Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.589.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ads.tatat####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) da####.c####.qini####.com:80
- TCP(HTTP/1.1) d####.yo####.com:80
- TCP(HTTP/1.1) statse####.tatat####.com:1180
- TCP(HTTP/1.1) go####.yo####.com:80
- TCP(HTTP/1.1) h####.opensp####.cn:80
- TCP(HTTP/1.1) cdn.app.uo####.####.com:80
- TCP(HTTP/1.1) ecom####.tatat####.com:80
- TCP(HTTP/1.1) etatase####.tatat####.com:80
- TCP(HTTP/1.1) duo####.tatat####.com:80
- TCP(HTTP/1.1) oss.tatat####.com:80
- TCP(HTTP/1.1) 1####.89.97.82:8000
- TCP(HTTP/1.1) f####.yo####.com:80
- TCP(HTTP/1.1) d####.opensp####.cn:80
- TCP(HTTP/1.1) i####.uo####.top:80
- TCP(TLS/1.0) 1####.217.17.78:443
- TCP(TLS/1.0) st####.b####.com:443
Запросы DNS:
- a####.u####.com
- ads.tatat####.com
- cdn.app.12####.top
- cdn.app.uo####.top
- d####.opensp####.cn
- d####.yo####.com
- duo####.tatat####.com
- ecom####.tatat####.com
- etatase####.tatat####.com
- f####.yo####.com
- go####.yo####.com
- h####.opensp####.cn
- i####.uo####.top
- oss.tatat####.com
- st####.b####.com
- statse####.tatat####.com
Запросы HTTP GET:
- cdn.app.uo####.####.com/sfile/201902/27/all/cp_V2.9.8.txt
- da####.c####.qini####.com/dp
- go####.yo####.com/gorgon/request.s?s=OAFEn####&ydet=####
- h####.opensp####.cn/launchconfig?t=####&p=####
- oss.tatat####.com/audio/other/u=1858212590,4137547820&fm=21&gp=0.jpg
- oss.tatat####.com/cet/cet4/1447661008.jpg
- oss.tatat####.com/cet/cet4/bsd_book05.png
- oss.tatat####.com/cet/cet4/njb_book06.png
- oss.tatat####.com/cet/cet4/rj01.png
- oss.tatat####.com/cet/cet4/wys_book06.png
Запросы HTTP POST:
- a####.u####.com/app_logs
- ads.tatat####.com/ads/rt.s?id=####
- d####.opensp####.cn/index.php/clientrequest/clientcollect/isCollect
- d####.yo####.com/jsonresult
- duo####.tatat####.com/tataeraapi/api.s?h=####
- duo####.tatat####.com/tataeraapi/api.s?h=####&code=####
- ecom####.tatat####.com/tataeraapi/api.s?h=####&type=####
- etatase####.tatat####.com/tataeraapi/api.s?h=####
- f####.yo####.com/appapi/tran?doctype=####&model=####&mid=####&vendor=###...
- i####.uo####.top/ot_ia/r/oi
- i####.uo####.top/pket_iale/sa/jrw/m
- i####.uo####.top/qet_it/i/z
- i####.uo####.top/yuwf_dedd/u
- statse####.tatat####.com:1180/stat/api.s?h=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/Alvin2.xml
- /data/data/####/AppStore.xml
- /data/data/####/ContextData.xml
- /data/data/####/LIN1001.xml
- /data/data/####/LIN1002.xml
- /data/data/####/LIN1003.xml
- /data/data/####/LIN1004.xml
- /data/data/####/LIN1005.xml
- /data/data/####/LIN1006.xml
- /data/data/####/LIN1007.xml
- /data/data/####/LIN1008.xml
- /data/data/####/LIN1009.xml
- /data/data/####/LIN1010.xml
- /data/data/####/LIN1011.xml
- /data/data/####/LIN1013.xml
- /data/data/####/LIN1014.xml
- /data/data/####/LIN1015.xml
- /data/data/####/UmengLocalNotificationStore.db-journal
- /data/data/####/V2.9.8.txt
- /data/data/####/com.iflytek.id.xml
- /data/data/####/com.kk.ibag.yingy100_preferences.xml
- /data/data/####/firstedlink.xml
- /data/data/####/gx.jar
- /data/data/####/ho.jar
- /data/data/####/ifly_launch_lib.xml
- /data/data/####/iflytek_state_com.kk.ibag.yingy100.xml
- /data/data/####/kr.xml
- /data/data/####/libjiagu.so
- /data/data/####/mobclick_agent_online_setting_com.kk.ibag.yingy100.xml
- /data/data/####/shareadsdk.xml
- /data/data/####/statistics-journal
- /data/data/####/t_u.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/umeng_message_state.xml
- /data/data/####/vbz.xml
- /data/data/####/webview.db-journal
- /data/data/####/wordbook.db
- /data/data/####/wordbook.db-journal
- /data/data/####/yingy100.xml
- /data/media/####/-1019950913.tmp
- /data/media/####/-1100729198.tmp
- /data/media/####/-1324902681.tmp
- /data/media/####/-724206385.tmp
- /data/media/####/.2F6E2C5B63F0F83B
- /data/media/####/.nomedia
- /data/media/####/1032092035.tmp
- /data/media/####/1136796530.tmp
- /data/media/####/134600555.tmp
- /data/media/####/1575049558.tmp
- /data/media/####/25160528.tmp
- /data/media/####/525147588.tmp
- /data/media/####/591756879.tmp
- /data/media/####/596107085.tmp
- /data/media/####/864063508.tmp
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
- /data/media/####/iflyworkdir_test
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- dictParser
- libjiagu
- msc
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
