Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.570.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) and####.hzd####.com:80
- TCP(HTTP/1.1) and####.b####.qq.com:80
- TCP(TLS/1.0) av1.x####.com:443
- TCP y1.you####.com:9501
- TCP y1.you####.com:9502
- TCP y1.you####.com:9503
Запросы DNS:
- a####.u####.com
- and####.b####.qq.com
- and####.hzd####.com
- av1.x####.com
- i.t####.com
- mt####.go####.com
- y1.you####.com
- y2.you####.com
- y3.you####.com
Запросы HTTP GET:
- and####.hzd####.com/
Запросы HTTP POST:
- a####.u####.com/app_logs
- and####.b####.qq.com/rqd/async?aid=####
- and####.hzd####.com/zy-seedsearcher-plat/seed/configSec.do
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/1004
- /data/data/####/1554321195415_2297
- /data/data/####/1554321196376_2297
- /data/data/####/1554321196867_2297
- /data/data/####/1554321197161_2297
- /data/data/####/1554321197493_2297
- /data/data/####/1554321197920_2297
- /data/data/####/1554321198220_2297
- /data/data/####/1554321199118_2297
- /data/data/####/1554321199790_2297
- /data/data/####/1554321200174_2297
- /data/data/####/1554321200661_2297
- /data/data/####/1554321201351_2297
- /data/data/####/1554321201851_2297
- /data/data/####/1554321202192_2297
- /data/data/####/1554321202959_2297
- /data/data/####/1554321203319_2297
- /data/data/####/1554321203839_2297
- /data/data/####/1554321204116_2297
- /data/data/####/1554321206144_2297
- /data/data/####/1554321206544_2297
- /data/data/####/1554321206855_2297
- /data/data/####/1554321207631_2297
- /data/data/####/1554321207916_2297
- /data/data/####/1554321208156_2297
- /data/data/####/1554321209123_2297
- /data/data/####/1554321209683_2297
- /data/data/####/1554321210032_2297
- /data/data/####/1554321211646_2297
- /data/data/####/1554321211965_2297
- /data/data/####/1554321212444_2297
- /data/data/####/1554321214594_2297
- /data/data/####/1554321215240_2297
- /data/data/####/1554321215681_2297
- /data/data/####/1554321216330_2297
- /data/data/####/1554321216710_2297
- /data/data/####/1554321217224_2297
- /data/data/####/1554321217911_2297
- /data/data/####/1554321219353_2297
- /data/data/####/1554321219757_2297
- /data/data/####/1554321220320_2297
- /data/data/####/1554321220994_2297
- /data/data/####/1554321222716_2297
- /data/data/####/1554321223065_2297
- /data/data/####/1554321223499_2297
- /data/data/####/1554321223957_2297
- /data/data/####/1554321225299_2297
- /data/data/####/1554321225578_2297
- /data/data/####/1554321225820_2297
- /data/data/####/1554321226060_2297
- /data/data/####/1554321227819_2297
- /data/data/####/1554321228130_2297
- /data/data/####/1554321228596_2297
- /data/data/####/1554321229758_2297
- /data/data/####/1554321230263_2297
- /data/data/####/1554321230502_2297
- /data/data/####/1554321231742_2297
- /data/data/####/1554321232135_2297
- /data/data/####/1554321232796_2297
- /data/data/####/1554321233893_2297
- /data/data/####/1554321234256_2297
- /data/data/####/1554321234556_2297
- /data/data/####/1554321234943_2297
- /data/data/####/1554321236666_2297
- /data/data/####/1554321236958_2297
- /data/data/####/1554321237290_2297
- /data/data/####/1554321239063_2297
- /data/data/####/1554321239771_2297
- /data/data/####/1554321240580_2297
- /data/data/####/1554321241040_2297
- /data/data/####/1554321241265_2297
- /data/data/####/1554321242989_2297
- /data/data/####/1554321243643_2297
- /data/data/####/1554321244166_2297
- /data/data/####/1554321245185_2297
- /data/data/####/1554321245544_2297
- /data/data/####/1554321245757_2297
- /data/data/####/1554321247146_2297
- /data/data/####/1554321247823_2297
- /data/data/####/1554321248057_2297
- /data/data/####/1554321248760_2297
- /data/data/####/1554321249170_2297
- /data/data/####/1554321249717_2297
- /data/data/####/1554321250499_2297
- /data/data/####/1554321252058_2297
- /data/data/####/1554321252404_2297
- /data/data/####/1554321252668_2297
- /data/data/####/1554321254362_2297
- /data/data/####/1554321254759_2297
- /data/data/####/1554321255234_2297
- /data/data/####/1554321256656_2297
- /data/data/####/1554321256991_2297
- /data/data/####/1554321257327_2297
- /data/data/####/1554321258491_2297
- /data/data/####/1554321259266_2297
- /data/data/####/1554321259733_2297
- /data/data/####/1554321260950_2297
- /data/data/####/3565070593518950071.db-journal
- /data/data/####/90.jar
- /data/data/####/Archimedes_p4
- /data/data/####/Archimedes_p5
- /data/data/####/Pythagoras_phase.xml
- /data/data/####/TD_app_pefercen_profile.xml
- /data/data/####/TDpref_longtime.xml
- /data/data/####/TDpref_longtime0.xml
- /data/data/####/TDpref_shorttime.xml
- /data/data/####/TDpref_shorttime0.xml
- /data/data/####/aypa0000.xml
- /data/data/####/ayqa0000.xml
- /data/data/####/ayqb0000.xml
- /data/data/####/bugly_db_-journal
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/com.sky.pandabt_preferences.xml
- /data/data/####/crashrecord.xml
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/jg_so_upgrade_setting.xml
- /data/data/####/jg_so_upgrade_setting.xml.bak
- /data/data/####/libjiagu.so
- /data/data/####/local_crash_lock
- /data/data/####/mPBE.xml
- /data/data/####/native_record_lock
- /data/data/####/security_info
- /data/data/####/tdid.xml
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/ysa.xml
- /data/data/####/ysa356507059351895.xml
- /data/data/####/ysb356507059351895.xml
- /data/data/####/ysc356507059351895.xml
- /data/media/####/.tcookieid
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh -c getprop
- /system/bin/sh -c type su
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- getprop
Загружает динамические библиотеки:
- Bugly
- cocklogic
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
- DES-CBC-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
- AES-GCM-NoPadding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
