Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.SmsSpy.677.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) q####.qi1####.com:14302
- TCP(HTTP/1.1) q####.qi1####.com:15302
- TCP(HTTP/1.1) pg.x####.com:80
- TCP(HTTP/1.1) i####.cn.com:80
- TCP(HTTP/1.1) hangzho####.oss-cn-####.aliy####.com:80
- TCP(HTTP/1.1) q####.qi1####.com:9600
- TCP(HTTP/1.1) q####.qi1####.com:9500
Запросы DNS:
- a####.u####.com
- hangzho####.oss-cn-####.aliy####.com
- i####.cn.com
- mt####.go####.com
- pg.x####.com
- q####.qi1####.com
- q####.qi1####.com
- sdk.qi1####.com
Запросы HTTP GET:
- hangzho####.oss-cn-####.aliy####.com/qiyi/client/sdk/so/libzxvps.so
- i####.cn.com/a/3b528872af3686c5bbbca5ab44858a4a0
Запросы HTTP POST:
- a####.u####.com/app_logs
- pg.x####.com/api/q/a/3b528872af3686c5bbbca5ab44858a4a0
- pg.x####.com/api/statis/3b528872af3686c5bbbca5ab44858a4a0/game-6AA4055B6...
- q####.qi1####.com:14302/sdk_login?t=####
- q####.qi1####.com:15302/sdk_login?t=####
- q####.qi1####.com:9500/
- q####.qi1####.com:9600/
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/01fmScene.csb
- /data/data/####/01intro.mp3
- /data/data/####/01intro111.mp3
- /data/data/####/01ui01.png
- /data/data/####/01ui02.png
- /data/data/####/01ui04.png
- /data/data/####/01ui06.png
- /data/data/####/01ui07.png
- /data/data/####/02mainmenuScene.csb
- /data/data/####/02pop3.mp3
- /data/data/####/02ui00.png
- /data/data/####/02ui01.png
- /data/data/####/02ui03.png
- /data/data/####/02ui04.png
- /data/data/####/02ui07.png
- /data/data/####/02ui08.png
- /data/data/####/02ui09.png
- /data/data/####/02ui10.png
- /data/data/####/02ui11.png
- /data/data/####/02ui12.png
- /data/data/####/02ui13.png
- /data/data/####/02ui16.png
- /data/data/####/02ui17.png
- /data/data/####/02ui18.png
- /data/data/####/02ui19.png
- /data/data/####/02ui21.png
- /data/data/####/02ui21a.png
- /data/data/####/02ui21b.png
- /data/data/####/03propScene.csb
- /data/data/####/04pop.mp3
- /data/data/####/04ui01.png
- /data/data/####/04ui02.png
- /data/data/####/04ui03.png
- /data/data/####/04ui04.png
- /data/data/####/05stopScene.csb
- /data/data/####/05ui01.png
- /data/data/####/06dieScene.csb
- /data/data/####/06pop3.mp3
- /data/data/####/06ui01.png
- /data/data/####/06ui02.png
- /data/data/####/06ui03.png
- /data/data/####/07countScene.csb
- /data/data/####/07ui01.png
- /data/data/####/07ui02.png
- /data/data/####/07ui03.png
- /data/data/####/08coin.mp3
- /data/data/####/08gameScene.csb
- /data/data/####/08ui01.png
- /data/data/####/08ui02.png
- /data/data/####/08ui03.png
- /data/data/####/09gameScene.csb
- /data/data/####/09ui01.png
- /data/data/####/09ui02b.png
- /data/data/####/09ui03.png
- /data/data/####/09ui04.png
- /data/data/####/09ui05.png
- /data/data/####/09ui06.png
- /data/data/####/11kick.mp3
- /data/data/####/12system.mp3
- /data/data/####/13wow.mp3
- /data/data/####/250026699187743;account_file.xml
- /data/data/####/7tengman.mp3
- /data/data/####/Alvin2.xml
- /data/data/####/ContextData.xml
- /data/data/####/Marker Felt.ttf
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/baidu
- /data/data/####/bbballParticle_1.plist
- /data/data/####/bbballParticle_2.plist
- /data/data/####/bbballParticle_4.plist
- /data/data/####/bbballParticle_5.plist
- /data/data/####/bbballParticle_7.plist
- /data/data/####/bbballParticle_8.plist
- /data/data/####/bg00.png
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/cg02.png
