Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Panda.2.origin
- Adware.Panda.3.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) p####.s####.com:80
- TCP(HTTP/1.1) hm.b####.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) m.h####.s####.com:80
- TCP(HTTP/1.1) d.123.sogo####.####.com:80
- TCP(HTTP/1.1) h####.s####.com:80
- TCP(HTTP/1.1) a####.123.s####.com:80
- TCP(HTTP/1.1) gs.a.s####.com:80
- TCP(HTTP/1.1) gdv.a.s####.com:80
- TCP(HTTP/1.1) i####.sogo####.com.####.com:80
- TCP(HTTP/1.1) s####.tc.qq.com:80
- TCP(TLS/1.0) gs.a.s####.com:443
- TCP(TLS/1.0) 0d077ef####.cdn.so####.com:443
- TCP(TLS/1.0) gdv.a.s####.com:443
- TCP(TLS/1.0) p####.s####.com:443
Запросы DNS:
- 0d077ef####.cdn.so####.com
- a####.123.s####.com
- a.appj####.com
- chan####.itc.cn
- chan####.s####.com
- d.123.sogo####.com
- h####.s####.com
- hm.b####.com
- i####.sogo####.com
- i####.sogo####.com
- i####.sogo####.com
- i####.sogo####.com
- m.h####.s####.com
- p####.s####.com
- p2.123.sogo####.com
- p5.123.sogo####.com
- p9.123.sogo####.com
- pb.s####.com
- r####.wx.qq.com
Запросы HTTP GET:
- a####.123.s####.com/u/2018/08/5b88a9c4123b0.gif
- d.123.sogo####.####.com/imgu/2018/08/20180831111830_650.jpg
- d.123.sogo####.####.com/imgu/2018/08/20180831112414_809.jpg
- d.123.sogo####.####.com/imgu/2018/08/20180831112532_987.jpg
- d.123.sogo####.####.com/imgu/2018/08/20180831112651_934.jpg
- d.123.sogo####.####.com/u/pb/pb.692148.js?v=####
- gdv.a.s####.com/api/2/config/get/cysEzfRqT?callback=####
- gdv.a.s####.com/api/2/topic/comments?callback=####&client_id=####&page_s...
- gdv.a.s####.com/api/2/user/info?callback=####&client_id=####&login_termi...
- gdv.a.s####.com/api/3/topic/liteload?callback=####&client_id=####&topic_...
- gdv.a.s####.com/api/gold/prop/all_props?callback=####&_=####
- gdv.a.s####.com/api/gold/prop/comments_prop?cmt_ids=####&callback=####&_...
- gdv.a.s####.com/api/gold/user/get_coins?callback=####&client_id=####&_=#...
- gdv.a.s####.com/debug/cookie?callback=####
- gdv.a.s####.com/debug/cookie?callback=####&_=####
- gdv.a.s####.com/debug/cookie?callback=####&setCook####&_=####
- gdv.a.s####.com/debug/cookie?setCook####&callback=####&Tue Apr####
- gdv.a.s####.com/stat/event?clientid=####&uuid=####&topicId=####&type=####
- gdv.a.s####.com/stat/uvstat?callback=####&client_id=####&uuid=####&platf...
- gdv.a.s####.com/upload/mobile/wap-js/changyan_mobile.js?client_id=####&c...
- gdv.a.s####.com/upload/plugins/plugins.list.count.js?clientId=####
- gdv.a.s####.com/upload/version-v3.js?1554228####
- gs.a.s####.com//mdevp/extensions/longloop/002/longloop.js?_=####
- gs.a.s####.com/mdevp/extensions/mobile-auto-recommand/013/mobile-auto-re...
- gs.a.s####.com/mdevp/extensions/mobile-cmt-advert/022/mobile-cmt-advert.js
- gs.a.s####.com/mdevp/extensions/mobile-cmt-barrage/017/mobile-cmt-barrag...
- gs.a.s####.com/mdevp/extensions/mobile-cmt-box/051/mobile-cmt-box.js
- gs.a.s####.com/mdevp/extensions/mobile-cmt-float-bar/024/mobile-cmt-floa...
