Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.859.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) beautyr####.f####.ali####.com:80
- TCP(HTTP/1.1) src.r####.com.####.com:80
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) p####.tc.qq.com:80
- TCP(HTTP/1.1) sdk.c####.com:80
- TCP(HTTP/1.1) s####.e.qq.com:80
- TCP(HTTP/1.1) 2####.195.1.254:8080
- TCP(HTTP/1.1) mhtt####.t####.cn:80
- TCP(HTTP/1.1) idv####.qini####.com:80
- TCP(TLS/1.0) s####.j####.cn:443
- UDP s.j####.cn:19000
- TCP 43.2####.88.110:7002
Запросы DNS:
- a####.u####.com
- beautyr####.f####.ali####.com
- imgc####.qq.com
- mi.g####.qq.com
- mt####.go####.com
- ozeph####.bkt.clo####.com
- qp.yunanfu####.com
- s####.e.qq.com
- s####.j####.cn
- s.j####.cn
- sdk.c####.com
- src.r####.com
- t1.hx####.com
Запросы HTTP GET:
- beautyr####.f####.ali####.com/v4/list_5/album_data/total_page_16
- beautyr####.f####.ali####.com/v4/mmonly/294134
- idv####.qini####.com/SplashActivity1.json
- mhtt####.t####.cn/uploads/tu/201803/9999/rn780c1d1d24.jpg
- mhtt####.t####.cn/uploads/tu/201903/10050/902db41312.jpg
- mhtt####.t####.cn/uploads/tu/201903/10054/14a9d54047.jpg
- mhtt####.t####.cn/uploads/tu/201903/10057/35f4e0b59088.jpg
- mhtt####.t####.cn/uploads/tu/201903/15/06e7189ae022.jpg
- mhtt####.t####.cn/uploads/tu/201903/9999/0feed4736e.jpg
- mhtt####.t####.cn/uploads/tu/201903/9999/5089b13e67.jpg
- mhtt####.t####.cn/uploads/tu/201903/9999/832d3a68eb.jpg
- mhtt####.t####.cn/uploads/tu/201903/9999/bff62d2d84.jpg
- mhtt####.t####.cn/uploads/tu/201903/9999/c6edc83cb6.jpg
- mhtt####.t####.cn/uploads/tu/201903/9999/d588f61f58.jpg
- mhtt####.t####.cn/uploads/tu/201903/9999/d7f7b11c49.jpg
- mhtt####.t####.cn/uploads/tu/201903/9999/e0b27ece75.jpg
- mhtt####.t####.cn/uploads/tu/201903/9999/ff7f2543b9.jpg
- mhtt####.t####.cn/uploads/tu/201903/9999/rn0d17702833.jpg
- mhtt####.t####.cn/uploads/tu/201903/9999/rn3ae723d3f2.jpg
- mhtt####.t####.cn/uploads/tu/201903/9999/rn59e1dc05db.jpg
- mhtt####.t####.cn/uploads/tu/201903/9999/rn642f21299e.jpg
- mhtt####.t####.cn/uploads/tu/201903/9999/rn7c861e5d23.jpg
- mhtt####.t####.cn/uploads/tu/201903/9999/rncefd4e6eb6.jpg
- p####.tc.qq.com/qzone/biz/gdt/mod/android/AndroidAllInOne/proguard/his/r...
