Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Adware.SalmonAds.2.origin
- Android.DownLoader.743.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) sdk.api.kaf####.com:80
- TCP(HTTP/1.1) api.cloud####.net:80
- TCP(HTTP/1.1) waws-pr####.vip.azurewe####.####.net:80
- TCP(TLS/1.0) api.face####.com:443
- TCP(TLS/1.0) d####.fl####.com:443
- TCP(TLS/1.0) sett####.crashly####.com:443
Запросы DNS:
- api.cloud####.net
- d####.fl####.com
- g####.face####.com
- g####.foto####.net
- sdk.api.kaf####.com
- sett####.crashly####.com
Запросы HTTP GET:
- api.cloud####.net/api/v2/template/get?slot_id=####&update_time=####
- waws-pr####.vip.azurewe####.####.net/
Запросы HTTP POST:
- sdk.api.kaf####.com/v4/<Package>/config.php
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.YFlurrySenderIndex.info.AnalyticsData_RM5GMNZ2...XG_216
- /data/data/####/.YFlurrySenderIndex.info.AnalyticsMain
- /data/data/####/.jg.ic
- /data/data/####/.yflurrydatasenderblock.6e555556-515e-496a-8bfb...3402dc
- /data/data/####/.yflurryreport.-671a24fd3ed961e6
- /data/data/####/163b45ab67c6f78d26c1cfa0c891ed55ef271ce929fcb36....0.tmp
- /data/data/####/2c8f9ff6cfc5855860ed60f1c2fd54908dfff82a34e8d4a....0.tmp
- /data/data/####/4595238720100b2a5873b17ad6ad30786336b70900df192....0.tmp
- /data/data/####/47779231cba12fd327bd8f673f2a7b898eacc4557c4d5a6....0.tmp
- /data/data/####/5149a184487f0e2375fa57262fdbf0e989745ad6259030a....0.tmp
- /data/data/####/5CE1995B030B-0001-08F4-E255B02FCB49BeginSession.cls_temp
- /data/data/####/5CE1995B030B-0001-08F4-E255B02FCB49SessionApp.cls_temp
- /data/data/####/5CE1995B030B-0001-08F4-E255B02FCB49SessionDevice.cls_temp
- /data/data/####/5CE1995B030B-0001-08F4-E255B02FCB49SessionOS.cls
- /data/data/####/636c4ba7383bbc3893a73a2be718edea55ab6be1f76674d....0.tmp
- /data/data/####/683760e74fc6cc192e14ac9f487c600f5b096e313957761....0.tmp
- /data/data/####/70487b886e45f242b98bb7dbf3e9beb3ab0518a6344aee9....0.tmp
- /data/data/####/740ff24bc2ee6a19f7136eb021550e530113f54d19b0a35....0.tmp
- /data/data/####/9167004f4b4390c62d71e89b4c4e11497f95d49f8968440....0.tmp
- /data/data/####/92cab7e2222a06a083c2ca734f4f844b522cbf1fb6fc22f....0.tmp
- /data/data/####/AppEventsLogger.persistedevents
- /data/data/####/DeviceTestSharedPreferences.xml
- /data/data/####/FLURRY_SHARED_PREFERENCES.xml
- /data/data/####/NativeAdSharePreference.xml
- /data/data/####/TOKEN.xml
- /data/data/####/TwitterAdvertisingInfoPreferences.xml
- /data/data/####/a44bd6dd3d77adcba79b8f061eec1f5fcdd8af18ffe83fd....0.tmp
- /data/data/####/b1079a159b4440aa1b0bd0c49c09c108546e09dad493b19....0.tmp
- /data/data/####/com.crashlytics.prefs.xml
- /data/data/####/com.crashlytics.sdk.android;answers;settings.xml
- /data/data/####/com.facebook.internal.preferences.APP_SETTINGS.xml
- /data/data/####/com.facebook.sdk.appEventPreferences.xml
- /data/data/####/com.facebook.sdk.attributionTracking.xml
- /data/data/####/com.vjkdfi.uokdf_preferences.xml
- /data/data/####/d448b141e35ff17258321e54a739b38d924f593e2286e9d....0.tmp
- /data/data/####/d664df889d11654cb34f04e0913fbc223da37c4be56334c....0.tmp
- /data/data/####/d846a08c8f541b817d3c2e2bf42c4570e9ef36d5a5a77bf....0.tmp
- /data/data/####/d8ad8907fa4decc60c43a722145265051d023190dabd60f....0.tmp
- /data/data/####/daemon
- /data/data/####/e531e5fa666f952accebd4b2d0c57c4a6f22e427218c89b....0.tmp
- /data/data/####/e60306d0677ca7bacb76916a40c637f18654c3bdab6281c....0.tmp
- /data/data/####/f53d4c2494aabcc8b386f27303ae67d5d360441f966c3fc....0.tmp
- /data/data/####/f6f17da8926d32d8ed9e65e0b8fb7c9eb4615045fe8096a....0.tmp
- /data/data/####/initialization_marker
- /data/data/####/journal.tmp
- /data/data/####/libjiagu552048512.so
- /data/data/####/mobi_ads-journal
- /data/data/####/mobi_device
- /data/data/####/mobi_sp_sdk.xml
- /data/data/####/multidex.version.xml
- /data/data/####/sa_88da4527-9f49-4d0e-91d7-95516dd8007c_1558288731917.tap
- /data/data/####/session_analytics.tap
- /data/data/####/session_analytics.tap.tmp
- /data/data/####/signOfIcon.xml
- /data/data/####/sysconfig.xml
Другие:
Запускает следующие shell-скрипты:
- /system/bin/cat /proc/cpuinfo
- chmod 700 <Package Folder>/app_bin/daemon
- chmod 755 <Package Folder>/.jiagu/libjiagu552048512.so
Загружает динамические библиотеки:
- libjiagu552048512
- optimize
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-NoPadding
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Отрисовывает собственные окна поверх других приложений.