- gs.a.s####.com/mdevp/extensions/mobile-cmt-header/047/mobile-cmt-header.js
- gs.a.s####.com/mdevp/extensions/mobile-cmt-list/065/mobile-cmt-list.js
- gs.a.s####.com/mdevp/extensions/mobile-enter/050/mobile-enter.js
- gs.a.s####.com/mdevp/extensions/mobile-icp-tips/018/mobile-icp-tips.js
- gs.a.s####.com/mdevp/extensions/mobile-login-box/023/mobile-login-box.js
- gs.a.s####.com/mdevp/extensions/mobile-skin/025/mobile-skin.js
- gs.a.s####.com/mdevp/extensions/mobile-task/015/mobile-task.js
- gs.a.s####.com/mdevp/extensions/mobile-user-center/046/mobile-user-cente...
- gs.a.s####.com/v3/v20190318987/src/adapter.min.js
- gs.a.s####.com/v3/v20190318987/src/start.min.js
- h####.s####.com/port/ChangyanGet?callback=####&_=####
- hm.b####.com/hm.gif?bs=####&cc=####&ck=####&cl=####&ds=####&vl=####&ep=#...
- hm.b####.com/hm.gif?bs=####&cc=####&ck=####&cl=####&ds=####&vl=####&et=#...
- hm.b####.com/hm.js?43bfcd8####
- i####.sogo####.com.####.com/app/a/200547/55d85b71a5fa16d5965f1903e4012bf...
- i####.sogo####.com.####.com/v2/thumb/resize/w/430/h/206/t/2/zi/on/crop/w...
- i####.sogo####.com.####.com/v2/thumb/resize/w/430/zi/off/crop/h/900/wate...
- i####.sogo####.com.####.com/v2/thumb/resize/w/50/t/1/?appid=####&url=####
- m.h####.s####.com/
- m.h####.s####.com/5301661/
- m.h####.s####.com/5558487/
- m.h####.s####.com/getMore/index?key=####&page=####
- m.h####.s####.com/mcss/main.css?v=####
- m.h####.s####.com/mimg/header_bg.png
- m.h####.s####.com/mimg/header_l.png
- m.h####.s####.com/mimg/header_r.png
- m.h####.s####.com/mimg/icon.png?id=####
- m.h####.s####.com/mimg/icon_new.png?id=####
- m.h####.s####.com/mimg/logo.png?id=####
- m.h####.s####.com/min_mjs/page/detail.js?v=####
- m.h####.s####.com/min_mjs/page/index.js?v=####
- m.h####.s####.com/mjs/require.js
- m.h####.s####.com/port/ChangyanGet?callback=####&_=####
- m.h####.s####.com/port/updown/?jid=####&type=####
- p####.s####.com/pv.gif?model=####&img=####&ssuv=####&versionCode=####&fr...
- p####.s####.com/pv.gif?model=####&img=####&ssuv=####&versionCode=####&ne...
- p####.s####.com/pv.gif?uigs_productid=####&rdk=####&img=####&b=####&v=##...
- p####.s####.com/pv.gif?uigs_productid=####&rdk=####&img=####&module=####...
- p####.s####.com/pv.gif?uigs_productid=####&rdk=####&img=####&url=####&ur...
- p####.s####.com/pv.gif?uigs_productid=####&ufoid=####&rdk=####&img=####&...
- s####.tc.qq.com/open/js/jweixin-1.0.0.js?v=####
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/Alvin2.xml
- /data/data/####/AppStore.xml
- /data/data/####/ContextData.xml
- /data/data/####/PB_SP.xml
- /data/data/####/SOGOUPLUS_CONFIG.xml
- /data/data/####/UmengLocalNotificationStore.db-journal
- /data/data/####/WebViewSettings.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/f_000008
- /data/data/####/f_000009
- /data/data/####/f_00000a
- /data/data/####/f_00000b
- /data/data/####/f_00000c
- /data/data/####/f_00000d
- /data/data/####/f_00000e
- /data/data/####/f_00000f
- /data/data/####/f_000010
- /data/data/####/f_000011
- /data/data/####/f_000011 (deleted)
- /data/data/####/f_000012
- /data/data/####/f_000013
- /data/data/####/f_000014
- /data/data/####/index
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/libjiagu.so
- /data/data/####/mobclick_agent_cached_com.sogou.haha.sogouhahaj564
- /data/data/####/pb_db-journal
- /data/data/####/plugin.apk
- /data/data/####/sce_1554227995556.dat
- /data/data/####/umeng_general_config.xml
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/Alvin2.xml
- /data/media/####/ContextData.xml
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
