Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.RemoteCode.127.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) wx.q####.cn:80
- TCP(HTTP/1.1) 98.1####.3.82:8900
- TCP(HTTP/1.1) q.q####.cn:80
- TCP(TLS/1.0) api.s####.com:443
- TCP(TLS/1.0) api.map.b####.com:443
- TCP(TLS/1.0) o####.map.b####.com:443
- TCP(TLS/1.0) loc.map.b####.com:443
- TCP(TLS/1.0) api.yimi####.com:443
- TCP(TLS/1.0) t####.c####.q####.####.com:443
Запросы DNS:
- a####.u####.com
- api.map.b####.com
- api.s####.com
- api.yimi####.com
- au.u####.co
- au.u####.com
- i####.1mi.cn
- loc.map.b####.com
- o####.map.b####.com
- q.q####.cn
- wx.q####.cn
Запросы HTTP GET:
- q.q####.cn/qqapp/1101089168/0837DCB6A5D81D060CCA48D06A1C9988/100
- wx.q####.cn/mmopen/5ZQ3V8nVdKq5maWsiaJndibx0A8iajbWvErynkDpyZibJS7boKTBh...
- wx.q####.cn/mmopen/ajNVdqHZLLCmdgByxqDsBLsJxiaFh0cEdAfhicVgH5zMnsPWy7t5I...
- wx.q####.cn/mmopen/vi_32/W6a947hJCsxRV2jAg0ibIbX2sjPPqc0ibQBtbbEciaDJSeg...
Запросы HTTP POST:
- a####.u####.com/app_logs
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/YIMI.db-journal
- /data/data/####/authStatus_com.bgzply.partimejianzhi;remote.xml
- /data/data/####/cache_recommant_city
- /data/data/####/cache_select_city
- /data/data/####/firll.dat
- /data/data/####/gal.db
- /data/data/####/gal.db-journal
- /data/data/####/hst.db
- /data/data/####/hst.db-journal
- /data/data/####/libcuid.so
- /data/data/####/libjiagu1615741990.so
- /data/data/####/ofl.config
- /data/data/####/ofl_location.db
- /data/data/####/ofl_location.db-journal
- /data/data/####/ofl_statistics.db
- /data/data/####/ofl_statistics.db-journal
- /data/data/####/patch_file.xml
- /data/data/####/sobot_chat_20181130_log.txt
- /data/data/####/sobot_config.xml
- /data/data/####/sys_setting.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/work_Info.xml
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/002c5ef2f3182252b2b629be724f8bc6
- /data/media/####/0efdbeae44754a1de1373ddd3a5bad72
- /data/media/####/0f69d3bb8ca33f79ebdba1fda61694d8
- /data/media/####/1b147e6dbae30ca5813bdc7e08933cdd
- /data/media/####/365fad06980d64950d5d05e915540d3f
- /data/media/####/4434417dd565b01b7e7b0a4f3f2fab9d
- /data/media/####/5664fa276a7e6f7c4010f89e1cbb22cb
- /data/media/####/58c907f650eb4f7ad1418eb538f870ef
- /data/media/####/5ca4596bd48b22231e9d80c1a57c7372
- /data/media/####/73fdb6fdb06d750be73d7fcf14fe5da3
- /data/media/####/7d587bad94b9bd8b786cf4f5375c9ad3
- /data/media/####/84c47f846dbf4ff84bb2cdb402e58328
- /data/media/####/8ee152314107de7ebeaa608da18319ca
- /data/media/####/abd80bb30426be938f8445f2e74f4397
- /data/media/####/bab0832fcf7c8abb47de9c7357b9efb7
- /data/media/####/ce9e6b252145a8565e4e5429ef590469
- /data/media/####/conlts.dat
- /data/media/####/d194e422aaab437ed18646f555d32f2a
- /data/media/####/f31bcf541c2fa2eceeb34fd10fe89922
- /data/media/####/fd9d76ab6cedb614768170280b855778
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/tem_1
Другие:
Запускает следующие shell-скрипты:
- sync
Загружает динамические библиотеки:
- bspatch
- libjiagu1615741990
- locSDK7a
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
