Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.192.origin
- Android.DownLoader.652
Перекрывает экран собственным окном, блокируя доступ к GUI.
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) api.appj####.com:80
- TCP(HTTP/1.1) gm.mm####.com:80
- TCP(HTTP/1.1) ip.ta####.com:80
- TCP(HTTP/1.1) newsat####.bi####.cn:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) bbsat####.bi####.cn:80
- TCP(HTTP/1.1) c.c####.com:80
- TCP(HTTP/1.1) pco####.ta####.com:80
- TCP(HTTP/1.1) ping####.qq.com:80
- TCP(HTTP/1.1) s.6tr####.com.####.com:80
- TCP(HTTP/1.1) i####.bi####.cn:80
- TCP(HTTP/1.1) 3g.bi####.cn:80
- TCP(HTTP/1.1) ads.m####.net:80
- TCP(HTTP/1.1) api.m####.net:80
- TCP(HTTP/1.1) pag####.googles####.com:80
- TCP(HTTP/1.1) apk.m####.net:80
- TCP(HTTP/1.1) c####.b####.com:80
- TCP(HTTP/1.1) t####.qq.com:80
- TCP(HTTP/1.1) uce####.bi####.cn:80
- TCP(TLS/1.0) t####.qq.com:443
- TCP(TLS/1.0) googl####.g.doublec####.net:443
- TCP(TLS/1.0) adser####.go####.nl:443
- TCP(TLS/1.0) pag####.googles####.com:443
Запросы DNS:
- 3g.bi####.cn
- 3g.ebi####.com
- ads.m####.net
- adser####.go####.com
- adser####.go####.nl
- api.appj####.com
- api.m####.net
- apk.m####.net
- bbsat####.bi####.cn
- c####.b####.com
- c####.mm####.com
- c.c####.com
- g.ar####.com
- googl####.g.doublec####.net
- h####.c####.com
- i####.bi####.cn
- ip.ta####.com
- l.minis####.cn
- newsat####.bi####.cn
- p1.w####.com
- p2.w####.com
- pag####.googles####.com
- pco####.c####.com
- ping####.qq.com
- reddot####.ar####.com
- s.6tr####.com
- s1.w####.com
- s2.w####.com
- s96.c####.com
- s97.c####.com
- t####.qq.com
- u0.s.minis####.cn
- u1.s.minis####.cn
- u2.s.minis####.cn
- uce####.bi####.cn
Запросы HTTP GET:
- 3g.bi####.cn/
- 3g.bi####.cn/css/mobile.css
- 3g.bi####.cn/images/logo.png
- 3g.bi####.cn/script/NTUI.min.js
- 3g.bi####.cn/script/common.js
- 3g.bi####.cn/script/jquery-1.9.1.min.js
- 3g.bi####.cn/script/jquery.form.js
- 3g.bi####.cn/script/xui-2.3.2.min.js
- 3g.bi####.cn/upload/img/2013-06-28/1372389789c.jpg
- 3g.bi####.cn/upload/img/2013-07-01/1372663169c.jpg
- 3g.bi####.cn/upload/img/2013-07-01/1372663288c.jpg
- 3g.bi####.cn/upload/img/2013-07-02/1372750328c.jpg
- 3g.bi####.cn/upload/img/2013-07-03/1372844060c.jpg
- 3g.bi####.cn/upload/img/2013-07-04/1372929958c.jpg
- 3g.bi####.cn/upload/img/2014-01-24/1390559687c.jpg
- 3g.bi####.cn/upload/img/2016-05-03/1462248313c.jpg
- 3g.bi####.cn/upload/img/2017-11-27/1511788104a.jpg
- 3g.bi####.cn/upload/img/2017-11-27/1511789669a.jpg
- 3g.bi####.cn/upload/img/2017-11-27/1511789757a.jpg
- 3g.bi####.cn/upload/img/2017-11-27/1511789857a.jpg
- 3g.bi####.cn/upload/img/2017-11-27/1511789940a.jpg
- ads.m####.net/newsdk/PopupAd_desc_1_3_1.zip
- ads.m####.net/newsdk/PopupAd_dex_1_3_1.zip
- ads.m####.net/newsdk/close.png
- apk.m####.net/adimg/banner/201608/1470221642207_400_400.png
- bbsat####.bi####.cn/avatar/noavatar_small.gif
- c####.b####.com/js/mm.js
- c.c####.com/core.php?web_id=####&t=####
- c.c####.com/stat.php?id=####&web_id=####
- gm.mm####.com/9.gif?abc=####&rnd=####
- i####.bi####.cn/
- i####.bi####.cn/?module=####&act=####
- i####.bi####.cn/?module=####&act=####&LevelID=####
- i####.bi####.cn/css/mobilecss/wordsMobile.css
- i####.bi####.cn/images/mobileimages/arrow-left.png
- i####.bi####.cn/images/mobileimages/arrow-right.png
- i####.bi####.cn/images/mobileimages/arrowGray.png
- i####.bi####.cn/images/mobileimages/logo.png
- i####.bi####.cn/script/mobilejs/NTUI.min.js
- i####.bi####.cn/script/mobilejs/jquery-1.9.1.min.js
