Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.2083
- Android.DownLoader.546.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) md.ope####.360.cn:80
- TCP(HTTP/1.1) c####.v.tvfa####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) api.app.tvfa####.com:80
- TCP(HTTP/1.1) p7.q####.com:80
- TCP(HTTP/1.1) p0.q####.com:80
- TCP(SSL/3.0) p.ssl.q####.com:443
- TCP(TLS/1.0) p.ssl.q####.com:443
- TCP 36.1####.215.104:80
Запросы DNS:
- a####.u####.com
- api.app.tvfa####.com
- c####.v.tvfa####.com
- md.ope####.360.cn
- p.ssl.q####.com
- p0.q####.com
- p5.q####.com
- p7.q####.com
- p8.q####.com
Запросы HTTP GET:
- api.app.tvfa####.com/mandroid/channel/home?ss=####&token=####&ver=####&c...
- api.app.tvfa####.com/mandroid/channel/minilist?title=####&act=####&ss=##...
- api.app.tvfa####.com/mandroid/circle/home?ss=####&token=####&ver=####&ch...
- api.app.tvfa####.com/mandroid/circle/hot?start=####&count=####&ss=####&t...
- api.app.tvfa####.com/mandroid/circle/nearlist?ss=####&token=####&ver=###...
- api.app.tvfa####.com/mandroid/cloud/defaults?dkey=####&ss=####&token=###...
- api.app.tvfa####.com/mandroid/common/upgrade?auto=####&ss=####&token=###...
- api.app.tvfa####.com/mandroid/static/welcome.json?mac=####&ss=####&token...
- c####.v.tvfa####.com/all
- md.ope####.360.cn/list/get?product=####&source=####&version=####
- p0.q####.com/t01bed2ec41dc90fc78.png
- p0.q####.com/t01e756874a7e0da82b.png
- p7.q####.com/t010f9d3c822541675f.png
- p7.q####.com/t0133a94f39708ca70a.png
- p7.q####.com/t01b4be5f679c025f3b.png
Запросы HTTP POST:
- a####.u####.com/app_logs
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/05ab1c3f5d163c6b98d91f63f40097600b90937da8336ef....0.tmp
- /data/data/####/12101bb190c6d3f3446e4106e667d232df712b22d87fd9b....0.tmp
- /data/data/####/1b66ec368f
- /data/data/####/6ca0f23c5b9a58e0956ac2e9738a5a44578a461820d459d....0.tmp
- /data/data/####/8b65736fe0e9274b89c060bc35e7154c3ff11ee3d77b66b....0.tmp
- /data/data/####/b4baa0362e719df8cf4880454fdfc2bd2fca544750203d2....0.tmp
- /data/data/####/com.qihoo.szjieubaodian.db-journal
- /data/data/####/com.qihoo.szjieubaodian.odex
- /data/data/####/com.qihoo.szjieubaodian.zip
- /data/data/####/com.qihoo.szjieubaodian_preferences.xml
- /data/data/####/cover_config
- /data/data/####/db_public-journal
- /data/data/####/f175e19ba196709e2abb6536a839c7600de885c796525df....0.tmp
- /data/data/####/journal.tmp
- /data/data/####/key_dnscache.xml
- /data/data/####/libjiagu.so
- /data/data/####/mobclick_agent_cached_com.qihoo.szjieubaodian2
- /data/data/####/mobclick_agent_online_setting_com.qihoo.szjieubaodian.xml
- /data/data/####/settings.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
