Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Panda.2.origin
- Adware.Panda.3.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) t####.c####.q####.####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) gl####.w.kunl####.####.com:80
- TCP(HTTP/1.1) a####.b####.qq.com:8011
- TCP(HTTP/1.1) api.p####.koudaib####.com:80
- TCP(TLS/1.0) regi####.xm####.xi####.com:443
Запросы DNS:
- 7x####.c####.z0.####.com
- a####.b####.qq.com
- a####.u####.com
- a.appj####.com
- and####.b####.qq.com
- api.p####.koudaib####.com
- h####.h####.koudaib####.com
- regi####.xm####.xi####.com
Запросы HTTP GET:
- api.p####.koudaib####.com/api/common/aver?version=####&channel=####&ts=#...
- api.p####.koudaib####.com/api/common/configs
- api.p####.koudaib####.com/api/search/configs
- api.p####.koudaib####.com/api/series/detail?sid=####
- api.p####.koudaib####.com/api/series/index?off####&count=####&tag=####
- gl####.w.kunl####.####.com/search_a_v13.js
- gl####.w.kunl####.####.com/yk_a_v3
- t####.c####.q####.####.com/hj_res/FhDidI2R9kF3pqfC2z8bC3gQQH3W.jpg?image...
- t####.c####.q####.####.com/hj_res/FhTE-UMpEasXlkQIGmPdiTcg74yA.jpg?image...
- t####.c####.q####.####.com/hj_res/FhXOtPhdqCSu0hAAUe3w_kouyAEm.jpg?image...
- t####.c####.q####.####.com/hj_res/FjunJgkiPgvh9yDVxpV7G7d4PGzp.jpg?image...
- t####.c####.q####.####.com/hj_res/FksECA0v836YDY0VcjmWJXwPAVWh.jpg?image...
- t####.c####.q####.####.com/hj_res/FlE9tfjocbnOfnp5cJ3zVRutwue_.jpg?image...
- t####.c####.q####.####.com/hj_res/FmJ1pSvalsznlEU_ul-lguitdhV_.jpg?image...
- t####.c####.q####.####.com/hj_res/FmigVx2uUvZLBatPKtwLWlHdbkpi.jpg?image...
- t####.c####.q####.####.com/hj_res/Ft2A62ph-zFOfQFjE3A5iNw5F82D.jpg?image...
- t####.c####.q####.####.com/hj_res/FuhhIjDR7ZrVz3dLfaZkLOhclc-d.jpg?image...
Запросы HTTP POST:
- a####.b####.qq.com:8011/rqd/async
- a####.u####.com/app_logs
- a.appj####.com/ad-service/ad/mark
- and####.b####.qq.com/rqd/async
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-144954159-726006901
- /data/data/####/-1449541591759761614
- /data/data/####/-1588263994-1608979652
- /data/data/####/-1588263994669762936
- /data/data/####/-789846894898175287
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/3342059031905290271
- /data/data/####/babytv_db.db-journal
- /data/data/####/bugly_db_-journal
- /data/data/####/hanju_app_prefer.xml
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/libjiagu.so
- /data/data/####/local_crash_lock
- /data/data/####/mipush.xml
- /data/data/####/mipush_extra.xml
- /data/data/####/mobclick_agent_online_setting_com.zhuzhudonghua...an.xml
- /data/data/####/plugin.apk
- /data/data/####/security_info
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/media/####/.nomedia
- /data/media/####/02a2d248a1e0a9b873e45333faab0c16.js_temp
- /data/media/####/25493b4fd6c0c72b97956f86869829881055c97902a532....0.tmp
- /data/media/####/3091bde58f7b3bc1e58372ade4d918942637c6faf23381....0.tmp
- /data/media/####/374d6703d02c6a04e47d93d7f7a6861570e046987231eb....0.tmp
- /data/media/####/3ced13cfe0abc22f18f165566bba1efe8d7ae85b6ad078....0.tmp
- /data/media/####/3de7f2ea79d10471f7a5547a1dca3b583119b495d63fe8....0.tmp
- /data/media/####/5309828418a94a6a18124a2b484c45d7a3226965b3d887....0.tmp
- /data/media/####/57747df7ff3bbf2d815b0bb1aa92a2d7070b668e6d7061....0.tmp
- /data/media/####/689af1f347795fed78047716e8b32399fbfad98132846b....0.tmp
- /data/media/####/7148ba70f63112570f331babfd5ce9807e1927ec64f48e....0.tmp
- /data/media/####/8f95cd5df88d1c428bc1d08bf7358b50958d19a3956040....0.tmp
- /data/media/####/9fe5fd54ada401e14127cd30a27d186b1849ab1b1a65ee....0.tmp
- /data/media/####/a426eeae024b42b37131b963cefea09c88e409d7b2eebb....0.tmp
- /data/media/####/b0071ccb45d082e85c3b731e67f6bbcf042c7c33cdb31c....0.tmp
- /data/media/####/b5a5d6bd99f5c38073273e68bba2f285b7875e761cc992....0.tmp
- /data/media/####/c5c88b5f9b66b07317f51d54b7a715d98054a99a00cd6e....0.tmp
- /data/media/####/c6631987858ac75bd731bf71b5db10ecd59b3d504eb9c4....0.tmp
- /data/media/####/c82fa0e7ff195483690bbafdd98eedf17475c7700d5384....0.tmp
- /data/media/####/cdd633d68796e5c5d0a63c1089d8eb3c22dce34f634148....0.tmp
- /data/media/####/d11f568dfe560dad520337b1a74eb9795104a44528711a....0.tmp
- /data/media/####/d2dd1f53fc7506b078399c4be568b51a3cbfd4b731d9e1....0.tmp
- /data/media/####/f9033cddb5eeba8556368256335e9af568da1d1c191d78....0.tmp
- /data/media/####/journal.tmp
- /data/media/####/log.lock
- /data/media/####/log1.txt
- /data/media/####/search_a_v13.js_temp
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop androVM.vbox_dpi
- /system/bin/sh -c getprop gsm.sim.state
- /system/bin/sh -c getprop gsm.sim.state2
- /system/bin/sh -c getprop qemu.sf.fake_camera
- /system/bin/sh -c getprop ro.board.platform
- /system/bin/sh -c getprop ro.debuggable
- /system/bin/sh -c getprop ro.genymotion.version
- /system/bin/sh -c getprop ro.secure
- /system/bin/sh -c type su
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- getprop androVM.vbox_dpi
- getprop gsm.sim.state
- getprop gsm.sim.state2
- getprop qemu.sf.fake_camera
- getprop ro.board.platform
- getprop ro.debuggable
- getprop ro.genymotion.version
- getprop ro.secure
Загружает динамические библиотеки:
- Bugly
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-GCM-NoPadding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- AES-GCM-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
