Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.MulDrop.1113
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.exc.mob.com:80
- TCP(HTTP/1.1) d.ais####.com:7777
- TCP(HTTP/1.1) www.ais####.com:80
- TCP(TLS/1.0) h####.b####.com:443
Запросы DNS:
- a####.exc.mob.com
- d.ais####.com
- h####.b####.com
- www.ais####.com
Запросы HTTP GET:
- d.ais####.com:7777/2018/10/23/script/2018110023074605227.png
- d.ais####.com:7777/2018/10/6/script/2018110006081329363.png
- d.ais####.com:7777/2018/5/20/script/2018060023113222611.png
- d.ais####.com:7777/2018/5/20/script/2018070004073648417.png
- d.ais####.com:7777/2018/5/8/script/2018100025112352325.png
- d.ais####.com:7777/2018/6/13/script/2018070013101341519.png
- d.ais####.com:7777/2018/6/17/script/2018070017081548968.png
- d.ais####.com:7777/2018/6/18/script/2018070019105124522.png
- d.ais####.com:7777/2018/6/2/script/2018070002103038524.png
- d.ais####.com:7777/2018/6/2/script/2018070002103104433.png
- d.ais####.com:7777/2018/6/2/script/2018070002111117061.png
- d.ais####.com:7777/2018/6/2/script/2018070002111202614.png
- d.ais####.com:7777/2018/6/4/script/2018080021041005407.png
- d.ais####.com:7777/2018/7/25/script/2018090015082316005.png
- d.ais####.com:7777/2018/7/4/script/2018080007023304619.png
- d.ais####.com:7777/2018/8/19/script/2018090020112606051.png
- d.ais####.com:7777/2018/8/4/rotation/2018090004085936695.png
Запросы HTTP POST:
- a####.exc.mob.com/errconf
- www.ais####.com/app/banner/type?type=####
- www.ais####.com/client/aisApp/channel/version/updated?version=####&mark=...
- www.ais####.com/scirpt/aisapp/game/script/details?id=####
- www.ais####.com/scirpt/game/type/gameType?phonePackages=####&pages=####
- www.ais####.com/scirpt/game/type/phone/gameType?phonePackages=####
- www.ais####.com/script/aisapp/channel/amount?channelMark=####&deviceNo=#...
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.duid
- /data/data/####/.jg.ic
- /data/data/####/.lock
- /data/data/####/.vpl_lock
- /data/data/####/295cc8b560aaa5f5493eeb5ced0c4af11402cd3c524004e....0.tmp
- /data/data/####/54e7e51826d458c6c59627fe47fa381b0a0a602317b7618....0.tmp
- /data/data/####/5eb11053e18bc6671104ea651dc624ae1014807c5415b81....0.tmp
- /data/data/####/5fd34af2a7d100d13b1c75657a2c25370ca2f3061d3973e....0.tmp
- /data/data/####/9140b31f3a1c286f7f8d36b5c64732c1bb2032df9b8b401....0.tmp
- /data/data/####/98f07ce090f327c0f48ee3699899ed45a2cc240bc76920a....0.tmp
- /data/data/####/9bfe5f8dcd4ca80df00ad65e7607b105f0cb183290eb738....0.tmp
- /data/data/####/MultiDex.lock
- /data/data/####/ThrowalbeLog.db-journal
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_ap_info_cache.json
- /data/data/####/__local_last_session.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/__send_data_1543600684049
- /data/data/####/a6e56bd57e9e6d43e63bea2f07faacfa9de51854a3b449c....0.tmp
- /data/data/####/afb4a3c00f11badbc70b6d8bfc21594a60f1fa25cb86139....0.tmp
- /data/data/####/baidu_mtj_sdk_record.xml
- /data/data/####/bd44ecec313a6325cd5f52c5ada0e14377711f23a91ed2c....0.tmp
- /data/data/####/c892a21c00f17f38b432f0ca652ae01d887e7b976e572a0....0.tmp
- /data/data/####/d5d6c8695e32b4eeba0580b1e44995f97ba549df714d2c4....0.tmp
- /data/data/####/d7aad8298b122460f5983dbc4f42660a744d0bc03fb0f9e....0.tmp
- /data/data/####/d951ee6dd526d643280afa6dc1b674ffab51f4b89c2e0be....0.tmp
- /data/data/####/ec4ad8e3b721593cfc3b02bdd731622eb206d12b000f179....0.tmp
- /data/data/####/f0ebea578fe16a59e1e6190c0425242c3f0a0939ccf6c89....0.tmp
- /data/data/####/fdd12bbc37b8382d608fdb1211dc067109a8d4c98c3ad83....0.tmp
- /data/data/####/foo.jar
- /data/data/####/inputMethod.xml
- /data/data/####/journal.tmp
- /data/data/####/libcuid.so
- /data/data/####/libjiagu1490523666.so
- /data/data/####/mob_commons_1
- /data/data/####/mob_sdk_exception_1
- /data/data/####/multidex.version.xml
- /data/media/####/.artc_lock
- /data/media/####/.confd
- /data/media/####/.confd-journal
- /data/media/####/.cuid2
- /data/media/####/.di
- /data/media/####/.dic_lock
- /data/media/####/.duid
- /data/media/####/.globalLock
- /data/media/####/.im_lock
- /data/media/####/.lecd
- /data/media/####/.lesd_lock
- /data/media/####/.mn_-1464060969
- /data/media/####/.pkg_lock
- /data/media/####/.pkgs_lock
- /data/media/####/.rc_lock
- /data/media/####/.slw
- /data/media/####/.ss_lock
- /data/media/####/.timestamp
- /data/media/####/lock
- /data/media/####/logo.jpg
Другие:
Запускает следующие shell-скрипты:
- app_process <Package Folder>/foo.jar com.tc.Simulation.Inject <Package Folder> 600 800 <Package>
- cat /sys/class/net/wlan0/address
- chmod 755 <Package Folder>/.jiagu/libjiagu1490523666.so
- getprop ro.build.display.id
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.smartisan.version
- getprop ro.vivo.os.version
- sh
- su
Загружает динамические библиотеки:
- crash_analysis
- libjiagu1490523666
- stepcounter
- tlib
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- AES-ECB-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-NoPadding
Использует повышенные привилегии.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
