Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.HiddenAds.4.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) api.jiu####.com:80
- TCP(HTTP/1.1) gam####.m.d####.com:80
- TCP(HTTP/1.1) cl####.wos####.cn:6106
- TCP(HTTP/1.1) statson####.pu####.b####.com:80
- TCP(HTTP/1.1) cha####.api.d####.com:80
- TCP(HTTP/1.1) t####.talking####.net:80
- TCP(HTTP/1.1) img.m.d####.####.com:80
- TCP(HTTP/1.1) h####.b####.com:80
- TCP agentch####.api.d####.com:5287
Запросы DNS:
- agentch####.api.d####.com
- api.jiu####.com
- cha####.api.d####.com
- cl####.wos####.cn
- gam####.m.d####.com
- h####.b####.com
- img.m.d####.com
- statson####.pu####.b####.com
- t####.talking####.net
- uni####.wos####.cn
Запросы HTTP GET:
- cl####.wos####.cn:6106/appstore_agent/unistore/servicedata.do?serviceid=...
- img.m.d####.####.com/preview/wap/1033000/1033347/wap_icon.png
- img.m.d####.####.com/preview/wap/1274000/1274663/wap_icon.png
- img.m.d####.####.com/preview/wap/1514000/1514576/wap_icon.png
- img.m.d####.####.com/preview/wap/186000/186390/wap_icon.png
- img.m.d####.####.com/preview/wap/602000/602215/wap_icon.png
- img.m.d####.####.com/preview/wap/602000/602219/wap_icon.png
- img.m.d####.####.com/preview/wap/62000/62769/wap_icon.png
- img.m.d####.####.com/preview/wap/63000/63440/wap_icon.png
- img.m.d####.####.com/preview/wap/879000/879730/wap_icon.png
- img.m.d####.####.com/preview/wap/977000/977375/wap_icon.png
Запросы HTTP POST:
- api.jiu####.com/index.php?m=####&c=####&a=####
- cha####.api.d####.com/rest/2.0/channel/4564625185194259577
- cha####.api.d####.com/rest/2.0/channel/channel
- gam####.m.d####.com/standalone/clientActive
- gam####.m.d####.com/standalone/getGameRecommend
- h####.b####.com/app.gif
- statson####.pu####.b####.com/pushlog
- t####.talking####.net/g/d
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/TDtcagent.db
- /data/data/####/TDtcagent.db-journal
- /data/data/####/__Baidu_Stat_SDK_SendRem.xml
- /data/data/####/__local_stat_cache.json
- /data/data/####/bids.xml
- /data/data/####/classes.jar
- /data/data/####/com.king86.DYG.DX.V1.DK.push_sync.xml
- /data/data/####/com.king86.DYG.DX.V1.DK.xml
- /data/data/####/com_dk_shared_preferences.xml
- /data/data/####/libjiagu.so
- /data/data/####/libunicomsdk.so
- /data/data/####/plugin-deploy.jar
- /data/data/####/plugin-deploy.key
- /data/data/####/pref_longtime.xml
- /data/data/####/pref_shorttime.xml
- /data/data/####/pst.xml
- /data/data/####/tdid.xml
- /data/data/####/vqs_shared_data.xml
- /data/media/####/.cuid
- /data/media/####/.tcookieid
- /data/media/####/apps
- /data/media/####/device
- /data/media/####/frontia.db
- /data/media/####/frontia.db-journal
- /data/media/####/login
- /data/media/####/pay
- /data/media/####/pushstat_3.1.db
- /data/media/####/pushstat_3.1.db-journal
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- bdpush_V1_0
- libjiagu
- libunicomsdk
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
- RSA-ECB-PKCS1Padding
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию о настроках APN.
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
