Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.3394
- Android.DownLoader.635.origin
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) 1####.213.69.195:80
- TCP(HTTP/1.1) a.appj####.com:80
- TCP(TLS/1.0) 1####.217.17.46:443
Запросы DNS:
- a.appj####.com
- dc.7w####.com
- www.7w####.com
Запросы HTTP POST:
- a.appj####.com/ad-service/ad/mark
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jg.ic
- /data/data/####/.log.lock
- /data/data/####/.log.ls
- /data/data/####/12b4595813f48775b089bc59c0f97152.xml
- /data/data/####/5711933652ef69348ef699151bafab78.xml
- /data/data/####/6505d1017b370a9fd3701fb595a82e03.xml
- /data/data/####/CommonAgent.js
- /data/data/####/CommonAgentOption.js
- /data/data/####/DataTransfer.js
- /data/data/####/DataTransferOption.js
- /data/data/####/HttpClient.js
- /data/data/####/HttpOption.js
- /data/data/####/LOCAL_CACHE
- /data/data/####/LOCAL_CACHE-journal
- /data/data/####/LocalCache.sqlite3
- /data/data/####/LocalCache.sqlite3-journal
- /data/data/####/SwitchOption.js
- /data/data/####/UMS_SETTING.xml
- /data/data/####/Version.js
- /data/data/####/add.png
- /data/data/####/address.css
- /data/data/####/alert.js
- /data/data/####/arr_d.png
- /data/data/####/arr_l.png
- /data/data/####/arr_u.png
- /data/data/####/arrow.png
- /data/data/####/arrow_r.png
- /data/data/####/as.png
- /data/data/####/base.css
- /data/data/####/close.png
- /data/data/####/com.baitian.cnhmzx.xueba.apk
- /data/data/####/com.baitian.cnhmzx.xueba.xml
- /data/data/####/com.iflytek.msc.xml
- /data/data/####/common.css
- /data/data/####/common.js
- /data/data/####/config.json
- /data/data/####/cordova.js
- /data/data/####/cordovaDebug.js
- /data/data/####/cordova_plugins.js
- /data/data/####/cordova_plugins_v0.js
- /data/data/####/default_img.png
- /data/data/####/dialog.png
- /data/data/####/dot.png
- /data/data/####/gdTag.png
- /data/data/####/icon.png
- /data/data/####/idangerous.swiper-2.0.min.js
- /data/data/####/index_android.htm
- /data/data/####/index_ios.htm
- /data/data/####/iq.css
- /data/data/####/iq.js
- /data/data/####/iscroll.js
- /data/data/####/jg_app_update_settings_random.xml
- /data/data/####/jquery-2.0.2.min.js
- /data/data/####/jquery.btmMenu.js
- /data/data/####/jquery.lazyload.js
- /data/data/####/jquery.wapMobile.js
- /data/data/####/jquery.wtBox.js
- /data/data/####/libjiagu.so
- /data/data/####/list.css
- /data/data/####/list.htm
- /data/data/####/list.js
- /data/data/####/list_android.htm
- /data/data/####/list_ios.htm
- /data/data/####/loading_b.png
- /data/data/####/loading_m.png
- /data/data/####/loading_s.png
- /data/data/####/localZip.zip
- /data/data/####/local_bt_data.json
- /data/data/####/local_bt_ev.json
- /data/data/####/local_bt_ex.json
- /data/data/####/local_bt_pr.json
- /data/data/####/local_bt_sc.json
- /data/data/####/local_bt_share.json
- /data/data/####/local_bt_uid.json
- /data/data/####/menu.png
- /data/data/####/minus.png
- /data/data/####/no.png
- /data/data/####/off.png
- /data/data/####/on.png
- /data/data/####/qa.css
- /data/data/####/qa.js
- /data/data/####/qa_android.htm
- /data/data/####/qa_ios.htm
- /data/data/####/sc.png
- /data/data/####/sec.css
- /data/data/####/sec.htm
- /data/data/####/sec.js
- /data/data/####/shadow.png
- /data/data/####/share.png
- /data/data/####/shareIcn.png
- /data/data/####/shop.css
- /data/data/####/shop.js
- /data/data/####/slideRefresh.js
- /data/data/####/star.png
- /data/data/####/switcher.js
- /data/data/####/tag.png
- /data/data/####/tips_0.png
- /data/data/####/tips_1.png
- /data/data/####/update.auto.recorder.xml
- /data/data/####/userredrcd.xml
- /data/data/####/version_android.json
- /data/data/####/version_ios.json
- /data/data/####/vjv_android.json
- /data/data/####/vjv_ios.json
- /data/data/####/wb.png
- /data/data/####/wd.png
- /data/data/####/wenbei.png
- /data/data/####/wendou.png
- /data/data/####/widget.js
- /data/data/####/xinshou.css
- /data/data/####/xinshou.js
- /data/data/####/xw.png
- /data/data/####/xw_0.png
- /data/data/####/xw_1.png
- /data/data/####/xw_2.png
- /data/data/####/xw_final.png
- /data/data/####/yes.png
- /data/media/####/.nomedia
- /data/media/####/iflyworkdir_test
- /data/media/####/u.data
Другие:
Запускает следующие shell-скрипты:
- chmod 755 <Package Folder>/.jiagu/libjiagu.so
Загружает динамические библиотеки:
- libjiagu
- msc
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
- DES
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Добавляет задания в системный планировщик.
Отрисовывает собственные окна поверх других приложений.
