Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Spy.2440
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) re####.srv.kkvi####.cn:80
- TCP(HTTP/1.1) app.srv.kkvi####.cn:80
- TCP(SSL/3.0) gd-s####.j####.cn:443
- TCP(TLS/1.0) www.kkvi####.cn:443
- TCP(TLS/1.0) c####.cloudf####.com:443
- TCP(TLS/1.0) app.srv.kkvi####.cn:443
- TCP(TLS/1.0) ti####.c####.l####.####.com:443
- TCP(TLS/1.0) re####.srv.kkvi####.cn:443
- TCP(TLS/1.0) s####.ml####.cc:443
- TCP(TLS/1.0) a####.b####.com:443
- TCP(TLS/1.0) gd-s####.j####.cn:443
- TCP(TLS/1.0) ssp.ad.jig####.cn:443
- TCP(TLS/1.0) at.al####.com:443
- TCP(TLS/1.0) t####.j####.cn:443
- TCP 1####.121.49.90:7002
- UDP s.j####.cn:19000
Запросы DNS:
- a####.b####.com
- ali-s####.j####.cn
- app.srv.kkvi####.cn
- at.al####.com
- c####.cloudf####.com
- gd-s####.j####.cn
- h5####.srv.kkvi####.cn
- img.kkvi####.cn
- re####.kkvi####.cn
- re####.srv.kkvi####.cn
- s####.j####.cn
- s####.ml####.cc
- s.j####.cn
- ssp.ad.j####.cn
- ssp.ad.jig####.cn
- sta####.kkvi####.cn
- t####.j####.cn
- tra####.fengkon####.com
- v.kkvi####.cn
- www.kkvi####.cn
Запросы HTTP POST:
- app.srv.kkvi####.cn/v1/data
- re####.srv.kkvi####.cn/v1/data
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/0a8d299a-05de-46d5-9972-af8f20f40afb
- /data/data/####/1b8db587e2a2e37b2c2bdcdf270b70e3b0e1a1160b1d61f....0.tmp
- /data/data/####/1d2c0e59d9b1c909d687403b7784b682.0.tmp
- /data/data/####/1d2c0e59d9b1c909d687403b7784b682.1.tmp
- /data/data/####/1f2888a910151b795d07dce9100fb306d30b53d92620cb6....0.tmp
- /data/data/####/20c60a0ccd5d6b7cb279f355f5696ca8.0.tmp
- /data/data/####/20c60a0ccd5d6b7cb279f355f5696ca8.1.tmp
- /data/data/####/3362d872-6245-4e9d-8c1d-b363a611024f
- /data/data/####/3aa4fab9-668b-4f75-8bfc-d0dce50155e9
- /data/data/####/4955769ab09e49bd74eb5dd405f1b455.0.tmp
- /data/data/####/4955769ab09e49bd74eb5dd405f1b455.1.tmp
- /data/data/####/502d93d2ba1cfc7c7ceedd5fa3943f2f7e397c57da16ba5....0.tmp
- /data/data/####/5282f479f9f9ab87672bf9a3c812b0ff.0.tmp
- /data/data/####/5282f479f9f9ab87672bf9a3c812b0ff.1.tmp
- /data/data/####/5dc98642a138cc2e3aafc7bbe46a0a3fca2067f511368a0....0.tmp
- /data/data/####/625e5130ec836931a76bcd4f3778282b.0.tmp
- /data/data/####/625e5130ec836931a76bcd4f3778282b.1.tmp
- /data/data/####/6564b904b31449e71953579eddb02dd257cbe7b488b8e92....0.tmp
- /data/data/####/7361de9328e74a9cac06e81bc70bd77b41b45824503fc4d....0.tmp
- /data/data/####/82bdcd1143bf8beedd1c60024dbc7e24.0.tmp
- /data/data/####/82bdcd1143bf8beedd1c60024dbc7e24.1.tmp
- /data/data/####/841bd6ae40937822e512b00349eba936.0.tmp
- /data/data/####/841bd6ae40937822e512b00349eba936.1.tmp
- /data/data/####/895a2e8a115dd240111b6a331787d2e8.0.tmp
- /data/data/####/895a2e8a115dd240111b6a331787d2e8.1.tmp
- /data/data/####/8c9ca457550acab41221bbb98fbbd29b.0.tmp
- /data/data/####/8c9ca457550acab41221bbb98fbbd29b.1.tmp
- /data/data/####/96639ec0-e778-46b2-9f75-07beb486dae7
