns_config_cache.xml
- /data/data/####/i==1.2.0&&3.3.5_1542236865655_envelope.log
- /data/data/####/i==1.2.0&&3.3.5_1542236873965_envelope.log
- /data/data/####/i==1.2.0&&3.3.5_1542236880022_envelope.log
- /data/data/####/i==1.2.0&&3.3.5_1542236885713_envelope.log
- /data/data/####/i==1.2.0&&3.3.5_1542236892263_envelope.log
- /data/data/####/i==1.2.0&&3.3.5_1542236898615_envelope.log
- /data/data/####/i==1.2.0&&3.3.5_1542236904688_envelope.log
- /data/data/####/i==1.2.0&&3.3.5_1542236910914_envelope.log
- /data/data/####/i==1.2.0&&3.3.5_1542236916664_envelope.log
- /data/data/####/i==1.2.0&&3.3.5_1542236922475_envelope.log
- /data/data/####/info.xml
- /data/data/####/libjiagu1328952870.so
- /data/data/####/multidex.version.xml
- /data/data/####/refresh.sws
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/um_pri.xml
- /data/data/####/umdat.xml
- /data/data/####/umeng_common_config.xml
- /data/data/####/umeng_common_location.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_message_state.xml
- /data/data/####/umeng_socialize.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/data/####/webviewCookiesChromiumPrivate.db-journal
- /data/media/####/.a.dat
- /data/media/####/.adfwe.dat
- /data/media/####/.cca.dat
- /data/media/####/.nomedia
- /data/media/####/.umm.dat
- /data/media/####/1d6dbb995a3548298ec859acbbe4d3b9
- /data/media/####/53cebff516f947508c512cb2ad403587
- /data/media/####/62b7d4fc5f3f4343aca45f917120f666
- /data/media/####/631e8459b5d74a2592789f2b32034b55
- /data/media/####/6b5c5d05664a41fbbe7ad051123d28dc
- /data/media/####/6d09ed2e289d43b7876e3f21cb3d445e
- /data/media/####/6f14c0dab23f4ae0902f22e31cd0c10a
- /data/media/####/758cbfbc1137441ab1eef797357eee03
- /data/media/####/98d4648279d74000ada0f20e38ed1c22
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/a3bb8697f34d467d9b3168cc9d148581
- /data/media/####/a5a0e64dd1e04b7a821630af0180be46
- /data/media/####/babe91fa05ea4f85ae72186c03b78a2d
- /data/media/####/bbebdac89206464ca4b132a21b078d99
- /data/media/####/c49b3fb2057d448fbacb8d74f5084a9e
- /data/media/####/c5f633f1a08c47e29b5a3d753aa6faaf
- /data/media/####/c611625eb8e8431dba0fbc8eec32ac0b
- /data/media/####/c8493f31610442c181d5c8ce128c5bb2
- /data/media/####/cbfa2a756e4947c9a7342aa7782bcf8d
- /data/media/####/crash.txt
- /data/media/####/d9be6bb345904bba8d79775941d3adb7
- /data/media/####/deviceToken
- /data/media/####/e51a9cbf41d84230baab9dbe9c7480bf
- /data/media/####/igo
- /data/media/####/igo-journal
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/sysid.dat
- /data/media/####/user.dat
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_max_freq
- /system/bin/cat /sys/devices/system/cpu/cpu0/cpufreq/cpuinfo_min_freq
- cat /proc/cpuinfo
- ls /sys/class/thermal
Загружает динамические библиотеки:
- by-sdk-root-jni
- libjiagu1328952870
- tnet-3.1
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-NoPadding
- AES-CBC-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
