Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.SkyMobi.8.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ti####.c####.l####.####.com:80
- TCP(HTTP/1.1) qin####.com.www.####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) im####.w####.cn.####.com:80
- TCP(HTTP/1.1) aserver####.m.ta####.com:80
- TCP(HTTP/1.1) 100app####.oss-cn-####.aliy####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) app.w####.cn:80
- TCP(HTTP/1.1) c-h####.g####.com:80
- TCP(HTTP/1.1) sdk.o####.p####.####.com:80
- TCP(HTTP/1.1) o####.b####.cn:80
- TCP sdk.o####.t####.####.com:5224
- TCP c####.g####.ig####.com:5224
Запросы DNS:
- 100app####.oss-cn-####.aliy####.com
- 7j####.c####.z0.####.com
- a####.u####.com
- ads.w####.cn
- apm-col####.qte####.com
- app.w####.cn
- c####.g####.ig####.com
- c-h####.g####.com
- im####.w####.cn
- loc.map.b####.com
- o####.b####.cn
- o####.y####.com
- pub-####.qin####.com
- sdk.c####.ig####.com
- sdk.o####.i####.####.com
- sdk.o####.p####.####.com
- sdk.o####.t####.####.com
- v.i5####.com
Запросы HTTP GET:
- 100app####.oss-cn-####.aliy####.com/qa_host.txt
- app.w####.cn/action/connect/active?app_id=####&udid=####&imsi=####&net=#...
- app.w####.cn/action/miniad/ad?app_id=####&udid=####&imsi=####&net=####&b...
- aserver####.m.ta####.com/sdk/version_update?client_id=####&version=####&...
- im####.w####.cn.####.com/appfile/adsfile/e5849d37b08d7e884257cc9bea6cc84...
- im####.w####.cn.####.com/appfile/stuff/38759fe7d053704da06e30b83b616b30/...
- im####.w####.cn.####.com/appfile/stuff/45f86318583b6457b9a42cfe8c91f6fe/...
- im####.w####.cn.####.com/appfile/stuff/4f107bda894d5f390100c536bd5a50f6/...
- im####.w####.cn.####.com/appfile/stuff/55b906dad91a83f9e8d39ca72283dd41/...
- im####.w####.cn.####.com/appfile/stuff/86d473b91059d4e3f354efe22a7dad57/...
- im####.w####.cn.####.com/appfile/stuff/9ba31bb7edd0cbe16b2bc6f39b7797e9/...
- im####.w####.cn.####.com/appfile/stuff/a5c07a14c10dc674037a9141d6f70ff3/...
- im####.w####.cn.####.com/appfile/stuff/b2d619fa19e36718e2c10a22e03a4a6b/...
- qin####.com.www.####.com/tdata_EDT356
- t####.c####.q####.####.com/tdata_gCF347
- t####.c####.q####.####.com/tdata_wkF366
- ti####.c####.l####.####.com/config/hz-hzv3.conf
Запросы HTTP POST:
- a####.u####.com/app_logs
- app.w####.cn/action/user_info
- c-h####.g####.com/api.php?format=####&t=####
- loc.map.b####.com/sdk.php
- o####.b####.cn/7/find
- sdk.o####.p####.####.com/api.php?format=####&t=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jiagu.ls
- /data/data/####/6c2339732639
- /data/data/####/AppSettings.xml
- /data/data/####/CacheTime.dat
- /data/data/####/PlayerUIApk.apk
- /data/data/####/ShowAdFlag.xml
- /data/data/####/TestinCrash.xml
- /data/data/####/analytics_agent_header_.xml
- /data/data/####/bmob_sp.xml
- /data/data/####/com.yt.edu.sczczfj_preferences.xml
- /data/data/####/crashannals.db
- /data/data/####/crashannals.db-journal
- /data/data/####/firll.dat
- /data/data/####/gdaemon_20161017
- /data/data/####/gx_sp.xml
- /data/data/####/increment.db-journal
- /data/data/####/init.pid
- /data/data/####/libjiagu.so
- /data/data/####/push.pid
- /data/data/####/pushext.db-journal
- /data/data/####/pushg.db-journal
- /data/data/####/pushsdk.db-journal
- /data/data/####/run.pid
- /data/data/####/tdata_gCF347.jar
- /data/data/####/tdata_gCF347.tmp
- /data/data/####/tdata_wkF366.jar
- /data/data/####/tdata_wkF366.tmp
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/xUtils.db-journal
- /data/media/####/.nomedia
- /data/media/####/07d96cffac1cd3efc30a716a70e5a26c
- /data/media/####/16430e9c184223cdd5003eed93dcd026
- /data/media/####/647b7d170f3f9f12c98ce981999e8804
- /data/media/####/938e790af8936191d01351bc9eec7fd0
- /data/media/####/977e97767fd09498be4b7bcb61b45b9f
- /data/media/####/AppPackage.dat
- /data/media/####/CacheTime.dat
- /data/media/####/UnPackage.dat
- /data/media/####/android
- /data/media/####/app.db
- /data/media/####/b9a28c0ca7e9af546f7140e29afaf734
- /data/media/####/com.getui.sdk.deviceId.db
- /data/media/####/com.igexin.sdk.deviceId.db
- /data/media/####/com.yt.edu.sczczfj.db
- /data/media/####/conlts.dat
- /data/media/####/d3a7fa5a12abd6dd85ef85655e219e5b
- /data/media/####/e5849d37b08d7e884257cc9bea6cc848
- /data/media/####/ec985a17475a503a60627b1a0cac5b4b
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/tdata_gCF347
- /data/media/####/tdata_wkF366
- /data/media/####/test.log
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24777 300 0
- cat /sys/class/net/wlan0/address
- chmod 700 <Package Folder>/files/gdaemon_20161017
- mount
- sh <Package Folder>/files/gdaemon_20161017 0 <Package>/com.igexin.sdk.PushService 24777 300 0
Загружает динамические библиотеки:
- accstub
- android_safe
- libjiagu
- locSDK5
- luajava
Использует следующие алгоритмы для шифрования данных:
- AES-CFB-NoPadding
- DES-CBC-PKCS5Padding
- RSA-NONE-OAEPWithSHA1AndMGF1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CFB-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