- i####.bi####.cn/script/mobilejs/swiper.min.js
- i####.bi####.cn/script/mobilejs/words.js
- i####.bi####.cn/script/mobilejs/xui-2.3.2.min.js
- ip.ta####.com/service/getIpInfo.php?ip=####
- newsat####.bi####.cn/mobile/images/logo.png
- newsat####.bi####.cn/mobile/upload/img/2013-07-01/1372663288c.jpg
- newsat####.bi####.cn/mobile/upload/img/2013-07-02/1372750328c.jpg
- newsat####.bi####.cn/mobile/upload/img/2013-07-03/1372844060c.jpg
- newsat####.bi####.cn/mobile/upload/img/2013-07-04/1372929958c.jpg
- newsat####.bi####.cn/mobile/upload/img/2014-01-24/1390559687c.jpg
- newsat####.bi####.cn/mobile/upload/img/2016-05-03/1462248313c.jpg
- newsat####.bi####.cn/mobile/upload/img/2017-11-27/1511789940a.jpg
- newsat####.bi####.cn/word/images/mobileimages/arrow-left.png
- newsat####.bi####.cn/word/images/mobileimages/arrow-right.png
- newsat####.bi####.cn/word/images/mobileimages/arrowGray.png
- newsat####.bi####.cn/word/images/mobileimages/logo.png
- newsat####.bi####.cn/word/images/mobileimages/process.png
- pag####.googles####.com/pagead/js/adsbygoogle.js
- pag####.googles####.com/pagead/js/r20181205/r20180604/reactive_library.js
- pag####.googles####.com/pagead/js/r20181205/r20180604/show_ads_impl.js
- pco####.ta####.com/app.gif?&cna=####
- ping####.qq.com/pingd?dm=####&pvi=####&si=####&url=####&arg=mod####&act=...
- s.6tr####.com.####.com/SNMob100103.js?aloader=####&_v=####
- t####.c####.q####.####.com/377c138aca416dfe19b7916e6211b388.js?v=####
- t####.c####.q####.####.com/aloader.min.js?v=####
- t####.qq.com/stats?sId=####
- uce####.bi####.cn/avatar.php?uid=####&size=####
- uce####.bi####.cn/data/avatar/noavatar_small.gif
- uce####.bi####.cn/images/mobileimages/process.png
Запросы HTTP POST:
- ads.m####.net/appscore4/active.bin
- ads.m####.net/appscore4/getappconf.bin
- ads.m####.net/appscore4/popscreen.bin
- api.appj####.com/appjiagu
- api.m####.net/appscore4/getappconf.bin
- api.m####.net/sys_sta/aa.bin
- api.m####.net/sys_sta/an.bin
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/1849855700
- /data/data/####/Download-journal
- /data/data/####/Downloado
- /data/data/####/Downloado-journal
- /data/data/####/Log-journal
- /data/data/####/android_cache1.jar
- /data/data/####/com.mbyydsgaosdu.daerduoenglish_preferences.xml
- /data/data/####/config.xml
- /data/data/####/configo.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/iConfig.xml
- /data/data/####/iDownload-journal
- /data/data/####/iLog-journal
- /data/data/####/index
- /data/data/####/jiagu.lock
- /data/data/####/libjiagu.so
- /data/data/####/pop_app_data.xml
- /data/data/####/popup_clientprofile.xml
- /data/data/####/setting1.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.android.dat
- /data/media/####/.android.dat-journal
- /data/media/####/.id
- /data/media/####/.iid
- /data/media/####/.mii
- /data/media/####/15_2886
- /data/media/####/close
- /data/media/####/com.jssihh.nnhiddc.dex (deleted)
- /data/media/####/com.jssihh.nnhiddk.dex
- /data/media/####/com.jssihh.nnhiddk.dex (deleted)
- /data/media/####/com.jssihh.nnhiddl.dex
- /data/media/####/download.db
- /data/media/####/download.db-journal
- /data/media/####/id
- /data/media/####/logo.png
- /data/media/####/spot.dat
- /data/media/####/spot_in.png
Другие:
Загружает динамические библиотеки:
- jiagu
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- DES
- DES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CFB-NoPadding
- DES
- DES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
