Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Loki.10.origin
- Android.Loki.15.origin
- Android.Loki.34
- Android.SmsSend.1859.origin
Скрывает свою иконку с экрана.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) u####.salmo####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) go4.xyz.duu####.com:80
- TCP(HTTP/1.1) fk-k8s-####.ray####.com:80
- TCP(HTTP/1.1) net.salmo####.com:80
- TCP(HTTP/1.1) net.ray####.com:80
- TCP(HTTP/1.1) re####.salmo####.com:80
- TCP(HTTP/1.1) trac####.le####.com:80
- TCP(HTTP/1.1) gl####.ymt####.com:80
- TCP(HTTP/1.1) clk.cpi.leap####.com:80
- TCP(HTTP/1.1) t####.mobt####.co:80
- TCP(HTTP/1.1) sts.bat####.net:80
- TCP(TLS/1.0) app.appsf####.com:443
Запросы DNS:
- a####.u####.com
- api.wocp####.com
- app.appsf####.com
- clk.cpi.leap####.com
- gl####.ymtrac####.com
- go4.xyz.duu####.com
- net.ray####.com
- net.salmo####.com
- re####.salmo####.com
- set####.ray####.com
- sts.bat####.net
- t####.mobt####.co
- trac####.le####.com
- u####.bat####.net
- u####.salmo####.com
Запросы HTTP GET:
- clk.cpi.leap####.com/click?id=####&aff=####&ost=####&click_id=####&aff_s...
- fk-k8s-####.ray####.com/appwall/setting?app_id=####&sign=####&platform=#...
- fk-k8s-####.ray####.com/setting?app_id=####&sign=####&platform=####&os_v...
- fk-k8s-####.ray####.com/setting?unit_ids=####&app_id=####&sign=####&plat...
- gl####.ymt####.com/trace?offer_id=####&app_id=####&type=####&aff_sub6=##...
- go4.xyz.duu####.com/index?aff_id=####&offer_id=####&aff_sub=####&aff_sub...
- net.ray####.com/openapi/ad/v3?app_id=####&unit_id=####&category=####&req...
- net.ray####.com/openapi/ad/v3?app_id=####&unit_id=####&req_type=####&onl...
- net.salmo####.com/setting?app_id=####&sign=####
- re####.salmo####.com/ad/find?platform=####&os_version=####&package_name=...
- sts.bat####.net/log?partner_id=####&p_name=####&aid=####&local=####&time...
- t####.mobt####.co/v1/ad/click?h=####&pubid=####&campid=####&gaid=####&su...
- trac####.le####.com/click?mb_pl=####&mb_nt=####&mb_campid=####&click_id=...
- u####.salmo####.com/click?k=####&p=fHx8f####&q=a_i09####&r=####&al=####&...
Запросы HTTP POST:
- a####.u####.com/app_logs
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/DgZnWaZUpOQklAGLstub.jar
- /data/data/####/GheuNwdttQeoWzdCsa.jar
- /data/data/####/RTOGVFzxWTKYIDCzdynamicloader.jar
- /data/data/####/SSPPreference.xml
- /data/data/####/_nohttp_cache_db.db
- /data/data/####/_nohttp_cache_db.db-journal
- /data/data/####/_nohttp_cookies_db.db
- /data/data/####/_nohttp_cookies_db.db-journal
- /data/data/####/a
- /data/data/####/agent_log
- /data/data/####/bat_statistics.db-journal
- /data/data/####/c
- /data/data/####/com.nativedroid.module.offerprobe.xml
- /data/data/####/com.nativedroid.sa.xml
- /data/data/####/crash_log
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/ico.png
- /data/data/####/index
- /data/data/####/indicator_d
- /data/data/####/indicator_p
- /data/data/####/is_cut_first.xml
- /data/data/####/libDgZnWaZUpOQklAGLstub.so
- /data/data/####/libGheuNwdttQeoWzdCsa.so
- /data/data/####/libRTOGVFzxWTKYIDCzdynamicloader.so
- /data/data/####/libaUrKTQmjoYYUyZNBbootstrap.so
- /data/data/####/libdt.so
- /data/data/####/libjiagu.so
- /data/data/####/mcr.apk
- /data/data/####/mobclick_agent_header_cm.quit.fl.xml
- /data/data/####/mobclick_agent_state_cm.quit.fl.xml
- /data/data/####/mobvista.msdk.db-journal
- /data/data/####/mobvista.xml
- /data/data/####/qoTNtdFONGGUhUtMdaemon.so
- /data/data/####/s
- /data/data/####/sdk_scl_pid_config.xml
- /data/data/####/sharedpreferences_batmobi_settings.xml
- /data/data/####/sspwrap_prefs.xml
- /data/data/####/time_p.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.nomedia
- /data/media/####/.xamdecoq0962
- /data/media/####/cm.quit.fl
- /data/media/####/tick
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- a
- libaUrKTQmjoYYUyZNBbootstrap
- libdt
- libjiagu
- qoTNtdFONGGUhUtMdaemon
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
Получает информацию об отправленых/принятых SMS.
