Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.683.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) re####.xinma####.net:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) api.xinma####.net:80
- TCP(HTTP/1.1) w####.xinma####.net:80
- TCP(HTTP/1.1) www.xinma####.net:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) 1####.76.224.67:80
- TCP(TLS/1.0) k####.onetwo####.top:443
Запросы DNS:
- a####.91.com
- a####.u####.com
- api.xinma####.net
- app.onetwo####.top
- fb.u####.com
- k####.onetwo####.top
- re####.xinma####.net
- w####.xinma####.net
- www.xinma####.net
Запросы HTTP GET:
- t####.c####.q####.####.com/swenjian/ac
- w####.xinma####.net/368568669/res/logo_thumb.jpg?ver=####
- w####.xinma####.net/436205474/res/logo_detail.jpeg?ver=####
- w####.xinma####.net/rolling/exception/robber_map.jpg?_=####
- w####.xinma####.net/uploads/splash/November2018/xmh_egO9oCVWEyCAA7hBe90F...
- w####.xinma####.net/uploads/worksinfo/August2018/xmh_H1Ra8IZtsRaUaXCz7lp...
- w####.xinma####.net/uploads/worksinfo/July2018/xmh_OVyuAzlZ4m3pS3uPoG99....
- w####.xinma####.net/uploads/worksinfo/October2018/xmh_VKb1NHdl5hukGxQiuD...
Запросы HTTP POST:
- a####.u####.com/app_logs
- api.xinma####.net/v2/rolling?devid=####&userid=####&xid=####&iver=####&n...
- api.xinma####.net/v2/splash?devid=####&userid=####&xid=####&iver=####&ne...
- api.xinma####.net/v2/weekpage?devid=####&userid=####&xid=####&iver=####&...
- re####.xinma####.net/v2/worksfeature?devid=####&userid=####&xid=####&ive...
- re####.xinma####.net/v2/worksinfo?devid=####&userid=####&xid=####&iver=#...
- re####.xinma####.net/v2/xwreport?devid=####&userid=####&xid=####&iver=##...
- www.xinma####.net/api/commoncfg?devid=####&userid=####&xid=####&iver=###...
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-1446574951.tmp
- /data/data/####/-2030614730-911190079
- /data/data/####/-20855935581174201594
- /data/data/####/-212146499.tmp
- /data/data/####/-327229585886482421
- /data/data/####/-577417535.tmp
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/1112551171-1705750613
- /data/data/####/1601909042-636018055
- /data/data/####/16019090421753052851
- /data/data/####/1774723111-1715905458
- /data/data/####/1774723111189990932
- /data/data/####/18872753581906714338
- /data/data/####/4e7bce5a-d042-4176-b370-1a4da17adfb7.jar
- /data/data/####/522773740-1029828817
- /data/data/####/5227737401419771313
- /data/data/####/5227737401675521702
- /data/data/####/791204a1-d382-46cc-9d81-5a6d2afe41ee
- /data/data/####/847012795.tmp
- /data/data/####/860873095.tmp
- /data/data/####/939180013.tmp
- /data/data/####/AppStore.xml
- /data/data/####/KorService.jar
- /data/data/####/KorService.xml
- /data/data/####/RwActivity.xml
- /data/data/####/SUBOXLOG_
- /data/data/####/UmengLocalNotificationStore.db-journal
- /data/data/####/bdp_pref.xml
- /data/data/####/commoncfg.xml
- /data/data/####/ebn.xml
- /data/data/####/jsondata.xml
- /data/data/####/libjiagu.so
- /data/data/####/mobclick_agent_online_setting_com.wgxdl.othkn.xml
- /data/data/####/newcomic.db
- /data/data/####/newcomic.db-journal
- /data/data/####/pqwn.db-journal
- /data/data/####/splash_1.jpg
- /data/data/####/umeng_feedback_conversations.xml
- /data/data/####/umeng_feedback_user_info.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_message_state.xml
- /data/media/####/.cuid
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DESede-CBC-PKCS7Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