- /data/data/####/9d18ae281fb8b3d6d7524161ac3bc392b0ac9de9da30887....0.tmp
- /data/data/####/9dc594eac033e5ffe7db6cd635425a08.0.tmp
- /data/data/####/9dc594eac033e5ffe7db6cd635425a08.1.tmp
- /data/data/####/9ddb771f-44ef-4933-b2e9-dec14a90f89a
- /data/data/####/DeviceInfo.xml
- /data/data/####/JPushSA_Config.xml
- /data/data/####/MultiDex.lock
- /data/data/####/VERIFY_SP.xml
- /data/data/####/a827702310d94eddd1dd052ed3a45f1ce12ecdefd52b997....0.tmp
- /data/data/####/a9c9c82f1d026661c674f90f5bfdd107.0.tmp
- /data/data/####/a9c9c82f1d026661c674f90f5bfdd107.1.tmp
- /data/data/####/aab0b1cc-b4c9-4c39-81aa-7d93476aa1b3
- /data/data/####/appPackageNames_v2
- /data/data/####/c33c55d3d1130f033022f237c8d09060.0.tmp
- /data/data/####/c33c55d3d1130f033022f237c8d09060.1.tmp
- /data/data/####/cf8e02d0-acf6-41d3-9458-e9529abedfef
- /data/data/####/cn.jiguang.adsdk.preferences.xml
- /data/data/####/cn.jpush.android.user.profile.xml
- /data/data/####/cn.jpush.preferences.v2.rid.xml
- /data/data/####/cn.jpush.preferences.v2.rid.xml (deleted)
- /data/data/####/cn.jpush.preferences.v2.xml
- /data/data/####/com.loan.analysis.xml
- /data/data/####/com.thering.loanmarket.sp.cache.xml
- /data/data/####/config.xml
- /data/data/####/d19adb0e-bd5d-4d4c-89da-c1906fc9420d
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/de6c0bb13d1afaf2978a69929a285da9b75c43b24409713....0.tmp
- /data/data/####/f0322816-b0e1-4d4a-aa56-cfef43d64222
- /data/data/####/f323629b-8d3e-47f3-a0ec-02021c7fa930
- /data/data/####/f9992bf5fd663d813c26b7153eaac270.0.tmp
- /data/data/####/f9992bf5fd663d813c26b7153eaac270.1.tmp
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/f_00000c
- /data/data/####/f_00000d
- /data/data/####/f_00000e
- /data/data/####/f_00000f
- /data/data/####/f_000010
- /data/data/####/f_000011
- /data/data/####/f_000012
- /data/data/####/f_000013
- /data/data/####/f_000014
- /data/data/####/f_000015
- /data/data/####/index
- /data/data/####/journal.tmp
- /data/data/####/jpush_device_info.xml
- /data/data/####/jpush_local_notification.db
- /data/data/####/jpush_local_notification.db-journal
- /data/data/####/jpush_local_notification.db-wal
- /data/data/####/jpush_stat_cache.json
- /data/data/####/jpush_stat_cache_history.json
- /data/data/####/libjiagu-1924927355.so
- /data/data/####/loc_plugin.dex
- /data/data/####/loc_plugin.ini
- /data/data/####/multidex.version.xml
- /data/data/####/mwsdk_analytics.db-journal
- /data/data/####/persistent_data.xml
- /data/data/####/tracker.db-journal
- /data/data/####/userdata.db-journal
- /data/data/####/video_stat_cache.json
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.push_deviceid
Другие:
Запускает следующие shell-скрипты:
- ps
Загружает динамические библиотеки:
- jcore126
- libjiagu-1924927355
- smsdk
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-NoPadding
- DES-ECB-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
