Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Backdoor.657.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) pg.x####.com:80
- TCP(HTTP/1.1) poll-di####.cooteks####.com:80
- TCP(HTTP/1.1) unipa####.wos####.cn:8080
- TCP(HTTP/1.1) unip####.wos####.cn:8080
- TCP(HTTP/1.1) un####.wos####.cn:8061
- TCP(HTTP/1.1) se####.wos####.cn:81
- UDP(NTP) 1.cn.p####.####.org:123
- TCP(TLS/1.0) 1####.217.20.110:443
Запросы DNS:
- 1.cn.p####.####.org
- i####.cn
- mt####.go####.com
- pg.x####.com
- poll-di####.cooteks####.com
- se####.wos####.cn
- un####.wos####.cn
- unip####.wos####.cn
- unipa####.wos####.cn
Запросы HTTP GET:
- poll-di####.cooteks####.com/dualsim/appkey_dsi?appkey=####&host=####&man...
- unip####.wos####.cn:8080/upload/1547536478380.zip
Запросы HTTP POST:
- pg.x####.com/api/q/a/3e0caefef476e9d67ef1f155d0af80a44
- pg.x####.com/api/statis/3e0caefef476e9d67ef1f155d0af80a44/app-0CDB75C10C...
- se####.wos####.cn:81/unipay/precheck?secrettype=####&sdktime=####&urlsig...
- un####.wos####.cn:8061/logserver/unipay/unipayLogin
- unipa####.wos####.cn:8080/sdk_upgrade_server/sdkupdate.action
Изменения в файловой системе:
Создает следующие файлы:
- /data/anr/traces.txt
- /data/data/####/4.8.0M2111B0715_resource_400.apk
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/TD_app_pefercen_profile.xml.bak
- /data/data/####/TDpref_longtime.xml
- /data/data/####/TDpref_shorttime.xml
- /data/data/####/TDtcagent.db
- /data/data/####/TDtcagent.db-journal
- /data/data/####/app_crash_0eb8403baee87af1d9b7edab4bb95718.txt
- /data/data/####/app_crash_1e9e8b36a30dcb7184847c99c14eeafc.txt
- /data/data/####/app_crash_2db7fc5c4c63b69a711a11460ff04306.txt
- /data/data/####/app_crash_389528c0b729adea669d1e54c6a9ede7.txt
- /data/data/####/app_crash_46c080982fc81c5f9fcb63f58838661a.txt
- /data/data/####/app_crash_488d3be77a9526ab5d649f5e82150762.txt
- /data/data/####/app_crash_4e82c5f95607847b486420bcf917cef1.txt
- /data/data/####/app_crash_571efb5d5340a6ca6791e4e25c44c8d0.txt
- /data/data/####/app_crash_6f402e59dd22f36ac2e43c272a62fd7e.txt
- /data/data/####/app_crash_8c579040d87ad03c5dc56978c0aeadf2.txt
- /data/data/####/app_crash_92c410163ba01afdb99ccc72736de44e.txt
- /data/data/####/app_crash_942b24dd9781d4511f67cf1342360ae6.txt
- /data/data/####/app_crash_a1ae9fa245fd8cd6765c275e1d77bda5.txt
- /data/data/####/app_crash_a2d1130738064ef8c9fb4b0cfc025034.txt
- /data/data/####/app_crash_b696d4df5608626a4738e8931f927145.txt
- /data/data/####/app_crash_b69bc05f8c06c4b59d9671b292c1b084.txt
- /data/data/####/app_crash_c6b94c0c9fe9ab2109f5f5cff169568f.txt
- /data/data/####/app_crash_d137c7595b7b1a5d4e5a5624ed6c2ee3.txt
- /data/data/####/app_crash_d9214fbcfef887ade082b68c595e86c6.txt
- /data/data/####/app_crash_db99207208e4c9b5ea426c23c4f099b5.txt
- /data/data/####/app_crash_e155e7ccd085933e44768f47e8948a55.txt
- /data/data/####/app_crash_fa0547d5790926c2722c371c2dc2d341.txt
- /data/data/####/app_crash_fa85fc473c3bafc2b820bb4b0f9eb9da.txt
- /data/data/####/app_crash_fc93d67e490aeaa1a5e48a4f3df2b0e3.txt
- /data/data/####/app_crash_ff2ee9745963b300cb0fa2011dbe6241.txt
- /data/data/####/com.sg.cjfxjjzs.anzhi_preferences.xml
- /data/data/####/libjiagu269905473.so
- /data/data/####/local.jar
- /data/data/####/login
- /data/data/####/msg_store.xml
- /data/data/####/sdk_load_info.xml
- /data/data/####/talkingdata_app.db-journal
- /data/data/####/talkingdata_app_process_preferences_file
- /data/data/####/talkingdata_app_version_preferences_file
- /data/data/####/td.lock
- /data/data/####/tdid.xml
- /data/data/####/unicom_cl.xml
- /data/data/####/unicom_cl.xml.bak
- /data/data/####/update.zip
- /data/data/####/wwoclasses.dex
- /data/data/####/wwoclasses.dve
- /data/data/####/wwoclasses.jar
- /data/media/####/.tcookieid
- /data/media/####/addata22.dat
- /data/media/####/data0.dat
- /data/media/####/data1.dat
- /data/media/####/data111.dat
- /data/media/####/dualsim.dat
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu269905473.so
- netstat -apn
Загружает динамические библиотеки:
- libjiagu269905473
- me_unipay
- megjb
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- DESede-CBC-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- DESede-CBC-NoPadding
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
