Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Xiny.84.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- TCP(/collection/v2_index.do?4VkZXpDwdfZS+Xkljn+k1DN9VBdYJRWnwHb2jZINKhWoqtRmRE5AJ1KD+/crjvluh1V3SRL3iSL6pQFVqdwAxskEkz/tRDCu9WBjB8DNtBJuL0MH72S9YlQphaFoJaMD7TB5Ho7TqZlDOgY6gFMnFYGMhhPmdTX0M6pIdDCGj+4AnH0grqBTumIKeLMviAr7rLI+5CJExLcc54rSbDwRzzH/Ky1T4lrPA0bGjmd1kCLtV7CnuDr1rA+Hxq5WAqoRZWmzGcP+3iLCEeXZ5LXspxkfbDU/WdDymJoaw3oHPe8S0YGlj5BNo3nrgVj84ZlyFwywUvPdTW/e/hxmo7f9Y2qBpQHGJUXAU2kAZp8ZV5R8RwZSmN/GrLTWCtVqz9CxVKaa97JMAyWZP5s1y9EbHZZDU4fpxnUWVq4kBwnSxwmNHrGDirvNTQfnwVdZ/Jv9H3frkimFxutVomzDjRZkauFXUNojA2Mb) api.and####.di####.com:80
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) api.and####.di####.com:80
- TCP(HTTP/1.1) oc.u####.com:80
- TCP 1####.202.151.8:7001
- UDP s.j####.cn:19000
Запросы DNS:
- a####.u####.com
- api.and####.di####.com
- oc.u####.com
- s.j####.cn
Запросы HTTP GET:
- api.and####.di####.com/
- api.and####.di####.com/active/index.do?nTDu6+Vb/+O9tBKcSx1ZnJMszEng26zZw...
- api.and####.di####.com/active/index.do?rpkD6Z2####
- api.and####.di####.com/collection/v2_index.do?T1LA390####
- api.and####.di####.com/deep_encry_sdk/cache_img.do?NaKlmmx####
- api.and####.di####.com/deep_encry_sdk/special.do?NaKlmmxCE9/o28zvLgdEo1M...
Запросы HTTP POST:
- a####.u####.com/app_logs
- oc.u####.com/v2/check_config_update
- oc.u####.com/v2/get_update_time
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jiagu.ls
- /data/data/####/cn.jpush.serverconfig.xml
- /data/data/####/jpush_local_notification.db
- /data/data/####/jpush_local_notification.db-journal
- /data/data/####/kuzhuan_user_ad_state.db
- /data/data/####/kuzhuan_user_ad_state.db-journal
- /data/data/####/libjiagu.so
- /data/data/####/mobclick_agent_online_setting_com.kuzhuan.xml
- /data/data/####/rep.db-journal
- /data/data/####/statistics_config.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/media/####/.push_deviceid
- /data/media/####/9E1DF2C13652918C3464F27C81646407
- /data/media/####/DB956F75B2C1E2D7ADA90A35A4D07B79
- /data/media/####/E51653CCC9CBBE0C621F65A73009E5C1
Другие:
Запускает следующие shell-скрипты:
- cat sys/class/net/eth0/address
- cat sys/class/net/wlan0/address
Загружает динамические библиотеки:
- jpush181
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- DES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
