Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Triada.1248
- Android.Triada.2018
- Android.Triada.464.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 1####.159.53.238:80
- TCP(HTTP/1.1) pg.x####.com:80
- TCP(HTTP/1.1) i####.cn.com:80
- TCP(HTTP/1.1) api.g####.m####.com:80
- TCP(HTTP/1.1) 1uxip####.m####.com.####.com:80
- TCP(HTTP/1.1) u####.m####.com:80
- TCP(HTTP/1.1) 1####.159.208.192:80
- TCP(TLS/1.0) servic####.m####.com:443
- TCP(TLS/1.0) gv1.x####.com:443
- TCP(TLS/1.0) 1####.217.168.238:443
Запросы DNS:
- api.g####.m####.com
- gv1.x####.com
- i####.cn.com
- l.ace####.com
- pg.x####.com
- servic####.m####.com
- u####.m####.com
- u.m####.com
- unitedp####.lemuel####.com
- uxip####.m####.com
Запросы HTTP GET:
- 1uxip####.m####.com.####.com/resource/v3/config/1VET833CAHCBCPDG9R5M7V0L
- i####.cn.com/a/3ca5b3f929ca31eb5c328941e31aec8b6
Запросы HTTP POST:
- api.g####.m####.com/game/notice/list
- pg.x####.com/api/q/a/3ca5b3f929ca31eb5c328941e31aec8b6
- pg.x####.com/api/statis/3ca5b3f929ca31eb5c328941e31aec8b6/game-C0F10E938...
- u####.m####.com/appupgrade/check
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-9id09KJkPpZ0PecZHXRWNPV2DuZ0j6eAfL_og==.new
- /data/data/####/.jg.ic
- /data/data/####/.udid
- /data/data/####/0HiHDrVRBIwHLfs3.zip
- /data/data/####/0Qbc9X0DjzzE0ASWZnMA697VFuZxH8O5.new
- /data/data/####/0eEyRYR0w_rDzhpKZgRf_kl1EDfDo-Rp.new
- /data/data/####/1b0d2ca722b1ca39.jar
- /data/data/####/1c45ae374add3654.jar
- /data/data/####/37Ga_1XLPaS0hdymATmWqtWWqxA=
- /data/data/####/3ca5b3f929ca31eb5c328941e31aec8b6;account_file.xml
- /data/data/####/4897a567a43e68d7.jar
- /data/data/####/4pw_ADGV9rhLnf41jWMo6CuspRLDZ023Wh-zTbx0X6k=.new
- /data/data/####/8f2f0e2dc7f8b9a2.jar
- /data/data/####/8gbE9y6s8_2a7Xcn
- /data/data/####/90b622b87f74c138.jar
- /data/data/####/9bb83c4e72d2c854.jar
- /data/data/####/BmiezMZMlv3HAua9G6KfLtdaxVl8-1PP.new
- /data/data/####/DMd8N1LZji2ABBjqHEUko3vanjrqjXcd.new
- /data/data/####/Dh11GVS0NZoMqSoCGd9EWw==
- /data/data/####/DkBtawSGJGhiuyOIjRWMXMxcgyRGGJjL.new
- /data/data/####/GameService.apk
- /data/data/####/GePQm4ZYfXGg0S8mu_0jS4rgGsSLs-8T.new
- /data/data/####/JQu9Uwe0Sv5285RQeM6WSWTnmdU=.new
- /data/data/####/JvYAd4WTacQIyEDsbUKGZ2ngzONvsidA3okTbuAECxg=.new
- /data/data/####/NhLrgSKFc1dXRYC5sjaf8g==.new
- /data/data/####/QNddIjjPdayZAtP6j23PZsuzLKk=.new
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/UKuKpQOBrfBIrhFclKwbE-OY05fAhEIv.new
- /data/data/####/UNITEDPAYACTLIST_
- /data/data/####/Xv4BCk58DQSNUae-6kFtLBBriVgclb11iA-elQ==.new
- /data/data/####/a7d12d8c0aa17841.jar
- /data/data/####/acd0edc2033aa6a4.jar
- /data/data/####/announcement_pref.xml
- /data/data/####/bB6Ip_HuqgNVqFeygzYV0A==.new
- /data/data/####/bkIxL-gawnTYLGn3Wra0-rJzS1ihU3d6vhpuvuh4EYw=.new
- /data/data/####/c21874cbbedbdd4e.jar
- /data/data/####/ccf5b602b0d914fc.jar
- /data/data/####/ce31b6ffa3c3aae3.jar
- /data/data/####/cf08e610cd73a274.jar
- /data/data/####/cheWL8TD2VlGd6n51ncDsmrMfvzFnev4gTewEz90y1531ol...-4-4I=
- /data/data/####/cheWL8TD2VlGd6n51ncDsmrMfvzFnev4gTewEz90y1531ol...2Reg==
- /data/data/####/cheWL8TD2VlGd6n51ncDsmrMfvzFnev4gTewEz90y1531ol...P2jQ==
- /data/data/####/cheWL8TD2VlGd6n51ncDsmrMfvzFnev4gTewEz90y1531ol...n5QDdP
- /data/data/####/cheWL8TD2VlGd6n51ncDsmrMfvzFnev4gTewEz90y1531ol...ournal
- /data/data/####/codex.so
- /data/data/####/codex_inner.so
- /data/data/####/com.meizu.gslb.xml