- /data/data/####/cg03.png
- /data/data/####/cg04.png
- /data/data/####/cg06.png
- /data/data/####/com.illusiveray.zcs_preferences.xml
- /data/data/####/cover_kefu.png
- /data/data/####/daojuAnimation.ExportJson
- /data/data/####/daojuAnimation0.plist
- /data/data/####/daojuAnimation0.png
- /data/data/####/diban.png
- /data/data/####/dog.ExportJson
- /data/data/####/dog0.plist
- /data/data/####/dog0.png
- /data/data/####/dog1.plist
- /data/data/####/dog1.png
- /data/data/####/dogParticle_12.plist
- /data/data/####/doglizi1.png
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f007.png
- /data/data/####/finger.png
- /data/data/####/jiage.png
- /data/data/####/kefu.png
- /data/data/####/kefu1.png
- /data/data/####/kz.png
- /data/data/####/libao1.png
- /data/data/####/libao2.png
- /data/data/####/libao3.png
- /data/data/####/libao4.png
- /data/data/####/libao5.png
- /data/data/####/libao6.png
- /data/data/####/libao7.png
- /data/data/####/libjiagu.so
- /data/data/####/libzxvps.so
- /data/data/####/line.png
- /data/data/####/lizi0.png
- /data/data/####/lizi1.png
- /data/data/####/lizi3.png
- /data/data/####/lizi4.png
- /data/data/####/lizi5.png
- /data/data/####/num0.png
- /data/data/####/num01.png
- /data/data/####/num0111.png
- /data/data/####/num02.png
- /data/data/####/num1.png
- /data/data/####/num2.png
- /data/data/####/num3.png
- /data/data/####/number0.png
- /data/data/####/pid
- /data/data/####/pref_file.xml
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/qy_db_pay
- /data/data/####/qy_db_pay-journal
- /data/data/####/receive0.png
- /data/data/####/receive1.png
- /data/data/####/receive2.png
- /data/data/####/road01.png
- /data/data/####/road02.png
- /data/data/####/road03.png
- /data/data/####/road0333.png
- /data/data/####/roadAnimation.ExportJson
- /data/data/####/roadAnimation.csb
- /data/data/####/roadAnimation0.plist
- /data/data/####/roadAnimation0.png
- /data/data/####/talkingdata_app.db
- /data/data/####/talkingdata_app.db-journal
- /data/data/####/talkingdata_app_process_preferences_file
- /data/data/####/talkingdata_app_version_preferences_file
- /data/data/####/td_database_push
- /data/data/####/td_pefercen_profile.xml
- /data/data/####/tdandroidgame
- /data/data/####/tdid.xml
- /data/data/####/timeper1.png
- /data/data/####/timeper2.png
- /data/data/####/tmp_jar
- /data/data/####/tmp_so
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/unknown.xml
- /data/data/####/x.png
- /data/data/####/xxxx.png
- /data/data/####/yingzi.png
- /data/data/####/yuan.png
- /data/media/####/.cfg
- /data/media/####/.tcookieid
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
Другие:
Запускает следующие shell-скрипты:
- app_process /system/bin com.android.commands.am.Am startservice --user 0 -n <Package>/com.google.android.gms.analytics.CampaignTrackingService
- cat /sys/block/mmcblk0/device/cid
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- chmod 777 <Package Folder>/lib/helper
- dd if=<Package Folder>/lib/libhelper.so of=<Package Folder>/lib/helper
- ls -l /system/bin/su
- sh
Загружает динамические библиотеки:
- game
- libgame
- libhelper
- libjiagu
- libsmsmanager
- libzxvps
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- DES-ECB-NoPadding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- DES-ECB-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
Парсит информацию из SMS.
Получает информацию об отправленых/принятых SMS.
