Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Dowgin.14.origin
Осуществляет доступ к приватному интерфейсу ITelephony.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) ci.hi.c####.####.cn:80
- TCP(HTTP/1.1) st####.afant####.com:80
- TCP(HTTP/1.1) statson####.pu####.b####.com:80
- TCP(HTTP/1.1) api.tui####.b####.com:80
- TCP(HTTP/1.1) loc.map.b####.com:80
- TCP(HTTP/1.1) afanti-####.af####.com:80
- TCP(HTTP/1.1) cd.md.c####.####.net:80
- TCP(HTTP/1.1) s####.afant####.com:80
- TCP(HTTP/1.1) api.afant####.com:80
- TCP(HTTP/1.1) t####.talking####.net:80
- TCP(HTTP/1.1) ip.ta####.com:80
- TCP(TLS/1.0) jic.talking####.com:443
- TCP(TLS/1.0) x####.com:443
- TCP sa.tui####.b####.com:5287
Запросы DNS:
- afanti-####.af####.com
- api.afant####.com
- api.tui####.b####.com
- cd.md.c####.cn
- ci.hi.c####.####.cn
- i####.cn
- ip.ta####.com
- jic.talking####.com
- loc.map.b####.com
- s####.afant####.com
- sa.tui####.b####.com
- st####.afant####.com
- statson####.pu####.b####.com
- t####.talking####.net
- www.b####.com
- x####.com
Запросы HTTP GET:
- afanti-####.af####.com/data/image/default/update_default_heaview.png
- afanti-####.af####.com/data/image/user_photo/20160414/21/93429423_146064...
- afanti-####.af####.com/data/image/user_photo/20160603/16/50710868_146494...
- afanti-####.af####.com/data/image/user_photo/20160603/22/89977446_146496...
- afanti-####.af####.com/data/image/user_photo/20160924/13/644607B59C2CDE9...
- afanti-####.af####.com/data/image/user_photo/20170822/07/49570203_150335...
- afanti-####.af####.com/data/image/user_photo/20170910/17/252361288_15050...
- afanti-####.af####.com/data/image/user_upload_image/20170413/13/14920622...
- api.afant####.com/get_user_info/
- api.afant####.com/image_search/get_update_info2/a/2.0.0930/325/
- api.afant####.com/latest_activity/show_activity_html/?activity=####
- api.afant####.com/need_login/?next=####
- api.afant####.com/static/dist/common/js/adapt_mobile.min.js
- api.afant####.com/static/dist/common/js/locate_browser.min.js
- api.afant####.com/white_board/red_packet_activity/?platform=####&version...
- cd.md.c####.####.net/offer/20181204/201812041054759.png
- cd.md.c####.####.net/offer/20190304/201903041753944.png
- cd.md.c####.####.net/offer/20190304/201903041754730.apk
- cd.md.c####.####.net/offer/20190304/201903041818738.png
- ip.ta####.com/service/getIpInfo.php?ip=####
- st####.afant####.com/backend/afanti/home_feed/2017/10/28/0_bce44084-bbd6...
- st####.afant####.com/backend/afanti/user_tag_image/gold_teacher_720.png
- st####.afant####.com/static/images/white_board_intro/background.png
- st####.afant####.com/static/images/white_board_intro/clickdown.png
- st####.afant####.com/static/images/white_board_intro/clickup.png
- st####.afant####.com/static/images/white_board_intro/prevue.png
Запросы HTTP POST:
- api.afant####.com/get_app_loading_page/
- api.afant####.com/get_global_param/
- api.afant####.com/image_search/get_message/
- api.afant####.com/image_search/get_posts/
- api.afant####.com/latest_activity/get_latest_activity/
- api.afant####.com/post/get_flying_info/
- api.afant####.com/send_first_install_info/
- api.afant####.com/today_i_am_alive/
- api.afant####.com/update_user_push_info/
- api.afant####.com/white_board/wb_video_intro/
- api.tui####.b####.com/rest/2.0/channel/4589205262979366511
- ci.hi.c####.####.cn/MX/l36
- ci.hi.c####.####.cn/P/h/z/h2e
- ci.hi.c####.####.cn/R/e/g03
- ci.hi.c####.####.cn/V/c/u/k62
- ci.hi.c####.####.cn/j/g/zc1
- ci.hi.c####.####.cn/kD/xc1
- ci.hi.c####.####.cn/v/j62
- loc.map.b####.com/sdk.php
- s####.afant####.com/submit_statistic_file/
- statson####.pu####.b####.com/pushlog_special