- /data/data/####/com.meizu.statsapp.v3.httpkey.xml
- /data/data/####/com.meizu.statsapp.v3.lib.plugin.apk
- /data/data/####/com.meizu.statsapp.v3.plugin_dex.xml
- /data/data/####/com.meizu.statsapp.v3.request_feq_restrict.xml
- /data/data/####/com.meizu.statsapp.v3.serverconfig.xml
- /data/data/####/com.meizu.statsapp.v3.simple_crypto_AES.xml
- /data/data/####/cwyXdwKKQl5wLic7rM--95RQRQ8Su7PTsJzYPQ==.new
- /data/data/####/d9472379cd6861e0.jar
- /data/data/####/dFCGJEl2-cTi_tE0-OJMOGdYS73UfItb.new
- /data/data/####/e71c5acc66409ad4.jar
- /data/data/####/eabe711f67a57bdf.jar
- /data/data/####/ebf83d0cfd36f9c1.jar
- /data/data/####/f542fc4cf3374fbf.jar
- /data/data/####/g-UiZk_ALF0_j_Yu0hkzmZ8Izdslo-YKQGFh_PeHJOE=.new
- /data/data/####/i6gkXDH5xcwmSK6Q
- /data/data/####/ins_plugin_ver.xml
- /data/data/####/jN4cCpTdi4Qd_yAULEI_wTI5m-4=.new
- /data/data/####/kVf6NFft4FqeN8NU5b3XJcUdJcY=.new
- /data/data/####/lemuel_security_inner.so
- /data/data/####/libentryexpro.so
- /data/data/####/libind-pay-secure.so
- /data/data/####/libjiagu.so
- /data/data/####/libmzgamesdk.so
- /data/data/####/libplugin_phone.so
- /data/data/####/libuptsmaddon.so
- /data/data/####/nWBFUq1yUnE839XPuRfv0XLsMQA=.new
- /data/data/####/pref_file.xml
- /data/data/####/qbynvq_f.zip
- /data/data/####/qihoo_jiagu_crash_report.xml
- /data/data/####/rdata_sqzxgmddnearmegamecenter.new
- /data/data/####/runner_info.prop.new
- /data/data/####/s_u99ifQN0FC9SE8Jetffipk2vfjf0RF.new
- /data/data/####/sqz.xgmdd.mz_preferences.xml
- /data/data/####/statsapp_v3.db
- /data/data/####/statsapp_v3.db-journal
- /data/data/####/statsapp_v3.db-journal (deleted)
- /data/data/####/statsapp_v3.db-shm (deleted)
- /data/data/####/statsapp_v3.db-wal
- /data/data/####/talkingdata_app.db-journal
- /data/data/####/talkingdata_app_process_preferences_file
- /data/data/####/talkingdata_app_version_preferences_file
- /data/data/####/td_pefercen_profile.xml
- /data/data/####/tdid.xml
- /data/data/####/vX2_4fyS71oSZtbPeDrziQ==
- /data/data/####/vmh-_tZX7RjY4vb50UBkbPOP82c=.new
- /data/data/####/zBbDNHlfWCi10FG-GX3KsQ==.new
- /data/media/####/-1969128579-804224413
- /data/media/####/.nomedia
- /data/media/####/.tcookieid
- /data/media/####/21370260171475755583
- /data/media/####/5NCMj4FHDAiNMsrjQKob6JdxZXM=.new
- /data/media/####/CrashLog_2019-03-26.txt
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M
- /data/media/####/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M.lk
- /data/media/####/MP8MtaBuguN9jnuSwtN1kQ==
- /data/media/####/gslb_log.txt
- /data/media/####/r_pkDgN4OhnkSa0D
Другие:
Запускает следующие shell-скрипты:
- <Package Folder>/code-2882018/8gbE9y6s8_2a7Xcn -p <Package> -c sqz.xgmdd.nearme.gamecenter.entity.GuavaReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- sh <Package Folder>/code-2882018/8gbE9y6s8_2a7Xcn -p <Package> -c sqz.xgmdd.nearme.gamecenter.entity.GuavaReceiver -r /storage/emulated/0/.armsd/tjfblFPob85GtAQw/I7HE1pd26tdvkjhloLWlx5UBeDOAmh6M -d /storage/emulated/0/Download/ladung
Загружает динамические библиотеки:
- _lemuel_security
- codex
- codex_inner
- game
- lemuel_security_inner
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- DES
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- DES
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Получает информацию о привязанных к устройству аккаунтах (Google, Facebook и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
