Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Xiny.54.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) log.sn####.com.####.net:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) oc.u####.com:80
- TCP(HTTP/1.1) ib.sn####.com.####.net:80
- TCP(HTTP/1.1) dm.tou####.com:80
- TCP(HTTP/1.1) yj.eji####.com:80
Запросы DNS:
- a####.u####.com
- a0.ps####.com
- dm.tou####.com
- i####.sn####.com
- ib.sn####.com
- ic.sn####.com
- icha####.sn####.com
- loc.map.b####.com
- log.sn####.com
- mon.sn####.com
- oc.u####.co
- oc.u####.com
- yj.eji####.com
Запросы HTTP GET:
- dm.tou####.com/2/essay/zone/config/v5/?iid=####&device_id=####&ac=####&c...
- dm.tou####.com/2/essay/zone/user/profile/?iid=####&device_id=####&ac=###...
- dm.tou####.com/feedback/2/list/?appkey=####&count=####&iid=####&device_i...
- dm.tou####.com/get_domains/?ac=####&channel=####&aid=####&app_name=####&...
- dm.tou####.com/get_domains/?iid=####&device_id=####&ac=####&channel=####...
- dm.tou####.com/monitor/settings/?ac=####&channel=####&aid=####&app_name=...
- dm.tou####.com/monitor/settings/?iid=####&device_id=####&ac=####&channel...
- dm.tou####.com/neihan/service/fonts/?iid=####&device_id=####&ac=####&cha...
- dm.tou####.com/neihan/stream/category/data/v3/?screen_width=####&categor...
- dm.tou####.com/service/11/app_ad/?_unused=####&carrier=####&mcc_mnc=####...
- dm.tou####.com/service/2/app_alert/?has_market=####&lang=####&carrier=##...
- dm.tou####.com/service/settings/v2/?app=####&iid=####&device_id=####&ac=...
- ib.sn####.com.####.net/2/essay/zone/config/v5/?ac=####&channel=####&aid=...
- ib.sn####.com.####.net/2/user/info/?ac=####&channel=####&aid=####&app_na...
- ib.sn####.com.####.net/2/user/info/?iid=####&device_id=####&ac=####&chan...
- ib.sn####.com.####.net/neihan/service/fonts/?ac=####&channel=####&aid=##...
- ib.sn####.com.####.net/neihan/stream/category/data/v3/?screen_width=####...
- ib.sn####.com.####.net/service/11/app_ad/?_unused=####&carrier=####&mcc_...
- ib.sn####.com.####.net/service/settings/v2/?app=####&default=####&ac=###...
Запросы HTTP POST:
- a####.u####.com/app_logs
- dm.tou####.com/monitor/collect/
- dm.tou####.com/service/2/app_log/
- dm.tou####.com/service/2/app_log_exception/
- ib.sn####.com.####.net/service/1/z_app_stats/?iid=####&device_id=####&ac...
- log.sn####.com.####.net/service/2/app_log_config/
- oc.u####.com/check_config_update
- yj.eji####.com/lkjp.do
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/L_Key.xml
- /data/data/####/SSMessageCookiePrefsFile.xml
- /data/data/####/app_setting.xml
- /data/data/####/app_track.xml
- /data/data/####/applog_stats.xml
- /data/data/####/com.ss.spipe_setting.xml
- /data/data/####/essay.db-journal
- /data/data/####/feedback.db-journal
- /data/data/####/firll.dat
- /data/data/####/ki.xml
- /data/data/####/libjiagu.so
- /data/data/####/mipush.xml
- /data/data/####/mipush.xml.bak
- /data/data/####/mipush_extra.xml
- /data/data/####/mobclick_agent_cached_com.ss.android.essay.zoneyysqaz226
- /data/data/####/multi_process_config.xml
- /data/data/####/observerFile3
- /data/data/####/offinfo.dat
- /data/data/####/push_setting.xml
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/snssdk_openudid.xml
- /data/data/####/ss_app_config.xml
- /data/data/####/ss_app_log.db-journal
- /data/data/####/ss_location.xml
- /data/data/####/ss_splash_ad.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.cuid
- /data/media/####/IM.DAT
- /data/media/####/clientudid.dat
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/u.dat
- /data/media/####/yoh.dat
- /data/media/####/yol.dat
- /data/media/####/yom.dat
Другие:
Запускает следующие shell-скрипты:
- /data/user/0/<Package>/lib/libsupervisor.so <Package> com.ss.android.message.NotifyService <Package>:push /data/user/0/<Package> 0
- chmod 755 <Package Folder>/files/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
- locSDK5
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