- src.r####.com.####.com/kubo/dex/luomi10.249.dex
Запросы HTTP POST:
- a####.u####.com/app_logs
- s####.e.qq.com/activate
- s####.e.qq.com/msg
- sdk.c####.com/versiontapi.php?v=####&type=####
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/217b338511abdb306270e798bb4fb8784d1df522762231f....0.tmp
- /data/data/####/249f4ed617a5b1b53d74b07b99d2e534bca039f64789bd6....0.tmp
- /data/data/####/2622e395128520991a131607851af28f8d38320ad7e3f5c....0.tmp
- /data/data/####/29221db443cd2271240bb3896bb20f52e232c974c9f1e95....0.tmp
- /data/data/####/2adece8939acac25fb0fdbf2dfcf656e6cc3d5357fb53be....0.tmp
- /data/data/####/3e2af0c7244a36be58c853b1ef1d1433e247d261361192d....0.tmp
- /data/data/####/4335d5090e4f477106da0eae9cc04f0b1216723d27ae8d2....0.tmp
- /data/data/####/4bcdb3f5c845f3c4d578cdf67441f491586426d567cc18b....0.tmp
- /data/data/####/6995c948e87a668cb08307bd048c1a1e0a95ba46ecbbdd4....0.tmp
- /data/data/####/70956770c966c310ad3e9bee35d55bee41f69c120258c0b....0.tmp
- /data/data/####/BuglySdkInfos.xml
- /data/data/####/DownloadTaskStore.db-journal
- /data/data/####/GDTSDK.db
- /data/data/####/GDTSDK.db-journal
- /data/data/####/appPackageNames
- /data/data/####/b3cac8218c0118e21d6cc3d7e58280af6319d7ebccdd0e9....0.tmp
- /data/data/####/b526752ea354eb717213eed49486cd5b8f0384c6a2965d4....0.tmp
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/cn.jpush.android.user.profile.xml
- /data/data/####/cn.jpush.preferences.v2.xml
- /data/data/####/cn.jpush.preferences.v2.xml.bak
- /data/data/####/d3b13cb75c807b5d98ec379983391977bc20cb292d230b2....0.tmp
- /data/data/####/d8cfccb99b4e7aeb50d728d30a94ec183628dd580fbc4bd....0.tmp
- /data/data/####/da05f5b5ff6b94f9e513031ccca5ddeb899625a7547f98e....0.tmp
- /data/data/####/de9e8e74e5dc076d199a0772fe8341ce3f4e536adaff47c....0.tmp
- /data/data/####/devCloudSetting.cfg
- /data/data/####/devCloudSetting.sig
- /data/data/####/dfa43e50801944fee43735aa6d913e08f6b03ccbef0b978....0.tmp
- /data/data/####/dianrui_cache.xml
- /data/data/####/e48ea4a5b8ad1e7bdc44cad0c3e307b94e7d96e1101dbd1....0.tmp
- /data/data/####/eb9c30333df65b0bafe829183aff9f45f7751ae79506588....0.tmp
- /data/data/####/ef462fe4a9c75661a6bc3305a3b8b6b9b757ae6e9383b66....0.tmp
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f552e7d4c5aeae73deccf00014c6ca0f27c1a88fb01d5be....0.tmp
- /data/data/####/fba7fe58dc03597dd062209662f11ce246147b94db9d053....0.tmp
- /data/data/####/fcd3b277780eb813282dddc6f7aaa975512af50540f4ef7....0.tmp
- /data/data/####/fe5120d31045687de7a90ee069329f8193a4df0ecc5c6c9....0.tmp
- /data/data/####/ff2632ea2a5dc1cd8e7e1d128e214aab582c5483cc90e29....0.tmp
- /data/data/####/gdt_plugin.jar
- /data/data/####/gdt_plugin.jar.sig
- /data/data/####/gdt_plugin.tmp
- /data/data/####/gdt_plugin.tmp.sig
- /data/data/####/gdt_suid
- /data/data/####/journal.tmp
- /data/data/####/jpush_device_info.xml
- /data/data/####/jpush_local_notification.db
- /data/data/####/jpush_local_notification.db-journal
- /data/data/####/jpush_stat_cache_history.json
- /data/data/####/jpush_statistics.db
- /data/data/####/jpush_statistics.db-journal
- /data/data/####/libjiagu.so
- /data/data/####/luomi261.dex
- /data/data/####/luomi_cache.xml
- /data/data/####/luomi_dex_ok_ok.dex
- /data/data/####/news-journal
- /data/data/####/sdkCloudSetting.cfg
- /data/data/####/sdkCloudSetting.sig
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/update_lc
- /data/media/####/.push_deviceid
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- jpush220
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS5Padding
- AES-ECB-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS7Padding
- AES-ECB-PKCS7Padding
- RSA-ECB-PKCS1Padding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
