Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.2083
- Android.DownLoader.546.origin
Перекрывает экран собственным окном, блокируя доступ к GUI.
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) www.yabo####.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) app.d####.ish####.cn:80
Запросы DNS:
- a####.u####.com
- a.appj####.com
- api.ish####.cn
- app.d####.ish####.cn
- www.yabo####.com
Запросы HTTP GET:
- app.d####.ish####.cn/lvdouapp/config/wallad.md5
- www.yabo####.com/dlapk
Запросы HTTP POST:
- a####.u####.com/app_logs
- a.appj####.com/ad-service/ad/mark
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/Effect.xml
- /data/data/####/Sprite.xml
- /data/data/####/ad.db
- /data/data/####/ad.db-journal
- /data/data/####/bg1.png
- /data/data/####/co.lvdou.hrwmunlock.ld640015.odex
- /data/data/####/co.lvdou.hrwmunlock.ld640015.zip
- /data/data/####/co.lvdou.hrwmunlock.ld640015_preferences.xml
- /data/data/####/colorleftflow.png
- /data/data/####/db_public-journal
- /data/data/####/download
- /data/data/####/download-journal
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/jingling.png
- /data/data/####/libjiagu.so
- /data/data/####/lock_save.data.xml
- /data/data/####/locker.xml
- /data/data/####/meteoric.png
- /data/data/####/mobclick_agent_header_co.lvdou.hrwmunlock.ld640015.xml
- /data/data/####/mobclick_agent_state_co.lvdou.hrwmunlock.ld640015.xml
- /data/data/####/move.xml
- /data/data/####/push.xml
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/source.jpg
- /data/data/####/sun.png
- /data/data/####/tree1.png
- /data/data/####/tree2.png
- /data/data/####/wallpaper.ld
- /data/data/####/webview.db-journal
- /data/data/####/xing.png
- /data/data/####/y1.png
- /data/data/####/y2.png
- /data/data/####/y3.png
- /data/data/####/y4.png
- /data/data/####/y5.png
- /data/data/####/y6.png
- /data/media/####/.nomedia
- /data/media/####/ad.md5.tmp (deleted)
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- cocos2dcpp
- libjiagu
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
