Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Kyview.2.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) a####.u####.com:80
- TCP(HTTP/1.1) s####.dat####.com:80
- TCP(HTTP/1.1) basile####.get.vip:80
- TCP(HTTP/1.1) o####.b####.cn:80
- TCP(HTTP/1.1) cmsst####.dat####.com:80
- TCP(HTTP/1.1) ping####.qq.com:80
- TCP(HTTP/1.1) s####.tc.qq.com:80
- TCP(TLS/1.0) gm.mm####.com:443
- TCP(TLS/1.0) z.c####.com:443
- TCP(TLS/1.0) co####.ad####.cn:443
- TCP(TLS/1.0) c.c####.com:443
- TCP(TLS/1.0) wild####.al####.com.####.net:443
Запросы DNS:
- a####.u####.com
- basi####.com
- c####.mm####.com
- c.c####.com
- cmsst####.dat####.com
- co####.ad####.cn
- img.al####.com
- o####.b####.cn
- o####.b####.cn
- pi####.qq.com
- ping####.qq.com
- s####.dat####.com
- s19.c####.com
- z8.c####.com
Запросы HTTP GET:
- basile####.get.vip/
- basile####.get.vip/index.php?r=####
- basile####.get.vip/index.php?r=####&page=####
- cmsst####.dat####.com//wap_new/common/common.css?v=####
- cmsst####.dat####.com//wap_new/common/common.js?v=####
- cmsst####.dat####.com//wap_new/common/iconfont/iconfont.ttf?t=####
- cmsst####.dat####.com//wap_new/lib/jquery.js?v=####
- cmsst####.dat####.com//wap_new/lib/lazyload.js?v=####
- cmsst####.dat####.com//wap_new/lib/md5.js?v=####
- cmsst####.dat####.com//wap_new/lib/wui/js/modules/layer.js?v=####
- cmsst####.dat####.com//wap_new/lib/wui/js/modules/swiper.js?v=####
- cmsst####.dat####.com//wap_new/lib/wui/plugin/layer/layer.js?v=####
- cmsst####.dat####.com//wap_new/lib/wui/plugin/layer/skin/default/layer.c...
- cmsst####.dat####.com//wap_new/lib/wui/plugin/swiper/js/swiper.js?v=####
- cmsst####.dat####.com//wap_new/lib/wui/plugin/swiper/swiper.css?v=####
- cmsst####.dat####.com//wap_new/lib/wui/wui.js?v=####
- cmsst####.dat####.com//wap_new/main/main.css?v=####
- cmsst####.dat####.com//wap_new/user/user.css?v=####
- cmsst####.dat####.com//web/js/cms_ggw_wap.js?v=####
- cmsst####.dat####.com/wap_new/common/models/models-goods-classify.js?v=#...
- cmsst####.dat####.com/wap_new/common/models/models-up-app.js?v=####
- cmsst####.dat####.com/wap_new/home/js/models-home.js?v=####
- cmsst####.dat####.com/wap_new/user/js/footprint.js?v=####
- cmsst####.dat####.com/web/images/close_x.svg
- ping####.qq.com/pingd?dm=basillee.com&pvi=729501555768222655&si=s1973155...
- s####.dat####.com/dest/js/dtksatc.js?v=####
- s####.dat####.com/sendBAMessage?t=1555768222758&domain=basillee.com&url=...
- s####.tc.qq.com/h5/stats.js?v2####
Запросы HTTP POST:
- a####.u####.com/app_logs
- basile####.get.vip/index.php?r=####&type=####
- o####.b####.cn/8/find
- o####.b####.cn/8/init
- o####.b####.cn/8/phone_ci
- o####.b####.cn/8/secret
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.imprint
- /data/data/####/.jg.ic
- /data/data/####/SDK20161604041250q1c7bjvg3d3xwzl_banner.xml
- /data/data/####/SDK20161604041250q1c7bjvg3d3xwzl_instl.xml
- /data/data/####/SDK20161604041250q1c7bjvg3d3xwzl_native.xml
- /data/data/####/SDK20161604041250q1c7bjvg3d3xwzl_spread.xml
- /data/data/####/Shared_Preferences.xml
- /data/data/####/basillee.db
- /data/data/####/basillee.db-journal
- /data/data/####/bmob_sp.xml
- /data/data/####/cc.db
- /data/data/####/cc.db-journal
- /data/data/####/data_0
- /data/data/####/data_1
- /data/data/####/data_2
- /data/data/####/data_3
- /data/data/####/exchangeIdentity.json
- /data/data/####/exid.dat
- /data/data/####/f_000001
- /data/data/####/f_000002
- /data/data/####/f_000003
- /data/data/####/index
- /data/data/####/libjiagu.so
- /data/data/####/ua.db
- /data/data/####/ua.db-journal
- /data/data/####/umeng_general_config.xml
- /data/data/####/umeng_it.cache
- /data/data/####/webview.db-journal
- /data/data/####/webviewCookiesChromium.db-journal
- /data/media/####/.nomedia
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- bmob
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
- AES-CBC-PKCS7Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Отрисовывает собственные окна поверх других приложений.
