Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.Dowgin.14.origin
- Android.Xiny.54.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) www.data####.cn:80
- TCP(HTTP/1.1) s####.sm####.net:80
- TCP(HTTP/1.1) cd.md.c####.####.net:80
- TCP(HTTP/1.1) c.appj####.com:80
- TCP(HTTP/1.1) appb####.com:80
- TCP(HTTP/1.1) ui.ki.u####.cn:80
- TCP(HTTP/1.1) yj.eji####.com:80
- TCP(TLS/1.0) d####.fl####.com:443
- TCP(TLS/1.0) 1####.217.20.110:443
Запросы DNS:
- appb####.com
- c.appj####.com
- cd.md.c####.cn
- d####.fl####.com
- mt####.go####.com
- s####.sm####.net
- ui.ki.u####.cn
- www.data####.cn
- yj.eji####.com
Запросы HTTP GET:
- appb####.com/pf1.xml
- appb####.com/pf2.xml
- appb####.com/promimg/birthdayphotoframesnew.png
- appb####.com/promimg/coupletraditionaldress.png
- appb####.com/promimg/dpstatus125.png
- appb####.com/promimg/echomagicmirror1252.png
- appb####.com/promimg/flashoncallnew.png
- appb####.com/promimg/policesuit.PNG
- appb####.com/promimg/statusdownloader1251.png
- appb####.com/promimg/waterfall125.png
- appb####.com/promimg/womentraditionalnew.png
- cd.md.c####.####.net/offer/20181204/201812041054103.png
- cd.md.c####.####.net/offer/20181204/201812041054759.png
- cd.md.c####.####.net/offer/20190430/201904301011837.apk
- s####.sm####.net/oapi/reqAd.jsp?pub=####&adspace=####&format=####&format...
- ui.ki.u####.cn/u?a=####
Запросы HTTP POST:
- c.appj####.com/ad/splash/stats.html
- ui.ki.u####.cn/L/H/5e2fl
- ui.ki.u####.cn/Wl/2f88k
- ui.ki.u####.cn/i/j02
- ui.ki.u####.cn/l/la0
- ui.ki.u####.cn/n/a/zed
- ui.ki.u####.cn/qxl/ems/wjy/nae
- ui.ki.u####.cn/rpx/xna/ide/h2a
- ui.ki.u####.cn/tl/k02
- www.data####.cn/bjc.action/iris.action?g=####
- yj.eji####.com/lkjp.do
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.YFlurrySenderIndex.info.AnalyticsData_FFGD3MQC...ZR_236
- /data/data/####/.YFlurrySenderIndex.info.AnalyticsMain
- /data/data/####/.jg.ic
- /data/data/####/.yflurrydatasenderblock.6b0bc6f1-8109-4f02-8702...20d52b
- /data/data/####/.yflurryreport.5eb654d513d51b45
- /data/data/####/1f044.xml
- /data/data/####/43ef578a9.xml
- /data/data/####/FLURRY_SHARED_PREFERENCES.xml
- /data/data/####/L_Key.xml
- /data/data/####/_i-81119166.xml
- /data/data/####/_w-81119166.xml
- /data/data/####/ad_show_time.xml
- /data/data/####/com.fgfdr.dsljgd.jikfa.jar
- /data/data/####/com.fgfdr.dsljgd.vlebuj.cz.jar
- /data/data/####/d69702e78b.xml
- /data/data/####/e7381fd.xml
- /data/data/####/ea51e58fc.xml
- /data/data/####/faa4f.xml
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/ki.xml
- /data/data/####/ldownloads
- /data/data/####/ldownloads-journal
- /data/data/####/libjiagu.so
- /data/data/####/ljk.xml
- /data/data/####/new_l_req_st.xml
- /data/data/####/webview.db-journal
- /data/media/####/67b372
- /data/media/####/93ac27c8fbb16447715dbdb5c6f80cc6.tmp
- /data/media/####/IM.DAT
- /data/media/####/c000b6
- /data/media/####/ljk.dat
- /data/media/####/mfz.d
- /data/media/####/reqt.dat
- /data/media/####/spt.dat
- /data/media/####/u.dat
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
- chmod 777 /storage/emulated/0/download/43af9525b10//93ac27c8fbb16447715dbdb5c6f80cc6.tmp
Загружает динамические библиотеки:
- libjiagu
Использует следующие алгоритмы для шифрования данных:
- DES
- RSA
Использует следующие алгоритмы для расшифровки данных:
- DES
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
