Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.127.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) box.jom####.com:80
- TCP(HTTP/1.1) hpd.b####.com:80
- TCP(HTTP/1.1) www.a.sh####.com:80
- TCP(HTTP/1.1) supermo####.jom####.com:80
- TCP(HTTP/1.1) 47.99.1####.109:8080
- TCP(TLS/1.0) api.map.b####.com:443
- TCP(TLS/1.0) sslbdst####.jom####.com:443
- TCP(TLS/1.0) api.s####.com:443
- TCP(TLS/1.0) o####.map.b####.com:443
- TCP(TLS/1.0) ssls####.jom####.com:443
- TCP(TLS/1.0) www.a.sh####.com:443
- TCP(TLS/1.0) loc.map.b####.com:443
- TCP(TLS/1.0) box.jom####.com:443
- TCP(TLS/1.0) sslb####.jom####.com:443
Запросы DNS:
- api.map.b####.com
- api.s####.com
- f####.b####.com
- g####.bdst####.com
- hpd.b####.com
- loc.map.b####.com
- m.b####.com
- na0.bdst####.com
- o####.map.b####.com
- s.bdst####.com
- sm.b####.com
- ss0.b####.com
- ss0.bdst####.com
- ss1.b####.com
- ss2.b####.com
- sv.bdst####.com
- www.b####.com
Запросы HTTP GET:
- box.jom####.com/common/openjs/openBox.js?_v=####
- hpd.b####.com/v.gif?logid=####&ssid=####&sid=####&from=####&pu=####&ct=#...
- hpd.b####.com/v.gif?tid=####&ct=####&cst=####&logFrom=####&logInfo=####&...
- supermo####.jom####.com/static/wiseindex/amd_modules/@searchfe/assert_3e...
- supermo####.jom####.com/static/wiseindex/amd_modules/@searchfe/promise_a...
- supermo####.jom####.com/static/wiseindex/amd_modules/@searchfe/underscor...
- supermo####.jom####.com/static/wiseindex/amd_modules/ralltiir_aca9a69.js
- supermo####.jom####.com/static/wiseindex/iconfont/iconfont_2681c2d.ttf
- supermo####.jom####.com/static/wiseindex/js/package/newsActivity_5782cce...
- supermo####.jom####.com/static/wiseindex/js/package/superframe_5b7bdae.js
- www.a.sh####.com/
- www.a.sh####.com/?action=####&ms=####&version=####&callback=####&r=####&...
- www.a.sh####.com/?action=####&sid=####&ssid=####&from=####&pu=####&qid=#...
- www.a.sh####.com/his?callback=####&type=####&pic=####&lid=####&ishome=##...
- www.a.sh####.com/se/static/img/iphone/logo.png
- www.a.sh####.com/se/static/img/iphone/tab_loading__bg_logo.png
- www.a.sh####.com/se/static/js/bundles/ala-util_2dae105.js
- www.a.sh####.com/se/static/js/bundles/atom_44405ae.js
- www.a.sh####.com/se/static/js/service/index_polymer_b7ccf5b.js
- www.a.sh####.com/se/static/js/service/index_seloader_release.js?v=####
- www.a.sh####.com/static/index/plus/public/icon_police.png
- www.a.sh####.com/static/index/plus/public/tab_news.png
- www.a.sh####.com/static/search/clear.png
- www.a.sh####.com/tc?tcreq4log=####&r=####&logid=####&from=####&pu=####&c...
- www.a.sh####.com/tcbox?service=####&action=####&ctv=####&cen=####&data={...
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/108a2ff8f2ea06063832351a181e137169f0407c15a1c0e....0.tmp
- /data/data/####/1b820a89df5f308f4848b921e16ad1ceb64309600ecc8e6....0.tmp
- /data/data/####/2f34bf053b10ef466e53f4b1cf32d285d71834a4aff6cc3....0.tmp
- /data/data/####/39dfa7bb9e282c9eb85330e100339b72bfa185027cab3d2....0.tmp
- /data/data/####/56e153fdc737ded1da2cc87325088c9c109aa81ba3aaf06....0.tmp
- /data/data/####/_nohttp_cookies_db.db
- /data/data/####/_nohttp_cookies_db.db-journal
- /data/data/####/authStatus_com.anbao.anbao;remote.xml
- /data/data/####/c31bff9ac779b453e3ccd7c5223e5cbbbe874dc1b60c6c1....0.tmp
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/firll.dat
- /data/data/####/gal.db
- /data/data/####/gal.db-journal
- /data/data/####/hst.db
- /data/data/####/hst.db-journal
- /data/data/####/index
- /data/data/####/journal.tmp
- /data/data/####/libcuid.so
- /data/data/####/libjiagu-1883990283.so
- /data/data/####/ofl.config
- /data/data/####/ofl_location.db
- /data/data/####/ofl_location.db-journal
- /data/data/####/ofl_statistics.db
- /data/data/####/ofl_statistics.db-journal
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/sobot_chat_20181123_log.txt
- /data/data/####/sobot_config.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.cuid2
- /data/media/####/.nomedia
- /data/media/####/conlts.dat
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/yoh.dat
- /data/media/####/yol.dat
- /data/media/####/yom.dat
Другие:
Загружает динамические библиотеки:
- libjiagu-1883990283
- locSDK7a
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