- t####.talking####.net/g/d
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-20018506981283258183
- /data/data/####/-20018506981936713812
- /data/data/####/-65195423-1571535569
- /data/data/####/-779735862-1572995289
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/1453360895-640686772
- /data/data/####/1b99d67.xml
- /data/data/####/2050582988360292642
- /data/data/####/2104514884-991124063
- /data/data/####/3668312561622916084
- /data/data/####/443090648-2088716225
- /data/data/####/605207285-1435729274
- /data/data/####/62a65.xml
- /data/data/####/9263903z.jar
- /data/data/####/948987804-1363587803
- /data/data/####/9489878041298575494
- /data/data/####/CONFIG_SP_ACCOUNT.xml
- /data/data/####/CONFIG_SP_PERSONALITY.xml
- /data/data/####/FIRST_PREFERENCES_2_0_0.xml
- /data/data/####/FIRST_PREFERENCES_2_0_0.xml (deleted)
- /data/data/####/FIRST_PREFERENCES_2_0_0.xml.bak
- /data/data/####/LEJENT_ANALYTICS1.xml
- /data/data/####/LEJENT_ANALYTICS2.xml
- /data/data/####/SP_PUSH.xml
- /data/data/####/TD_CHANNEL_ID.xml
- /data/data/####/TDtcagent.db
- /data/data/####/TDtcagent.db-journal
- /data/data/####/a6c85d264.xml
- /data/data/####/analytics.xml
- /data/data/####/analytics_array.xml
- /data/data/####/bindcache.xml
- /data/data/####/com.ling.zuoyepai.easy.push_sync.xml
- /data/data/####/com.ling.zuoyepai.easy.self_push_sync.xml
- /data/data/####/com.ling.zuoyepai.easy_preferences.xml
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/download_sp.xml
- /data/data/####/error.gzip
- /data/data/####/f41e5.xml
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/firll.dat
- /data/data/####/index
- /data/data/####/libjiagu.so
- /data/data/####/pref_longtime.xml
- /data/data/####/pref_longtime.xml (deleted)
- /data/data/####/pref_shorttime.xml
- /data/data/####/pst.xml
- /data/data/####/pushstat_4.6.2.db
- /data/data/####/pushstat_4.6.2.db-journal
- /data/data/####/talkingdata_file_prefence.xml
- /data/data/####/td.lock
- /data/data/####/tdid.xml
- /data/data/####/video_storage
- /data/data/####/video_storage-journal
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.cuid
- /data/media/####/.nomedia
- /data/media/####/.tcookieid
- /data/media/####/12kpigj3cwkl1sim5sgimct6i0.tmp
- /data/media/####/21e369f412c6901910bad0dd1a7586d3
- /data/media/####/2w924bjyq7ldznd1b5psy5p260.tmp
- /data/media/####/3axu9d4ghk8kw69863rhahhyg0.tmp
- /data/media/####/52oaogbbxvjscub0gq56mgofz0.tmp
- /data/media/####/5wymggen6re4t9iw08rswnxwm0.tmp
- /data/media/####/60ie1mmimwl8ai07r5z0c9ixt0.tmp
- /data/media/####/7agi8tjfxowm6uhrzuy4bfsis0.tmp
- /data/media/####/7h96w7wyibs3otdfonw9nhxgv0.tmp
- /data/media/####/apps
- /data/media/####/c323ff5
- /data/media/####/c3bd44de2a1c40e56d3a046299b65cee_beach_dld
- /data/media/####/conlts.dat
- /data/media/####/d008557d599e3e17e5e89be154f05bac
- /data/media/####/f058cebb16fc6bf69bd16230f81b7470
- /data/media/####/fc000b6
- /data/media/####/fec4a09
- /data/media/####/installation
- /data/media/####/journal
- /data/media/####/journal.tmp
- /data/media/####/ls.db
- /data/media/####/ls.db-journal
- /data/media/####/mfz.d
- /data/media/####/versionserial
- /data/media/####/yoh.dat
- /data/media/####/yol.dat
- /data/media/####/yom.dat
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- getprop
Загружает динамические библиотеки:
- bdpush_V2_5
- libjiagu
- locSDK4d
- uninstall-jni
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- DES
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- DES
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Получает информацию о привязанных к устройству аккаунтах (Google, Facebook и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
