Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.743.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) www.a.sh####.com:80
- TCP(TLS/1.0) ssl.gst####.com:443
- TCP(TLS/1.0) raw.githubu####.com:443
- TCP(TLS/1.0) www.go####.nl:443
- TCP(TLS/1.0) dxp.b####.com:443
- TCP(TLS/1.0) st####.dou####.com:443
- TCP(TLS/1.0) h####.b####.com:443
- TCP(TLS/1.0) www.dou####.com:443
- TCP(TLS/1.0) www.go####.com:443
- TCP(TLS/1.0) adser####.go####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) api.gi####.com:443
- TCP(TLS/1.0) app-ro####.leanc####.cn:443
- TCP(TLS/1.0) d.sin####.cn.####.net:443
- TCP(TLS/1.0) dev.api.c####.####.net:443
- TCP(TLS/1.0) 1####.217.168.206:443
- TCP(TLS/1.0) we####.g####.sina####.com:443
Запросы DNS:
- adser####.go####.com
- api.gi####.com
- app-ro####.leanc####.cn
- dxp.b####.com
- h####.b####.com
- raw.githubu####.com
- ssl.gst####.com
- st####.dou####.com
- wm2i####.api.l####.net
- wm2i####.s####.l####.net
- ws1.sin####.cn
- ws2.sin####.cn
- ws4.sin####.cn
- www.b####.com
- www.dou####.com
- www.go####.com
- www.go####.nl
- www.gst####.com
Запросы HTTP GET:
- www.a.sh####.com/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/2b8ab318c0824a56f1aed8254777c1cfaf417da76b4f214....0.tmp
- /data/data/####/93ec60e42818b8f802f12cc5fd7135e4aec439e9481b1bd....0.tmp
- /data/data/####/AV_CLOUD_API_VERSION_KEY_ZONE.xml
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_ap_info_cache.json
- /data/data/####/__local_last_session.json
- /data/data/####/__local_stat_cache.json
- /data/data/####/__local_stat_full_cache.json
- /data/data/####/__send_data_1545559272160
- /data/data/####/__send_data_1545559284065
- /data/data/####/__send_data_1545559295822
- /data/data/####/__send_data_1545559302174
- /data/data/####/__send_data_1545559305922
- /data/data/####/__send_data_1545559316257
- /data/data/####/__send_data_1545559328550
- /data/data/####/__track_send_data_1545559295826
- /data/data/####/a268cf1d047ed0483d9d51698152791020e52de940dc7d4....0.tmp
- /data/data/####/a98e0e72c04d53a5cb6dd00bb2145c7d0c2eed0f9c7df6c....0.tmp
- /data/data/####/baidu_mtj_sdk_record.xml
- /data/data/####/com.avos.avoscloud.RequestStatisticsUtil.data.xml
- /data/data/####/com.avos.avoscloud.approuter.WM2ILPFB8a3JC99HjM...sz.xml
- /data/data/####/com.google.android.gms.appid-no-backup
- /data/data/####/com.google.android.gms.appid.xml
- /data/data/####/com.google.android.gms.measurement.prefs.xml
- /data/data/####/com.google.android.gms.measurement.prefs.xml.bak
- /data/data/####/com.nldld.pdjkd_preferences.xml
- /data/data/####/d4e7c65cb2ad70bde3846a9c79dab28a7ea669eee80e463....0.tmp
- /data/data/####/df98a26be31c8ab3e485ec61c5795e9e63af1516c8d723d....0.tmp
- /data/data/####/disk_entries_list_image_cache_50748773.xml
- /data/data/####/google_app_measurement.db-journal
- /data/data/####/google_app_measurement_local.db
- /data/data/####/google_app_measurement_local.db-journal
- /data/data/####/journal.tmp
- /data/data/####/libcuid.so
- /data/data/####/libjiagu1838653358.so
- /data/data/####/mtj_auto.config
- /data/data/####/mtj_autoTracker.js
- /data/data/####/multidex.version.xml
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/save_time.xml
- /data/data/####/trace_circle.data
- /data/data/####/vip.xml
- /data/media/####/.confd
- /data/media/####/.confd-journal
- /data/media/####/.cuid
- /data/media/####/.cuid2
- /data/media/####/.nomedia
- /data/media/####/.timestamp
- /data/media/####/844f8deb79f30fc0906e1bf0f76ba845.0.tmp
- /data/media/####/b80e8e35c76900d183fd16c5bcd6163b.0.tmp
- /data/media/####/c16673db40b1517aeb1bd9a85d8caed4.0.tmp
- /data/media/####/e472f07e95208bdc9534ea5148820532.0.tmp
- /data/media/####/journal
- /data/media/####/journal.tmp
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- chmod 755 <Package Folder>/.jiagu/libjiagu1838653358.so
- getprop ro.build.display.id
- getprop ro.build.version.emui
- getprop ro.build.version.opporom
- getprop ro.miui.ui.version.name
- getprop ro.smartisan.version
- getprop ro.vivo.os.version
Загружает динамические библиотеки:
- crash_analysis
- libjiagu1838653358
- tongdun_db
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
