Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.Xiny.48
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) cl####.bay####.com:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(HTTP/1.1) t2.2####.com:80
- TCP(HTTP/1.1) oc.u####.com:80
- TCP(HTTP/1.1) care####.cn:80
- TCP(HTTP/1.1) 1####.25.156.21:80
- TCP(HTTP/1.1) st####.care####.cn:80
- TCP(HTTP/1.1) 3dfq####.t####.cn:80
- TCP(HTTP/1.1) image####.p####.cn:80
- TCP(HTTP/1.1) img.8####.com:80
- TCP(TLS/1.0) 1####.217.17.142:443
- TCP(TLS/1.0) hm.b####.com:443
Запросы DNS:
- a####.u####.com
- a.appj####.com
- care####.cn
- cl####.bay####.com
- hm.b####.com
- image####.p####.cn
- image1####.p####.cn
- img.8####.com
- oc.u####.com
- st####.care####.cn
- t2.2####.com
- t2.hd####.com
Запросы HTTP GET:
- 3dfq####.t####.cn/uploads/tu/201801/9999/3f79599045.jpg
- 3dfq####.t####.cn/uploads/tu/201801/9999/70f247f2d5.jpg
- 3dfq####.t####.cn/uploads/tu/201801/9999/d2343a2a6a.jpg
- 3dfq####.t####.cn/uploads/tu/201801/9999/fee416f0d8.jpg
- care####.cn/api/newChat?J92gxU5####&ks=####
- care####.cn/api/search?channel=####&transition=####
- care####.cn/css/nanke6/common.css
- care####.cn/css/nanke6/reset.css
- care####.cn/img/nanke6/banner.jpg
- care####.cn/img/nanke6/bingzhogn.jpg
- care####.cn/img/nanke6/qr.jpg
- care####.cn/img/nanke6/xinxi.png
- care####.cn/js/jquery-3.2.1.min.js
- image####.p####.cn/mypoco/myphoto/20170803/22/1943071820170803220248078_...
- image####.p####.cn/mypoco/myphoto/20171123/23/1943071820171123232640010_...
- image####.p####.cn/mypoco/myphoto/20171129/11/6444530120171129114757045_...
- image####.p####.cn/mypoco/myphoto/20171206/10/6444530120171206105236051_...
- img.8####.com/2015/12/201512201922523830.jpg
- img.8####.com/2016/1/201601132110475695.jpg
- img.8####.com/2016/1/201601231530536020.jpg
- img.8####.com/2016/2/201602192012336174.jpg
- img.8####.com/2016/2/201602192012358890.jpg
- img.8####.com/2016/2/201602192012388291.jpg
- img.8####.com/2016/2/201602192145003406.jpg
- img.8####.com/2016/2/201602192227440729.jpg
- img.8####.com/2016/2/201602192237482266.jpg
- img.8####.com/2016/2/201602231903002839.jpg
- img.8####.com/2016/2/201602292304053315.jpg
- img.8####.com/2017/12/201712222355323082.jpg
- st####.care####.cn/css/qlwtb/css.css
- st####.care####.cn/img/qlwtb/bg2.jpg
- st####.care####.cn/js/qlwtb/jquery.js
- st####.care####.cn/wechat_qlwtb_2.html
- t2.2####.com/uploads/tu/201609/156/xzwjzmxj0tp.jpg
- t2.2####.com/uploads/tu/201609/191/xse52s13ubk.jpg
- t2.2####.com/uploads/tu/201702/1/4nod5hz5ea3.jpg
- t2.2####.com/uploads/tu/201702/1/oajkm4y3m3e.jpg
- t2.2####.com/uploads/tu/201702/10014/y5qwvzy5s0m.jpg
- t2.2####.com/uploads/tu/201703/1/5ibjmpkagqh.jpg
- t2.2####.com/uploads/tu/201705/9999/6ba0aa4723.jpg
- t2.2####.com/uploads/tu/201705/9999/80566e420e.jpg
Запросы HTTP POST:
- a####.u####.com/app_logs
- a.appj####.com/ad-service/ad/mark
- cl####.bay####.com/terminal/ad/checkVersion.do
- cl####.bay####.com/terminal/ad/getAdList.do?t=####
- oc.u####.com/check_config_update
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/IEM.xml
- /data/data/####/b_bayiSharedPrferences.xml
- /data/data/####/b_db-journal
- /data/data/####/check.xml
- /data/data/####/classes.zip
- /data/data/####/cool.db-journal
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/f_000004
- /data/data/####/f_000005
- /data/data/####/f_000006
- /data/data/####/f_000007
- /data/data/####/im_cache_prefs.xml
- /data/data/####/index
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/libjiagu.so
- /data/data/####/mobclick_agent_online_setting_com.bingo.binpic.xml
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/-1024468898.tmp
- /data/media/####/-1045950007.tmp
- /data/media/####/-1056849843.tmp
- /data/media/####/-1173126220.tmp
- /data/media/####/-1487819149.tmp
- /data/media/####/-1962098387.tmp
- /data/media/####/-51596406.tmp
- /data/media/####/-539330057.tmp
- /data/media/####/-61025403.tmp
- /data/media/####/-710073168.tmp
- /data/media/####/.nomedia
- /data/media/####/1072259076.tmp
- /data/media/####/1741932040.tmp
- /data/media/####/1865584931.tmp
- /data/media/####/500899.tmp
- /data/media/####/668708213.tmp
- /data/media/####/690446248.tmp
- /data/media/####/7220117.tmp
- /data/media/####/EFB841C17293FFA5B967E3E1B521905D.xml
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- DES
Использует следующие алгоритмы для расшифровки данных:
- DES
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
