Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.3394
- Android.DownLoader.635.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) coolapk####.b0.a####.com:80
- TCP(HTTP/1.1) c.appj####.com:80
- TCP(HTTP/1.1) www.s####.net:80
- TCP(SSL/3.0) unsp####.i####.net:443
- TCP(SSL/3.0) gi####.com:443
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) syndica####.twi####.com:443
- TCP(TLS/1.0) gi####.com:443
- TCP(TLS/1.0) l####.f####.wordp####.com:443
- TCP(TLS/1.0) t.skimres####.com:443
- TCP(TLS/1.0) unsp####.i####.net:443
- TCP(TLS/1.0) ssl.google-####.com:443
- TCP(TLS/1.0) p####.wp.com:443
- TCP(TLS/1.0) s####.wp.com:443
- TCP(TLS/1.0) cs1-l####.8####.e####.net:443
- TCP(TLS/1.0) s.skimres####.com:443
- TCP(TLS/1.0) r.skimres####.com:443
- TCP(TLS/1.0) f####.google####.com:443
- TCP(TLS/1.0) coolapk####.b0.a####.com:443
- TCP(TLS/1.0) fukui-####.herok####.com:443
- TCP(TLS/1.0) s.pub####.com:443
- TCP(TLS/1.0) l####.wordp####.com:443
Запросы DNS:
- c.appj####.com
- colle####.b####.com
- coo####.com
- f####.google####.com
- f####.gst####.com
- gi####.com
- im####.unsp####.com
- l####.f####.wordp####.com
- l####.wordp####.com
- p####.wp.com
- plat####.twi####.com
- pubp####.net
- r.skimres####.com
- s####.wp.com
- s####.wp.com
- s####.wp.com
- s####.wp.com
- s.pub####.com
- s.skimres####.com
- so####.unsp####.com
- ssl.google-####.com
- syndica####.twi####.com
- t.skimres####.com
- www.coo####.com
- www.s####.net
Запросы HTTP GET:
- coolapk####.b0.a####.com/apk/kh.android.everydaypaper
Запросы HTTP POST:
- c.appj####.com/ad/splash/stats.html
- www.s####.net/Mini/niouy.action?key=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/BUGHD.xml
- /data/data/####/ad_show_time.xml
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/kh.aroid.xrndverpershiguang.apk
- /data/data/####/libjiagu.so
- /data/media/####/.nomedia
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- RSA
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
